Web Application Firewall:WAF tutorial

Métodos de integração

O WAF oferece dois métodos de integração: modo de registro CNAME e modo de proxy transparente. Por padrão, o WAF suporta HTTP/1,0, HTTP/1,1 e HTTP/2,0. Escolha o método de integração de acordo com as necessidades do seu negócio.

Integração por registro CNAME

1. Acesse a página Add Domain Name.

2. Adicione um nome de domínio. Forneça ao WAF as informações do site, como o nome de domínio e as configurações de back-to-origin.

   Parâmetro	Descrição
   Domain Name	Insira o nome de domínio do site que deseja proteger.
   Protection Resource	Selecione o tipo de recurso de proteção conforme seus requisitos.
   Protocol Type	Selecione os tipos de protocolo suportados pelo seu site. É possível selecionar Enable HTTPS Routing, Enable HTTP Back-to-Origin e Enable Origin SNI.
   Endereço do servidor de origem	Especifique o endereço do servidor de origem para o qual o WAF encaminhará as requisições. Os seguintes tipos de endereço são suportados: Endereço IP: o endereço IP público de uma instância SLB, uma instância ECS ou um servidor em um data center externo. Nome de domínio (como um CNAME): um domínio de back-to-origin diferente do domínio protegido. Apenas endereços IPv4 são suportados para o tráfego de back-to-origin.
   Porta do servidor de origem	Com base no Protocol Type selecionado, configure a porta que o servidor de origem usa para fornecer serviços. Importante Se o servidor de origem usar uma porta diferente da porta HTTP 80 ou HTTPS 443, especifique uma porta de servidor personalizada dentro do intervalo de portas suportadas pelo WAF. Para mais informações, consulte Ports supported by WAF.
   Load Balancing Algorithm	Se especificar vários endereços de servidor de origem, selecione um algoritmo de balanceamento de carga para os servidores.
   Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Indique se outro serviço de proxy de camada 7, como Anti-DDoS Proxy ou CDN, está implantado na frente do WAF.
   Enable Traffic Mark	Especifique se deseja ativar o recurso de marcação de tráfego.
   Back-to-origin Timeout Configuration	Se o servidor de origem tiver um tempo de processamento elevado que possa causar timeouts, configure os períodos de timeout de conexão e de leitura/escrita para o WAF.
   Retry Back-to-origin Requests	Quando uma requisição de back-to-origin falha, o WAF tenta novamente até três vezes para cada servidor de origem por padrão. Se esse recurso for desativado, o WAF não reprocessará requisições com falha.
   Back-to-origin Keep-alive Requests	Configure conexões persistentes entre o WAF e o servidor de origem.

   Para mais informações, consulte Add a domain name.

3. Verifique localmente as configurações do nome de domínio no WAF. Essa etapa evita interrupções no service ao garantir que as configurações de encaminhamento estejam corretas antes de modificar o registro DNS do domínio. Para mais informações, consulte Local verification.

4. Modifique o registro DNS do domínio para direcionar o tráfego do site ao WAF.

   As etapas a seguir mostram como modificar um registro DNS usando o Alibaba Cloud DNS como exemplo.

   1. Obtenha o endereço CNAME ou IP no WAF. Para mais informações, consulte Obtain the CNAME of WAF.

   2. Acesse a página Domains do console do Alibaba Cloud DNS. Localize o nome de domínio que deseja gerenciar, clique em Settings na coluna Actions e altere o valor do registro CNAME para o CNAME fornecido pelo WAF.

   Para mais informações, consulte Modify the DNS record of a domain name.

5. Verifique se a proteção do WAF está funcionando.

   1. Em um navegador web, insira o nome de domínio adicionado. Se o site carregar corretamente, o domínio foi adicionado com sucesso.

      Nota

      Acesse o site pelo nome de domínio, não pelo CNAME fornecido pelo WAF. O CNAME é usado apenas para resolução DNS e não pode ser acessado diretamente.

   2. Em um navegador web, insira o nome de domínio adicionado seguido de um código de ataque web, por exemplo, <protected domain name>/alert(xss), onde alert(xss) é um código de teste para ataque de cross-site scripting. Se uma página de bloqueio 405 for exibida, o WAF interceptou o ataque com sucesso.

Integração por modo de proxy transparente

1. Acesse a página Add Domain Name no console do Web Application Firewall e defina Access Mode como Transparent Proxy.

2. Adicione um nome de domínio.

   Parâmetro	Descrição
   Domain Name	Insira o nome de domínio do site.
   Instance and port	Selecione um tipo de instância e adicione as portas da instância correspondente. O WAF suporta a ativação do modo de proxy transparente para as portas do servidor de origem dos seguintes tipos de instância: SLB-based Domains, Layer 7 SLB-based Domains, Layer 4 SLB-based Domains e ECS-based Domains.
   Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Indique se outro serviço de proxy de camada 7, como Anti-DDoS Proxy ou CDN, está implantado na frente do WAF.
   Enable Traffic Mark	Especifique se deseja ativar o recurso de marcação de tráfego.

   Para mais informações, consulte Transparent proxy mode.

3. Verifique se a proteção do WAF está funcionando.

   1. Em um navegador web, insira o nome de domínio adicionado. Se o site carregar corretamente, o domínio foi adicionado com sucesso.

      Nota

      Acesse o site pelo nome de domínio, não pelo CNAME fornecido pelo WAF. O CNAME é usado apenas para resolução DNS e não pode ser acessado diretamente.

   2. Em um navegador web, insira o nome de domínio adicionado seguido de um código de ataque web, por exemplo, <protected domain name>/alert(xss), onde alert(xss) é um código de teste para ataque de cross-site scripting. Se uma página de bloqueio 405 for exibida, o WAF interceptou o ataque com sucesso.

Integre o WAF com outros cloud services

Além de adicionar um site diretamente ao WAF, integre o WAF com outros services da Alibaba Cloud, como Anti-DDoS Proxy e CDN, para construir uma arquitetura de segurança abrangente.

• Improve website protection by deploying Anti-DDoS Proxy and WAF together: Para proteger seu site contra ataques de aplicações web e ataques DDoS simultaneamente, implante o Anti-DDoS Proxy e o WAF na frente do servidor de origem.

• Use WAF and CDN to protect accelerated domains: Para defender seu site contra ataques de aplicações web enquanto utiliza CDN para aceleração de conteúdo, implante o CDN e o WAF na frente do servidor de origem.

Próximas etapas

Após adicionar seu site ao WAF, o tráfego passa pelo WAF para proteção. O WAF oferece múltiplos módulos de detecção para defender o site contra diversas ameaças de segurança. Por padrão, o Protection Rules Engine em Web Security e o módulo HTTP Flood Protection em Access Control/Throttling estão ativados. Eles protegem contra ataques comuns de aplicações web — como injeção SQL, XSS e uploads de webshell — e ataques de flood HTTP. Os demais módulos de proteção devem ser ativados manualmente e suas regras de proteção específicas devem ser configuradas. Para mais informações, consulte Overview of website protection configurations.