Web Application Firewall:Enable WAF protection for a custom domain name in Function Compute

Como funciona

Ao integrar um nome de domínio personalizado do Function Compute a um product cloud, a integração ocorre por meio da integração via SDK. O SDK fica incorporado ao product cloud e é responsável pela extração, detecção e proteção do tráfego. O WAF não participa do encaminhamento de tráfego, o que evita problemas de compatibilidade e estabilidade decorrentes de camadas adicionais de encaminhamento.

Escopo

Se o nome de domínio personalizado do seu Function Compute não atender aos requisitos a seguir, utilize CNAME integration.

• Requisito de conta: o nome de domínio personalizado do FC e a instância WAF devem pertencer à mesma conta da Alibaba Cloud (exceto em cenários onde centralized management across enterprise accounts está configurado).

• Requisito de região: a proteção WAF pode ser ativada apenas para nomes de domínio personalizados do FC nas regiões China (Hangzhou), China (Shanghai), China (Beijing), China (Zhangjiakou) e China (Shenzhen).

Procedimento

1. Acesse o console:

   Faça login no Web Application Firewall 3.0 console. Na barra de navegação superior, selecione o grupo de recursos e a região da instância WAF (Chinese Mainland).No painel de navegação à esquerda, clique em Onboarding. Clique na aba Cloud Native. Na lista de tipos de product cloud à esquerda, selecione Function Compute.

2. Autorização do product cloud (para usuários que ainda não concluíram a autorização):

   Siga as instruções exibidas na página e clique em Authorize Now para concluir a autorização do product cloud. Acesse a página Identities > Roles no RAM console para visualizar a função vinculada ao service AliyunServiceRoleForWAF que foi criada.

3. Integre o nome de domínio personalizado do FC:

   1. Clique em Add. Você será redirecionado para o Function Compute console.

   2. Na barra de navegação superior, selecione a região China (Hangzhou), China (Shanghai), China (Beijing), China (Zhangjiakou), and China (Shenzhen). No painel de navegação à esquerda, escolha Function Management > Custom Domains. Localize o nome de domínio personalizado criado e clique em Modify na coluna Actions.

   3. Na página Modify Custom Domain Name, defina Web Application Firewall (WAF) como Enable e clique em Save.

      Nota

      Caso ainda não tenha criado um nome de domínio personalizado no Function Compute, consulte Custom domain configuration.

4. Verifique o efeito da proteção:

   Volte à página Custom Domains. Quando a coluna Web Application Firewall (WAF) do nome de domínio personalizado de destino exibir Enabled, a integração foi concluída com sucesso. Nesse momento, insira seu nome de domínio personalizado e um código de ataque web no navegador para verificação (por exemplo, <your domain name>/alert(xss), onde alert(xss) é um código de ataque de cross-site scripting usado para testes). Se uma página de bloqueio 405 for retornada, o ataque foi interceptado com sucesso e a proteção WAF está ativa.

Próximos passos

Visualizar e configurar regras de proteção

Após concluir a integração, o WAF cria automaticamente um objeto protegido com o sufixo -fc e ativa regras de proteção para esse objeto por padrão, incluindo as regras do módulo de proteção web principal. Visualize o objeto protegido na página Protection Config > Protected Objects no console do WAF. Se as regras de proteção padrão não atenderem às necessidades do seu negócio, crie ou edite regras de proteção. Para mais informações, consulte Overview.

Reversão da integração

• Desativar temporariamente a proteção WAF: se ocorrerem problemas após a integração — como um grande número de falsos positivos — e for necessário desativar temporariamente a proteção WAF, acesse a página Protected Objects no console do WAF e desative o botão WAF Protection Status. Para mais informações, consulte Disable WAF protection.

• Remover a integração: caso não queira mais usar o WAF para proteger o nome de domínio personalizado do FC, acesse o Function Compute console, escolha Function Management > Custom Domains, localize o nome de domínio personalizado criado, clique em Modify na coluna Actions. Na página Modify Custom Domain Name, defina Web Application Firewall (WAF) como Disable e clique em Save.

  Importante

  • Após a remoção da integração, o tráfego do seu negócio deixa de ser protegido pelo WAF e os relatórios de segurança não incluirão mais dados de proteção referentes ao tráfego relacionado.

  • Se a sua instância WAF for faturada no modelo de pagamento conforme o uso, nenhuma taxa de processamento de requisições será cobrada após a remoção da integração. No entanto, taxas de function continuarão sendo cobradas em razão da própria instância WAF e de outras regras de proteção. Caso não queira mais utilizar o WAF e deseje interromper seu faturamento, consulte Terminate WAF.

Cotas e limites

• Número de instâncias integradas: o número não pode ultrapassar o limite máximo da especificação da instância WAF.

  • Instância WAF com assinatura: máximo de 300 para a edição Basic, 600 para a edição Advanced, 2.500 para a edição Enterprise e 10.000 para a edição Ultimate.

  • Instância WAF com pagamento conforme o uso: máximo de 10.000.

• Recursos não suportados: os objetos protegidos integrados via Function Compute não são compatíveis com os seguintes recursos: proteção contra adulteração de site, proteção de dados sensíveis, gerenciamento de bots e segurança de API.

**Por que o botão Enable de Web Application Firewall (WAF) não está disponível?**

Isso indica que o nome de domínio personalizado do FC não atende aos Scope. Atualmente, apenas nomes de domínio personalizados em regiões específicas da China continental são compatíveis com a integração pelo método de integração de product cloud. Para usar este método, adquira uma instância WAF para China continental ou utilize CNAME integration.

Qual é a diferença entre a integração de product cloud e a integração via CNAME no WAF? Elas podem ser usadas juntas?

O WAF oferece suporte a dois métodos de integração: integração de product cloud e integração via CNAME.

• Integração de product cloud (método descrito neste tópico): integra rapidamente instâncias de produtos da Alibaba Cloud dentro da sua conta.

• Integração via CNAME: integra nomes de domínio. Indicada para uma ampla variedade de cenários, com suporte a situações entre contas e entre clouds.

Os dois métodos não podem ser usados simultaneamente. Cada nome de domínio pode utilizar apenas um método de integração. Configurações duplicadas geram conflitos no encaminhamento de tráfego e resultam em falha na proteção. Para mais informações sobre as diferenças, consulte o tópico Overview.