Web Application Firewall:Enable WAF protection for Anti-DDoS Proxy domain names

Como funciona

Ao adicionar um service cloud a um nome de domínio do Anti-DDoS Proxy, a integração ocorre por meio do SDK. O SDK fica incorporado ao service cloud e é responsável pela extração, detecção e proteção do tráfego. O WAF não participa do encaminhamento de tráfego, o que evita problemas de compatibilidade e estabilidade causados pela introdução de camadas adicionais de encaminhamento.

Limitações

Caso o nome de domínio do Anti-DDoS Proxy não atenda aos requisitos abaixo, utilize o acesso CNAME.

• Requisito de conta: O nome de domínio do Anti-DDoS Proxy e a instância do WAF devem pertencer à mesma conta Alibaba Cloud (exceto para contas com gerenciamento multiconta para empresas configurado).

• Requisito de domínio: O nome de domínio do Anti-DDoS Proxy deve estar associado a uma instância do Anti-DDoS Proxy.

Procedimento

1. Acesse o console:

   Faça login no console do Web Application Firewall 3.0. Na barra de navegação superior, selecione o grupo de recursos e a região da instância do WAF (Chinese Mainland). No painel de navegação à esquerda, clique em Onboarding. Clique na aba Cloud Native. Na lista de tipos de service cloud à esquerda, selecione Anti-DDoS.

2. Autorize o service cloud (apenas para usuários que ainda não concluíram a autorização):

   Siga as instruções da página e clique em Authorize Now para concluir a autorização do service cloud. Visualize a função vinculada ao service criada, AliyunServiceRoleForWAF, na página Identities > Roles no console do RAM.

3. Sincronize os ativos:

   Se os nomes de domínio adicionados ao Anti-DDoS Proxy não aparecerem na página, clique em Synchronize Assets no canto superior direito. Caso os domínios continuem sem aparecer após a sincronização, eles não atendem às Limitações.

4. Configure o redirecionamento de tráfego do WAF:

   Por padrão, quando um nome de domínio do Anti-DDoS Proxy é adicionado ao WAF, o sistema executa detecção de segurança em todo o tráfego desse domínio. Se não for necessário detectar todo o tráfego, clique em Redirection Configuration no canto superior direito e escolha o modo de redirecionamento adequado:

   • All-traffic Redirection: Redireciona todo o tráfego para o WAF e permite excluir manualmente tráfegos específicos. Recomendado para cenários em que a maior parte do tráfego precisa passar pela detecção do WAF.

   • Specific-traffic Redirection: Redireciona apenas o tráfego especificado para detecção pelo WAF. Indicado para situações em que somente determinados fluxos exigem análise.

   Após escolher o modo de redirecionamento, clique em Add Exception Rule (para All-traffic Redirection) ou em Add Redirection Policy (para Specific-traffic Redirection). A seção Matching Logic oferece suporte a Exact Match e Regex Match.

   • Exact Match: O campo Redirection Domain Name/URL deve seguir o formato "Nome de domínio/endereço IP + URL", como www.example.com/abc ou 127.0.0.1/abc.

   • Regex Match: O campo Redirection Domain Name/URL deve conter uma expressão regular válida.

5. Adicione nomes de domínio:

   Localize o nome de domínio que deseja adicionar ao WAF e clique em Add Now na coluna Actions. Quando o WAF Protection Status exibir Full Protection, o domínio terá sido adicionado com sucesso.

6. Verifique a eficácia da proteção:

   Insira seu nome de domínio seguido de um código de ataque web na barra de endereços do navegador para testar (por exemplo, <Your domain name>/alert(xss), onde alert(xss) representa o código de ataque de cross-site scripting usado para teste). Se a página de bloqueio 405 for retornada, o ataque foi bloqueado e a proteção do WAF está ativa.

Próximos passos

Após a adição do nome de domínio, o WAF cria automaticamente um objeto protegido com o sufixo -ddos e habilita, por padrão, regras de proteção de módulos como as regras básicas de proteção web para esse objeto. Consulte a página Protection Config > Protected Objects para visualizar o objeto protegido. Se as regras padrão não atenderem às necessidades do seu negócio, crie ou edite regras de proteção. Para mais detalhes, consulte Overview.

Operações e manutenção rotineiras