Web Application Firewall:Enable WAF protection for ECS instances

Como funciona

O WAF intercepta o tráfego por meio de um proxy transparente. Configure uma porta de encaminhamento de tráfego na instância ECS e todo o tráfego HTTP/HTTPS nessa porta será roteado pelo WAF. Requisições maliciosas são bloqueadas; as legítimas são encaminhadas à origem. Todos os domínios na porta especificada ficam protegidos, incluindo serviços acessados somente por IP, sem nome de domínio.

Pré-requisitos

Se sua instância ECS não atender aos requisitos a seguir, utilize CNAME connection type.

• Endereço IP público: A instância deve ter um endereço IP público (fixo ou EIP). Instâncias acessadas exclusivamente por NAT gateway não são suportadas.

• Conta: A instância ECS e a instância WAF devem pertencer à mesma conta da Alibaba Cloud, a menos que você tenha configurado multi-account management.

• Região:

  • Instâncias WAF em território continental da China: China (Chengdu), China (Beijing), China (Zhangjiakou), China (Hangzhou), China (Shanghai), Shanghai (Finance Cloud), China (Shenzhen), China (Guangzhou) e China (Qingdao).

  • Instâncias WAF fora do território continental da China: China (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta), Germany (Frankfurt), US (Virginia) e Singapore.

Início rápido

1. Acesse o console:

   Faça login no Web Application Firewall 3.0 console. Na barra de menu superior, selecione um grupo de recursos e uma região (Chinese Mainland ou Outside Chinese Mainland). No painel de navegação à esquerda, clique em Onboarding. Selecione a aba Cloud Native. Na lista de produtos cloud à esquerda, selecione Elastic Compute Service (ECS).

2. Autorize o WAF a acessar recursos cloud (configuração inicial):

   Siga as instruções na tela e clique em Authorize Now para conceder as permissões necessárias. Você pode visualizar a função vinculada ao service AliyunServiceRoleForWAF criada na página Identity Management > Roles do RAM console.

3. Adicione uma instância ECS:

   1. Na lista à direita, localize a instância ECS desejada e verifique seu status de proteção do WAF. Na coluna Actions, clique em Add Now. Se não encontrar a instância, clique em Synchronize Assets no canto superior direito da página. Se a instância ainda não aparecer, ela não atende a prerequisites.

   2. Na seção Select instances & ports to protect, clique em Add Port na coluna Actions. No painel Add Port exibido, configure as definições de acordo com a porta e o tipo de protocolo do seu site.

      Nota

      É possível adicionar apenas uma porta por vez. Para adicionar várias portas, repita esta etapa para cada uma delas.

      • Portas padrão (padrão): Não aparecem na URL.

        • HTTP: Por exemplo, http://yourdomain.com utiliza a porta 80.

        • HTTPS: Por exemplo, https://yourdomain.com utiliza a porta 443.

      • Porta não padrão: Aparece após o nome de domínio no formato domain name:port number.

        • HTTP: Por exemplo, http://yourdomain.com:8080 especifica a porta 8080.

        • HTTPS: Por exemplo, https://yourdomain.com:8443 indica que a porta 8443 é utilizada.

        Nota

        Verifique o arquivo de configuração do seu servidor web (como nginx.conf) para confirmar a porta.

      HTTP website

      1. No campo Port, insira a porta utilizada pelo seu site.

      2. Em Protocol Type, selecione HTTP.

      HTTPS website

      1. No campo Port, insira a porta utilizada pelo seu site.

      2. Em Protocol Type, selecione HTTPS.

      3. Para personalizar HTTP/2, TLS version, cipher suite ou Additional Certificate (para múltiplos certificados), consulte Enhance security for HTTPS. Caso contrário, mantenha as configurações padrão.

      4. Na seção Default Certificate, escolha um método para fazer upload do certificado:

         • Upload: Use esta opção se o seu certificado não estiver no Certificate Management Service (Original SSL Certificate).

         • Select Existing Certificate: Selecione um certificado emitido ou enviado para o Certificate Management Service (Original SSL Certificate).

           Upload

           • Certificate Name: Insira um nome exclusivo para o certificado. O nome não pode ser igual ao de um certificado já existente.

           • Certificate File: Abra o arquivo de certificado em um editor de texto e cole o conteúdo completo do certificado no formato PEM, CER ou CRT.

             Exemplo de formato: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • Conversão de formato: Se o seu certificado estiver em um formato como PFX ou P7B, utilize certificate tool para convertê-lo para o formato PEM.

             • Cadeia de certificados: Se um certificado intermediário estiver incluído, cole o certificado do servidor seguido do certificado intermediário.

           • Private Key: Abra o arquivo de chave privada em um editor de texto e cole o conteúdo completo da chave privada no formato PEM.

             Exemplo de formato: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           Select existing certificate

           Na lista suspensa de certificados, selecione o certificado que deseja enviar ao WAF.

           Nota

           Se o console do WAF exibir a mensagem "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", há um problema na cadeia de certificados. Verifique se o conteúdo do certificado está correto e completo e, em seguida, faça o upload novamente no console do Certificate Management Service. Upload, sync, and share SSL certificates.

   3. Para configurar definições para proxies de camada 7 (como CDN) à frente do WAF, controle do cabeçalho X-Forwarded-Proto e marcação de tráfego, consulte Obtain real client information. Para configurar timeouts de back-to-origin e keep-alive de back-to-origin, consulte Optimize the back-to-origin connection quality. Caso contrário, clique em OK para aplicar as configurações padrão.

4. Verifique a proteção:

   Após a configuração, acesse seu site e adicione um payload de teste à URL (por exemplo, http://yourdomain.com/alert(xss)). Uma página de bloqueio 405 confirma que a proteção do WAF está ativa.

5. Visualize e configure as regras de proteção:

   O WAF cria um objeto protegido com o nome instance ID-port-asset type com regras de proteção padrão (como proteção de núcleo web) habilitadas. Visualize-o na página Protection Config > Protected Objects. Para personalizar regras (por exemplo, adicionar um endereço IP específico à lista de permissões), consulte Protection Configuration Overview.

Aprimore a segurança para HTTPS

• HTTP/2

  Na página Add Port, selecione HTTP/2 para ativar este recurso.

• Versão TLS

  Na seção TLS Version da página Add Port, selecione uma opção.

  • TLS 1.0 and Later (Best Compatibility and Low Security)

  • TLS 1.1 and Later (High Compatibility and High Security): Clientes mais antigos que utilizam apenas o protocolo TLS 1.0 não conseguirão acessar seu site.

  • TLS 1.2 and Later (High Compatibility and Best Security): Atende aos requisitos mais recentes de conformidade de segurança, mas clientes mais antigos que utilizam apenas os protocolos TLS 1.0 ou 1.1 não conseguirão acessar seu site.

  • Support TLS 1.3: Se o seu site suporta o protocolo TLS 1.3, marque esta caixa de seleção. Por padrão, o WAF não escuta requisições de clientes que utilizam TLS 1.3.

• Conjunto de cifras

  Na seção Cipher Suite da página Add Port, selecione uma opção.

  • All Cipher Suites (High Compatibility and Low Security)

  • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Se o seu site requer conjuntos de cifras específicos, selecione esta opção e escolha os conjuntos necessários.

    Strong cipher suites	Weak cipher suites
    ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

    Nota

    • Observação de segurança sobre conjuntos de cifras: Os conjuntos de cifras ECDHE-RSA-AES128-SHA256 e ECDHE-RSA-AES256-SHA384 utilizam ECDHE para troca de chaves, RSA para autenticação e criptografia AES-CBC. Em comparação com conjuntos de cifras que usam modos de criptografia autenticada como AES-GCM, esses apresentam segurança e desempenho inferiores. Algumas ferramentas de verificação de segurança podem classificá-los como conjuntos de cifras fracos. Nesse caso, utilize um conjunto de cifras personalizado e exclua manualmente esses dois conjuntos.

    • Convenções de nomenclatura de conjuntos de cifras: O WAF exibe os conjuntos de cifras no formato OpenSSL, mas algumas ferramentas de verificação podem usar as convenções de nomenclatura IANA. Por exemplo, ECDHE-ECDSA-AES256-SHA384 no OpenSSL corresponde a TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 no IANA. Para consultar o mapeamento, acesse ciphersuite.info ou utilize outra ferramenta de consulta de conjuntos de cifras TLS.

• Additional Certificate

  Na seção Additional Certificate da página Add Port, faça o upload do certificado. O método de upload é o mesmo de Default Certificate.

  Nota

  Ao adicionar múltiplos certificados adicionais, todos os certificados devem ser válidos. Se algum certificado estiver expirado, a operação falhará.

Obtenha informações reais do cliente

• Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF

  Na página Add Now, configure as definições na seção Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF.

  No other proxy

  Indica que as requisições são enviadas diretamente dos clientes para o WAF.

  Other proxies

  Indica que as requisições são encaminhadas ao WAF a partir de outro proxy de camada 7. Também é necessário especificar Obtain Actual IP Address of Client.

  • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

    Ao selecionar esta opção, o WAF obtém o IP de origem na seguinte ordem de precedência:

    1. O valor do cabeçalho de requisição X-Real-IP.

    2. Se o cabeçalho X-Real-IP não existir, o primeiro endereço IP no cabeçalho X-Forwarded-For (XFF).

  • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

    Nota

    Recomendamos configurar o service de proxy upstream para gravar o endereço IP de origem em um campo de cabeçalho específico, como X-Real-IP ou X-Client-IP. Usar um cabeçalho específico impede que invasores contornem o WAF falsificando o cabeçalho XFF.

    No campo Header Field, insira um ou mais campos de cabeçalho. Pressione Enter após cada campo. O WAF obtém o IP de origem na seguinte ordem de precedência:

    1. O Header Field especificado, na ordem inserida.

    2. Se nenhum dos cabeçalhos especificados existir, o valor do cabeçalho X-Real-IP.

    3. Se o cabeçalho X-Real-IP também não existir, o primeiro endereço IP no cabeçalho XFF.

  • Use the Client IP from the Proxy Protocol header as the client's source IP.: Se um proxy upstream tiver o Proxy Protocol habilitado, selecione esta opção para extrair o IP original do cliente. Esse método transmite o IP de origem na camada de transporte, impossibilitando falsificação na camada HTTP. É ideal para cenários que exigem alto grau de confiança no IP de origem. Se o Proxy Protocol não contiver o IP do cliente, o WAF utilizará o endereço IP do proxy upstream como IP de origem.

• Enable Traffic Tagging

  Na página Add Now, expanda Advanced Settings, selecione Enable Traffic Tagging e configure os campos de tag.

  • Custom Header: Ao configurar um Header Name e um Header Value, o WAF adiciona esse cabeçalho às requisições de back-to-origin para identificá-las como processadas pelo WAF.

    Por exemplo, defina WAF-TAG: Yes, onde WAF-TAG é o nome do cabeçalho e Yes é o valor. O servidor de origem pode usar esse cabeçalho para validação ou políticas de controle de acesso.

    Importante

    Não utilize campos de cabeçalho HTTP padrão como User-Agent. Isso sobrescreve o conteúdo do campo de cabeçalho padrão com o valor personalizado.

  • Originating IP Address: Configure o campo de cabeçalho que contém o endereço IP de origem real do cliente. O WAF registra e repassa esse cabeçalho ao servidor de origem. As regras de extração de IP correspondem às de Is a Layer 7 proxy (such as Anti-DDoS Proxy or CDN) deployed in front of WAF?.

  • Source Port: Configure o campo de cabeçalho que contém a porta de origem real do cliente. O WAF registra e repassa esse cabeçalho ao servidor de origem.

• Retrieve client protocol from the X-Forwarded-Proto header

  Na página Add Now, expanda Advanced Settings e selecione Retrieve client protocol from the X-Forwarded-Proto header.

Otimize a conexão de back-to-origin

• Defina os timeouts de conexão de leitura e gravação

  Na página Add Now, expanda Advanced Settings e configure as seguintes definições.

  • Read Timeout: Timeout para aguardar a resposta do servidor de origem. Aumente para interfaces lentas, como exportações de relatórios ou processamento em lote. Padrão: 120s. Intervalo: 1s a 3.600s.

  • Write Timeout: Timeout para o WAF enviar uma requisição ao servidor de origem. Aumente somente se a origem estiver sob carga extremamente alta. Padrão: 120s. Intervalo: 1s a 3.600s.

• Origin Keep-alive

  Importante

  Se este recurso estiver desabilitado, as conexões keep-alive de back-to-origin não suportarão o protocolo WebSocket.

  Na página Add Now, expanda Advanced Settings. Na seção Origin Keep-alive, ative este recurso e configure as seguintes definições.

  • Max Requests per Connection: Padrão: 1.000. Intervalo: 60 a 1.000. Corresponde ao parâmetro keepalive_requests do Nginx. Documentação do Nginx.

  • Idle Timeout: Padrão: 3.600s. Intervalo: 10s a 3.600s. Corresponde ao parâmetro keepalive_timeout do Nginx.

Controle o tamanho de arquivos enviados

Max Body Size (somente na Ultimate Edition)

• Descrição: Por padrão, o WAF suporta uploads de arquivos de até 2 GB. A Ultimate Edition permite ajustar esse limite.

• Procedimento: Na página Add Now, expanda Advanced Settings e configure o Max Body Size. O valor padrão é 2 GB e o máximo é 10 GB. Após a configuração, também é necessário aumentar os valores de Read Timeout e Write Timeout.

Gerenciamento de recursos

Resource Group

• Descrição: Os grupos de recursos simplificam o gerenciamento e a configuração de permissões. Se você não especificar um, a instância usará o Default Resource Group. Resource groups.

• Procedimento: Na página Add Now, na seção Resource Group, selecione um grupo de recursos para a instância na lista suspensa.

Práticas recomendadas para produção

Adote estas práticas ao integrar instâncias ECS de produção.

• Configuração HTTPS: implante certificados nas suas instâncias ECS com as seguintes configurações.

  • Faça upload dos seus arquivos de certificado no Certificate Management Service (Original SSL Certificate).

  • Configure uma porta de encaminhamento de tráfego HTTPS. Defina TLS version para a versão 1.2 ou superior.

  • Set up notifications for SSL certificates para atualizá-los antes que expirem.

• Implantação gradual: primeiro, adicione uma instância ECS fora do ambiente de produção durante períodos de baixo tráfego. Após confirmar que os serviços funcionam normalmente por um período, adicione a instância ECS de produção.

• Verificar serviços: após a integração, confirme se os serviços funcionam normalmente:

  • Verificar logs: analise os logs em busca de variações significativas no percentual de códigos de status 200 e observe picos ou quedas repentinas de QPS. Se você tiver ativado o serviço de log do WAF, consulte WAF logs.

  • Monitoramento de aplicativo: verifique se as funções principais da aplicação, como acesso de usuários e transações, funcionam conforme o esperado.

• Manutenção: monitore continuamente ataques e falsos positivos.

  • Tratamento de eventos: para se manter informado sobre ataques e eventos de segurança, consulte Security Reports e configure CloudMonitor notifications.

  • Ajuste de regras: para identificar se requisições legítimas estão sendo bloqueadas por engano, monitore continuamente os logs de ataque e ajuste as regras de proteção conforme necessário.

Cotas e limites

• Limites de porta: o número total de portas de encaminhamento de tráfego não pode exceder a cota da sua instância WAF.

  • Instância WAF por assinatura: Basic Edition (até 300), Pro (até 600), Enterprise (até 2.500) e Ultimate (até 10.000).

  • Instância WAF com pagamento conforme o uso: até 10.000.

• Anti-DDoS Proxy: se você utiliza o Anti-DDoS Proxy, o tráfego deve passar por ele antes de chegar ao WAF. Configure a instância do Anti-DDoS Proxy no modo Website Config (Layer 7).

• Cenários não suportados:

  • Proteção de sites IPv6 em instâncias ECS.

  • Configuração de redirecionamento forçado HTTPS no WAF.

  • Upload de certificados com algoritmos GM/T (SM).

Por que não consigo encontrar a instância ECS que desejo adicionar?

Primeiro, tente clicar em Synchronize Assets no canto superior direito da página Onboarding.

Se a instância ainda não for encontrada, ela não atende aos prerequisites. Por exemplo, uma instância ECS em uma região fora do território continental da China requer uma instância WAF para uma região fora do território continental da China para usar o método de integração Cloud Native. Como alternativa, use CNAME connection type.

O WAF protege tráfego não web, como FTP e SSH?

Não. O WAF protege apenas tráfego web HTTP e HTTPS. Ele não é capaz de proteger tráfego que use outros protocolos, como FTP e SSH.

Quais portas são suportadas pelo método de integração Cloud Native?

O método Cloud Native suporta qualquer porta de 1 a 65535. Port ranges supported by WAF.

Um domínio em uma instância ECS pode usar os métodos de integração Cloud Native e CNAME ao mesmo tempo?

Não é recomendado. Cada domínio deve usar apenas um método — Cloud Native ou CNAME. Usar os dois simultaneamente gera conflitos de encaminhamento. Para migrar do CNAME para o Cloud Native: reverta o registro DNS para a origem, aguarde a propagação, exclua a configuração CNAME e depois integre via Cloud Native.

Como adiciono proteção quando um domínio resolve para múltiplas instâncias ECS?

• Usar o método Cloud Native: adicione cada uma dessas instâncias ECS individualmente para garantir que o WAF direcione o tráfego para todas as instâncias desejadas.

• Usar o tipo de conexão CNAME: adicione o domínio com o tipo de conexão CNAME e configure os endereços IP públicos das múltiplas instâncias ECS como endereços de origem.

Como adiciono proteção quando múltiplos domínios resolvem para uma única instância ECS?

• Usar o método Cloud Native: após adicionar a instância ECS, todos os domínios nessa instância são protegidos pelas políticas padrão. Para configurar regras de proteção diferentes para cada domínio, adicione manualmente cada domínio como um objeto protegido separado. Add a protected object.

• Usar o tipo de conexão CNAME: adicione cada domínio individualmente.