Web Application Firewall:Configure custom response pages

Como funciona

Por padrão, quando uma solicitação de cliente corresponde a uma regra de proteção do WAF e a ação da regra está definida como Block, CAPTCHA ou Strict CAPTCHA, o WAF retorna uma página de resposta padrão. Use o recurso Custom Response para definir o seguinte:

• Código de status HTTP (por exemplo, 403, 406 ou 429)

• cabeçalhos de resposta

• corpo da resposta em formatos como HTML ou JSON

Observações de uso

• Requisitos de versão: este recurso está disponível para instâncias do WAF por assinatura (Enterprise Edition ou Ultimate Edition) e instâncias do WAF com pagamento conforme o uso.

• Pré-requisitos: você deve ter um objeto protegido, criado ao adicionar um web service ao WAF. Se você ainda não adicionou um service, consulte Access overview.

• Módulos de proteção compatíveis: com exceção do módulo Core Protection Rule, todos os módulos cuja ação de regra pode ser configurada como Block, CAPTCHA ou Strict CAPTCHA são compatíveis.

• Limitações do modo de implantação:

  • O Function Compute não é compatível.

  • O Microservices Engine (MSE) deve ser da versão 2.0.18 ou posterior.

  • O API Gateway (APIG) deve ser da versão 2.1.13 ou posterior.

  • O Bot Management para proteção de aplicativo não é compatível com páginas de controle deslizante personalizadas. Em vez disso, modifique a configuração do SDK.

Procedimento

Configurar uma página de resposta

1. Acesse o console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, escolha Protection Config > Global Configuration > Response Page Management.

3. Na página Configure Response Page, selecione a guia Block Page ou CAPTCHA Page e clique em Create.

   Block Page

   • Name: insira um nome descritivo.

   • Status Code: especifique o código de status HTTP que o WAF retorna ao cliente após bloquear uma solicitação. Valores válidos: 200 a 600. O código de status padrão para uma ação de bloqueio é 405. Os códigos de status 204, 304, 600 e 498 não são compatíveis.

   • Custom Header: especifique os cabeçalhos de resposta que o WAF inclui na resposta após bloquear uma solicitação. Cada cabeçalho consiste em um Header Name e um Header Value. É possível adicionar até 10 cabeçalhos.

   • Response Body: insira o código source da página de bloqueio. A configuração deve atender aos seguintes requisitos:

     • Os formatos compatíveis incluem HTML e JSON.

     • O código pode ter até 4.000 caracteres.

   Importante

   Para incluir o ID da solicitação na página de resposta, adicione a string {::trace_id::} ao código. Esse ID ajuda a encontrar a solicitação correspondente no Simple Log Service.

   Exemplo de configuração

   • Status Code: 403.

   • Custom Header:

     • Header Name: Content-Type.

     • Header Value: text/html; charset=utf-8.

   • Response Body:

     <!DOCTYPE html>
     <html>
     <head>
       <meta charset="UTF-8">
       <title>Request Blocked</title>
     </head>
     <body>
       <h1>Access Denied</h1>
       <p>Your request has been blocked by the security policy.</p>
       <p>Request ID: {::trace_id::}</p>
     </body>
     </html>

   CAPTCHA Page

   • Name: insira um nome descritivo.

   • Status Code: o código de status HTTP que o WAF retorna ao cliente quando uma solicitação aciona uma verificação por controle deslizante. O valor padrão é 200 e não pode ser alterado.

   • Custom Header: especifique os cabeçalhos de resposta que o WAF inclui na resposta quando uma solicitação aciona uma verificação por controle deslizante. Cada cabeçalho consiste em um Header Name e um Header Value. É possível adicionar até 10 cabeçalhos. O cabeçalho a seguir é incluído por padrão e não pode ser alterado.

     • Header Name: Content-Type.

     • Header Value: text/html; charset=utf-8.

   • Estilo Predefined ou Custom: define o estilo do CAPTCHA de controle deslizante que o WAF apresenta ao cliente. Configure definições como idioma, ícone, texto e se o ID da solicitação deve ser exposto. Clique em Preview para visualizar a página do CAPTCHA de controle deslizante. No momento, não há suporte para layout CSS personalizado ou configuração de pitch.

Aplicar a regras de proteção ou objetos

Após configurar uma página de resposta, aplique-a a uma regra de proteção ou a um objeto protegido:

• Aplicar a uma regra de proteção: quando uma solicitação corresponde à regra, o WAF retorna a página de resposta personalizada atribuída a essa regra.

• Aplicar a um objeto protegido: quando uma solicitação para o objeto protegido aciona uma regra de proteção, o WAF retorna a página de resposta personalizada atribuída a esse objeto.

Se uma página de resposta personalizada estiver configurada tanto para uma regra de proteção quanto para um objeto protegido, a configuração da regra de proteção terá precedência.