Web Application Firewall:Enable WAF protection for Cloud-native API Gateway instances

Como funciona

O Cloud-native API Gateway utiliza integração via sdk. O sdk é incorporado diretamente ao product cloud para extrair, detectar e proteger o tráfego. Como o WAF não encaminha o tráfego, essa abordagem evita problemas de compatibilidade e estabilidade causados por uma camada adicional de encaminhamento.

Escopo de aplicação

Caso sua instância do APIG não atenda aos requisitos abaixo, utilize CNAME integration.

• Requisitos de conta: As instâncias do APIG e do WAF devem pertencer à mesma conta Alibaba Cloud, exceto se o multi-account management feature estiver configurado.

• Requisitos de região: A proteção do WAF está disponível apenas para instâncias do APIG nas seguintes regiões: China (Hangzhou), China (Shanghai), China (Beijing), China (Shenzhen), China (Ulanqab), China (Zhangjiakou), China (Qingdao), China (Chengdu), China (Hong Kong), Singapore, Indonesia (Jakarta), Japan (Tokyo), Germany (Frankfurt), US (Silicon Valley) e US (Virginia).

Procedimento

1. Acesse o console:

   Faça login no console do Web Application Firewall 3.0. Na barra de menus superior, selecione o grupo de recursos e a região da sua instância do WAF (Chinese Mainland). No painel de navegação à esquerda, clique em Onboarding. Selecione a aba Cloud Native e, na lista de tipos de produtos cloud à esquerda, escolha Cloud-native API Gateway.

2. Autorize o product cloud (apenas na primeira vez):

   Clique em Authorize Now para concluir a autorização. A função vinculada ao service AliyunServiceRoleForWAF será criada e ficará visível na página console do RAM Identities > Roles.

3. Conecte-se à instância do Cloud-native API Gateway:

   1. Clique em Add. A página redirecionará você para o console do Cloud-Native API Gateway.

   2. No painel de navegação à esquerda, clique em Instance. Em seguida, ative a proteção do WAF.

      Ativar proteção no nível da instância

      1. Na página Instance, clique no gateway desejado na coluna Instance ID/Name.

      2. Na aba Basic Information, dentro da área Network Information, clique em Enable para ativar a proteção do WAF. No painel exibido, selecione Continue to enable instance-level WAF protection (recommended).

      Ativar proteção no nível da rota

      1. Na página Instance, clique em API Management na coluna Actions do gateway alvo.

      2. Na página API, clique na API desejada na coluna API Name. Selecione a aba Policy Configurations.

      3. Na área Inbound Processing, clique em Enable Policy/Plug-in. Selecione o cartão WAF Policy.

      4. Clique em Enable Route-level WAF Protection (Recommended). Na caixa de diálogo exibida, clique em OK.

4. Verifique a proteção:

   A integração foi bem-sucedida quando o status de WAF Protection na página Basic Information da instância de destino exibir Enabled, ou quando o status do WAF na página Policy Configurations da rota de destino mostrar Enabled. Para confirmar, insira seu nome de domínio com um payload de ataque web no navegador (por exemplo, <your-domain-name>/alert(xss), onde alert(xss) é um payload de teste XSS). Uma página de bloqueio 405 confirma que o WAF está ativo.

Próximos passos

Visualize e configure regras de proteção

Após a integração, o WAF cria um objeto protegido com o sufixo -apig e habilita as regras de Web Core Protection e de outros módulos por padrão. Visualize essas configurações na página Protection Config > Protected Objects. Para personalizar as regras, consulte Overview of Mitigation Settings.

Rollback (desativar proteção)

• Desative temporariamente a proteção do WAF: Se ocorrerem problemas após a integração (como falsos positivos), desligue a chave WAF Protection Status na página Protected Objects. One-Click WAF Protection Disable Feature.

• Cancele o onboarding: Para remover a proteção do WAF das instâncias do APIG, acesse o console do Cloud-Native API Gateway e clique em Instance para desativar a proteção do WAF.

  Desativar proteção no nível da instância

  1. Na página Instance, clique no gateway desejado na coluna Instance ID/Name.

  2. Na aba Basic Information, dentro da área Network Information, clique em Disable para desativar a proteção do WAF. No painel exibido, selecione Continue to disable instance-level WAF protection (not recommended).

  Desativar proteção no nível da rota

  1. Na página Instance, clique em API Management na coluna Actions do gateway alvo.

  2. Na página API, clique na API desejada na coluna API Name. Selecione a aba Policy Configurations.

  3. Na área Inbound Processing, clique no ícone após Waf e, na caixa de diálogo pop-up, clique em Delete.

  Importante

  • Após a desativação, o WAF deixa de proteger o tráfego do service e os relatórios de segurança não incluem mais dados desse tráfego.

  • Para instâncias do WAF com pagamento conforme o uso, as taxas de processamento de solicitações cessam após a desativação, mas as taxas de recursos da instância do WAF e das regras de proteção existentes continuam. Para interromper todo o faturamento do WAF, Disable WAF.

Cotas e limites

• Quantidade de instâncias conectadas: Não deve exceder o limite da sua edição do WAF.

  • Instâncias do WAF por assinatura: Basic Edition: até 300; Pro Edition: até 600; Enterprise Edition: até 2.500; Ultimate Edition: até 10.000.

  • Instâncias do WAF com pagamento conforme o uso: até 10.000.

• Recursos não suportados:

  • Proteção contra adulteração de site.

  • Prevenção contra vazamento de dados.

  • Integração automática do Web sdk em cenários de proteção contra web crawlers no gerenciamento de bots.

Quais são as diferenças entre a integração cloud native do WAF e a integração CNAME? Elas podem ser usadas juntas?

O WAF oferece dois tipos de integração: integração com products cloud e integração CNAME.

• Integração cloud native (este tópico): Integra instâncias de products Alibaba Cloud sob a conta atual.

• Integração CNAME: Integra nomes de domínio. Suporta cenários entre contas e entre clouds.

Os dois métodos não podem ser usados simultaneamente — cada domínio aceita apenas um. Configurações duplicadas causam conflitos de encaminhamento de tráfego que tornam a proteção ineficaz. Overview of Integration.