Web Application Firewall:Getting started: Protect an ECS instance from HTTP flood attacks

Um ataque de flood HTTP é um tipo de ataque DDoS que sobrecarrega um servidor com um grande volume de requisições simultâneas. Isso pode esgotar os recursos de computação ou as conexões com o banco de dados, resultando em lentidão nas respostas e indisponibilidade do serviço, geralmente indicada por um aumento repentino no QPS e no consumo de largura de banda. Para proteger suas instâncias do ECS expostas publicamente contra esses ataques, ative o Web Application Firewall (WAF). O WAF oferece defesa eficaz contra ataques de flood HTTP, garantindo a estabilidade dos seus serviços.

Pré-requisitos

• A instância do ECS hospeda um web service acessível por um endereço IP público.

• A instância do ECS deve estar em uma das seguintes regiões: China (Chengdu), China (Beijing), China (Zhangjiakou), China (Hangzhou), China (Shanghai), China (Shenzhen), China (Qingdao), China (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta) ou Singapore. Caso esse requisito não seja atendido, utilize CNAME access.

Etapa 1: Ative um WAF com pagamento conforme o uso

1. Acesse a página de compra do Web Application Firewall 3.0 (Pay-As-You-Go).

2. Defina Asset Type como Web Application Firewall 3.0 e Billing Method como Pay-as-you-go, e configure os seguintes parâmetros.

   Parâmetro	Descrição
   Region	Define a localização dos nós de proteção do WAF. Se a instância do ECS estiver implantada no território continental da China, selecione Chinese Mainland. Caso contrário, selecione Outside Chinese Mainland.
   Version	O padrão é Pay-as-you-go. Nenhuma configuração adicional é necessária.
   Service-Linked Role	O WAF precisa acessar seus recursos de nuvem para fornecer serviços como controle de acesso ao tráfego e monitoramento. Clique em Create Service-Linked Role. O sistema cria automaticamente a função AliyunServiceRoleForWaf. Não modifique essa função manualmente.

3. Clique em Buy Now e conclua a compra.

Etapa 2: Integre uma instância do ECS

1. Faça login no console do Web Application Firewall 3.0. Na barra de menu superior, selecione um grupo de recursos e uma região (Chinese Mainland ou Outside Chinese Mainland). No painel de navegação à esquerda, clique em Onboarding. Selecione a aba Cloud Native e, em seguida, selecione Elastic Compute Service (ECS).

2. Localize a instância do ECS desejada na lista. Na coluna Actions, clique em Add Now. Se não encontrar a instância, clique em Synchronize Assets no canto superior direito. Se ainda não conseguir localizá-la, a instância não atende aos requisitos descritos em Prerequisites.

3. Na área Select instances & ports to protect, clique em Add Port na coluna Actions.

4. Na caixa de diálogo Add Port exibida, configure a porta e o tipo de protocolo do seu site.

   • Site HTTP padrão

     Se o endereço do site for http://yourdomain.com, defina Protocol Type como HTTP e Port como 80.

   • Site HTTPS padrão

     Se o endereço do site for https://yourdomain.com, defina Protocol Type como HTTPS e Port como 443.

   • Site com porta não padrão

     Se o endereço do site incluir explicitamente um número de porta no formato Domain name:Port number, insira o número de porta correspondente. Por exemplo:

     • Para http://yourdomain.com:8080, defina Protocol Type como HTTP e Port como 8080.

     • Para https://yourdomain.com:8443, defina Protocol Type como HTTPS e Port como 8443.

   HTTP

   1. Na seção Port, insira a porta utilizada pelo seu site.

   2. Na seção Protocol Type, selecione HTTP.

   HTTPS

   1. Na área Port, insira a porta utilizada pelo seu site.

   2. Na área Protocol Type, selecione HTTPS.

   3. Mantenha as configurações padrão para HTTP2, TLS Version, Cipher Suite e Additional Certificate.

   4. Na área Default Certificate, selecione um método para fazer upload do certificado:

      • Escolha esta opção se ainda não tiver feito upload do seu certificado para o Certificate Management Service (Original SSL Certificate) da Alibaba Cloud.

      • Selecione um certificado existente no Certificate Management Service (Original SSL Certificate) da Alibaba Cloud.

        Manual upload

        • Certificate Name: Insira um nome exclusivo para o certificado.

        • Certificate File: Abra o arquivo de certificado e cole seu conteúdo. O certificado deve estar no formato PEM, CER ou CRT.

          Exemplo de formato: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

          • Conversão de formato: Se o certificado estiver em um formato como PFX ou P7B, utilize o certificate tool para convertê-lo para o formato PEM.

          • Cadeia de certificados: Se houver um certificado intermediário, cole o certificado do servidor seguido do certificado intermediário.

        • Private Key: Abra o arquivo de chave privada e cole seu conteúdo. A chave privada deve estar no formato PEM.

          Exemplo de formato: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

        Select existing certificate

        Selecione na lista suspensa o certificado que deseja fazer upload para o WAF.

        Nota

        Se o console do WAF exibir "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", a cadeia de certificados está incompleta. Verifique se o conteúdo do certificado está correto e completo e, em seguida, faça o upload novamente no console do Certificate Management Service. Para mais informações, consulte Upload, synchronize, and share SSL certificates.

5. Mantenha as configurações padrão para os demais parâmetros e clique em OK.

6. (Opcional) Visualize o objeto protegido: Após adicionar a instância do ECS, o WAF cria automaticamente um objeto protegido no formato instance-id-port-asset-type. Por padrão, o WAF ativa regras de proteção para esse objeto, como regras de proteção web essenciais. Visualize o objeto protegido na página Protection Config > Protected Objects.

7. Verifique a proteção básica: Acesse o site hospedado na instância do ECS em um navegador e adicione uma string de teste de ataque web à URL, como http://yourdomain.com/alert(xss). Se o WAF retornar uma página de bloqueio 405, a proteção está funcionando corretamente.

Etapa 3: Configure as regras de proteção contra flood HTTP

1. No painel de navegação à esquerda, acesse Protection Config > Core Web Protection.

2. Na parte inferior da página, na seção HTTP Flood Protection, clique em Create Template.

3. No painel Create Template, configure os seguintes parâmetros.

   Parâmetro	Descrição
   Template Name	Insira um nome de fácil identificação para o modelo.
   Save as Default Template	Mantenha esta opção desativada.
   Protection Mode	Standard Mode: Intercepta apenas requisições com características de ataque evidentes. Apresenta baixa taxa de falsos positivos e é indicado para operações cotidianas com tráfego estável. Strict Mode: Emprega um algoritmo de detecção de alta intensidade capaz de bloquear efetivamente ataques de flood HTTP, porém com maior risco de falsos positivos. Recomendamos ativar este modo somente se o Standard Mode não for suficiente e você observar lentidão nas respostas ou cargas anormais de recursos (CPU/memória). Nota O Strict Mode aplica-se exclusivamente a serviços web (incluindo H5). Não o utilize para endpoints de API ou aplicativos nativos, pois isso pode gerar uma alta taxa de falsos positivos.
   Action	Define o que ocorre quando uma requisição corresponde à regra de proteção. Selecione JavaScript Validation.
   Apply To	Na área Available Objects, selecione o objeto protegido correspondente à sua instância do ECS. Clique no ícone para movê-lo para a área Selected.

4. Clique em OK.

   Após a criação, na área CC Protection da lista de modelos de regras, o modelo criado (como cc-protect) ficará visível. Confirme que o Template Switch está ativado.

Etapa 4: Visualize os dados de proteção contra ataques

Após concluir a configuração, acesse a página Overview pelo painel de navegação à esquerda. Lá você encontra informações como Protection Overview e Top 10 Attacks para analisar a segurança dos seus serviços.

Escolha a próxima etapa de acordo com suas necessidades:

• Continuar usando o WAF (recomendado): Prossiga para Advanced optimization.

• Parar de usar o WAF: Prossiga para Release resources to stop billing.

Otimização avançada: aprimore a proteção e controle os custos

Ajuste as configurações deste tópico para atender às necessidades específicas do seu negócio, aumentando a segurança e reduzindo os custos.

• Proteção colaborativa com múltiplos módulos: Combine o WAF com os seguintes módulos para uma defesa mais robusta.

  • Custom rules: Crie regras precisas para padrões de ataque específicos usando condições e ações de correspondência flexíveis. Por exemplo, configure regras de controle de frequência para implementar limitação de taxa.

  • Whitelist: Permita requisições que atendam a critérios específicos, como as provenientes de endereços IP confiáveis.

  • IP blacklist: Bloqueie o acesso de endereços IP maliciosos conhecidos.

  • Region block: Bloqueie requisições de regiões geográficas específicas. Por exemplo, se o seu negócio atende apenas usuários dentro da China e você detecta um grande volume de ataques provenientes de fora do país, ative este recurso.

• Opções avançadas de integração: O WAF oferece múltiplos métodos de integração. Escolha o mais adequado às suas necessidades de negócio.

  • Onboard ECS instances in Cloud Native mode: Este tópico utiliza este método para integração rápida. Se precisar configure versões TLS, conjuntos de cifras ou múltiplos certificados, consulte Enhance HTTPS security. Para configure proxy de camada 7 (como CDN) na frente do WAF ou marcação de tráfego, consulte Obtain real client information.

  • CNAME access: Adicione recursos usando nomes de domínio. Mais indicado para cenários que exigem maior flexibilidade, menos restrições e suporte mais amplo a recursos.

• Sugestões de otimização de custos:

  • SeCU Resource Plan: Plano de otimização de custos para o WAF com pagamento conforme o uso. Após ativar uma instância WAF nessa modalidade, adquira um plano de recursos SeCU para compensar os encargos totais do pagamento conforme o uso.

  • Subscription WAF: Se planeja usar o WAF por um longo período, recomendamos adquirir uma instância WAF com assinatura para obter um preço unitário mais vantajoso.

Libere recursos para encerrar o faturamento

Após concluir este guia de início rápido, se não precisar mais da instância WAF criada neste tutorial, siga estas etapas para desativá-la e encerrar o faturamento.

1. Acesse a página Overview pelo painel de navegação à esquerda. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância WAF.

2. Se a página de boas-vindas "Welcome to Web Application Firewall" for exibida, clique em Go to Console no canto superior direito. Se essa página não aparecer, ignore esta etapa.

3. No lado direito da página, clique em Terminate WAF Service. Na caixa de diálogo, marque as caixas de seleção relevantes e clique em OK.