Web Application Firewall:Proteja aplicações web com o gerenciamento de bots

Procedimento

Acesse o console do Web Application Firewall (WAF) 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da sua instância do WAF. No painel de navegação à esquerda, escolha Protection Config > Bot Management > Bot Management Template. Na aba Web Protection > Protection Template, clique em Create Template.

Etapa 1: Defina as informações básicas

1. Insira um Template Name de fácil identificação e uma Template Description.

2. Selecione a opção Save as Default Template. O módulo de Web Protection do gerenciamento de bots permite apenas um modelo padrão. O sistema aplica o modelo padrão automaticamente a novos objetos protegidos ou grupos de objetos adicionados, e configura a integração do Web SDK automaticamente para eles.

Etapa 2: Configure o cenário de proteção

Selecione um Template Mode. Os modos Smart Scoring Mode e Custom Mode são suportados.

• Smart Scoring Mode: Quando uma requisição corresponde a uma regra, o sistema atribui uma pontuação automaticamente com base nas regras integradas e executa a ação especificada, como bloquear, validar ou monitorar. Este modo é ideal para configurações rápidas.

• Custom Mode: O sistema categoriza as regras com base na vasta biblioteca de assinaturas de bots da Alibaba Cloud. Configure a ação para cada regra individualmente. Este modo é recomendado para um controle mais granular.

  Smart Scoring Mode

  1. Selecione uma Protection Scene com base nas necessidades do seu negócio. Em caso de dúvida, recomendamos selecionar a General Protection.

  2. Selecione as Traffic Characteristics. As opções Global e Customize Match Conditions são suportadas.

     • Global: Aplica-se a todo o tráfego do objeto protegido. Indicado para cenários que envolvem apenas ambientes web ou H5.

     • Customize Match Conditions: Aplica-se a cenários em que é necessário diferenciar o tráfego web ou H5 com base em suas características. Por exemplo, quando seu site e uma API, aplicativo ou mini-programa compartilham um endpoint, mas você deseja proteger apenas o tráfego web, ou quando precisa de uma proteção granular para endpoints de negócios específicos, como promoções relâmpago ou logins.

       Global

       Se você selecionar Global, não será necessário definir as características do tráfego.

       Customize Match Conditions

       Se você selecionar Customize Match Conditions, o WAF corresponderá as requisições com base nas características definidas. Clique em Add Condition para adicionar uma condição. Cada condição consiste em um Match Field, um Logical Operator e um Match Content. A tabela a seguir fornece exemplos de configuração.

       Nota

       Se uma regra tiver várias condições, a requisição deverá atender a todas elas (um AND lógico) para corresponder à regra. Para mais informações sobre campos de correspondência e operadores lógicos, consulte Match conditions.

       Match Field	Logical Operator	Match Content	Descrição
       Caminho da URI	Contém	/login.php	Corresponde se o caminho da requisição contiver /login.php.
       IP	Pertence a	192.1.XX.XX	Corresponde se o endereço IP do cliente for 192.1.XX.XX.

  3. Selecione a opção Exclude Static Files. Requisições para arquivos estáticos geralmente não envolvem lógica de negócios e são menos suscetíveis a ataques de injeção. Excluí-las pode reduzir a carga de detecção, permitindo que o WAF foque na proteção de endpoints dinâmicos. Recomendamos usar os tipos de arquivo estático padrão, mas você também pode adicionar tipos personalizados.

  4. Na área de Human-Machine Challenge, clique em Edit para editar as regras de verificação. Esse recurso vem ativado por padrão, e recomendamos que você o mantenha ativado.

     1. Selecione um modo de verificação. Os modos JavaScript Validation e Token-based Authentication são suportados.

        • JavaScript Validation: Adequado para cenários de proteção diária de baixa intensidade.

        • Token-based Authentication: Adequado para cenários adversariais de alta intensidade. Recomendamos ativar este modo durante períodos críticos de proteção, como alguns minutos antes do início de uma grande promoção de vendas.

          JavaScript Validation

          Quando uma requisição aciona uma regra, o WAF retorna um código de validação JavaScript para o cliente. Um navegador padrão executa esse código automaticamente. Se o cliente passar na validação, o WAF permite todas as requisições subsequentes desse cliente por um período definido (padrão: 30 minutos). Caso contrário, as requisições são bloqueadas.

          Token-based Authentication

          Quando uma requisição aciona uma regra, o WAF retorna um código JavaScript. Um navegador padrão executa esse código para assinar e reenviar a requisição. O WAF bloqueia requisições maliciosas que não possuem a assinatura necessária. Você pode configurar as seguintes opções:

          • Signature Timestamp Exception: Bloqueia requisições se o carimbo de data e hora da assinatura for anômalo.

          • WebDriver Attack: Bloqueia requisições se um ataque WebDriver for detectado.

     2. Se necessário, configure a Canary Rule e o Effective Mode. Para mais informações, consulte Canary release and effective mode.

  5. Na área de Search Engine Crawler, clique em Edit para editar as regras de permissão para mecanismos de busca. Esse recurso vem ativado por padrão, e recomendamos que você o mantenha ativado.

     1. Selecione os crawlers de mecanismos de busca que deseja permitir.

     2. Se necessário, configure a Canary Rule e o Effective Mode. Para mais informações, consulte Canary release and effective mode.

  6. Na área de Bot Scoring Range Settings, arraste os controles deslizantes para definir os intervalos de pontuação e suas respectivas ações. Configure o seguinte para cada intervalo:

     1. Actions: Recomendamos aplicar ações progressivamente mais rigorosas para intervalos de pontuação mais altos, como monitorar, CAPTCHA de controle deslizante e bloquear. Para mais informações, consulte Description of actions.

     2. Canary Rule e Effective Mode: Para mais informações, consulte Canary release and effective mode.

  Custom Mode

  1. Selecione as Traffic Characteristics. As opções Global e Customize Match Conditions são suportadas.

     • Global: Aplica-se a todo o tráfego do objeto protegido. Indicado para cenários que envolvem apenas ambientes web ou H5.

     • Customize Match Conditions: Aplica-se a cenários em que é necessário diferenciar o tráfego web ou H5 com base em suas características. Por exemplo, quando seu site e uma API, aplicativo ou mini-programa compartilham um endpoint, mas você deseja proteger apenas o tráfego web, ou quando precisa de uma proteção granular para endpoints de negócios específicos, como promoções relâmpago ou logins.

       Global

       Se você selecionar Global, não será necessário definir as características do tráfego.

       Customize Match Conditions

       Se você selecionar Customize Match Conditions, o WAF corresponderá as requisições com base nas características definidas. Clique em Add Condition para adicionar uma condição. Cada condição consiste em um Match Field, um Logical Operator e um Match Content. A tabela a seguir fornece exemplos de configuração.

       Nota

       Se uma regra tiver várias condições, a requisição deverá atender a todas elas (um AND lógico) para corresponder à regra. Para mais informações sobre campos de correspondência e operadores lógicos, consulte Match conditions.

       Match Field	Logical Operator	Match Content	Descrição
       Caminho da URI	Contém	/login.php	Corresponde se o caminho da requisição contiver /login.php.
       IP	Pertence a	192.1.XX.XX	Corresponde se o endereço IP do cliente for 192.1.XX.XX.

  2. Selecione a opção Exclude Static Files. Requisições para arquivos estáticos geralmente não envolvem lógica de negócios e são menos suscetíveis a ataques de injeção. Excluí-las pode reduzir a carga de detecção, permitindo que o WAF foque na proteção de endpoints dinâmicos. Recomendamos usar os tipos de arquivo estático padrão, mas você também pode adicionar tipos personalizados.

  3. Na área de Human-Machine Challenge, clique em Edit para editar as regras de verificação. Esse recurso vem ativado por padrão, e recomendamos que você o mantenha ativado.

     1. Selecione um modo de verificação. Os modos JavaScript Validation e Token-based Authentication são suportados.

        • JavaScript Validation: Adequado para cenários de proteção diária de baixa intensidade.

        • Token-based Authentication: Adequado para cenários adversariais de alta intensidade. Recomendamos ativar este modo durante períodos críticos de proteção, como alguns minutos antes do início de uma grande promoção de vendas.

          JavaScript Validation

          Quando uma requisição aciona uma regra, o WAF retorna um código de validação JavaScript para o cliente. Um navegador padrão executa esse código automaticamente. Se o cliente passar na validação, o WAF permite todas as requisições subsequentes desse cliente por um período definido (padrão: 30 minutos). Caso contrário, as requisições são bloqueadas.

          Token-based Authentication

          Quando uma requisição aciona uma regra, o WAF retorna um código JavaScript. Um navegador padrão executa esse código para assinar e reenviar a requisição. O WAF bloqueia requisições maliciosas que não possuem a assinatura necessária. Você pode configurar as seguintes opções:

          • Signature Timestamp Exception: Bloqueia requisições se o carimbo de data e hora da assinatura for anômalo.

          • WebDriver Attack: Bloqueia requisições se um ataque WebDriver for detectado.

     2. Se necessário, configure a Canary Rule e o Effective Mode. Para mais informações, consulte Canary release and effective mode.

  4. Na seção Risk Identification, clique em Create para criar uma regra de identificação de risco. Com base no banco de dados de reputação de números de telefone integrado do WAF, este recurso bloqueia o acesso de números de telefone anômalos, como os associados a cambistas. É indicado para cenários como logins e cadastros baseados em número de telefone.

     Importante

     A identificação de risco é um recurso pago. As regras de faturamento são as seguintes:

     • Condições de faturamento: Você é cobrado apenas quando uma requisição corresponde a uma regra configurada.

     • Preço unitário: USD 0,007/requisição.

     • Método de faturamento: Pagamento conforme o uso. As faturas são geradas diariamente.

     • Account Extraction: Clique em Add Account para configurar o Account Type e a Location. Você pode adicionar até cinco condições, que são avaliadas com um OR lógico.

       Exemplo: Se uma requisição de login usar o método GET e os parâmetros da requisição estiverem no formato username=158***&password=***, configure as definições da seguinte forma:

       • Location: Selecione Query Parameters.

       • Parameter Name: Insira username.

       Essa configuração permite que o WAF extraia com precisão o número de telefone da requisição para subsequente correspondência e detecção de segurança.

     • Risk Tag: Clique em Add Tag para configurar tags. Você pode adicionar até cinco tags, que são avaliadas com um OR lógico.

       • Suspicious Sock Puppet Account: O número de telefone é suspeito de ser de uma plataforma de terceiros, e não de um usuário pessoal.

       • Fraud Risk: O número de telefone é suspeito de ter um histórico de atividade fraudulenta.

       • Spam Registration: O número de telefone é suspeito de ser usado com ferramentas ilícitas para cadastro de usuários, geralmente para futuras campanhas de marketing.

       • Marketing Fraud: O número de telefone é suspeito de ser usado com ferramentas ilícitas para explorar promoções de marketing, como cadastros em massa para receber cupons.

       • Ticket-Scalping Bot: O número de telefone é suspeito de ser usado com ferramentas ilícitas para participar de cambismo de ingressos ou outros eventos de promoção relâmpago.

       O Risk Level padrão para todas as tags é Alto. Você pode alterá-lo para Alto, Médio-alto ou Médio com base nas necessidades do seu negócio.

     • Rule Type: Classifique a regra como Suspected Bot ou Malicious Bot.

     • Actions: Para mais informações, consulte Description of actions.

     • Canary Rule e Effective Mode: Para mais informações, consulte Canary release and effective mode.

  5. Na área de Policy Configurations, as regras são categorizadas com base na biblioteca de assinaturas de bots da Alibaba Cloud. Para uma regra específica, você pode realizar as seguintes operações:

     • Ative/Desative: Clique no ícone na coluna Status para ativar ou desativar a regra.

     • Modifique regra: Clique em Edit para personalizar a regra. Defina as Actions, a Canary Rule e o Effective Mode. Para mais informações, consulte Description of actions e Canary release and effective mode.

     • Modifique classificação: Para regras nas categorias Malicious Bot e Suspected Bot, modifique a classificação na coluna Bot Type caso a classificação padrão não atenda aos requisitos do seu negócio.

     • Recomendações de configuração:

       Importante

       • Risco de falsos positivos: Algumas das regras a seguir apresentam risco de falsos positivos, e uma configuração inadequada pode bloquear requisições legítimas. Antes de ativar as regras em um ambiente de produção, defina as Actions como Monitor ou use a Canary Rule. Teste e ajuste as regras em um ambiente de não produção com base nas características do seu negócio antes de implantá-las na produção.

       • Observações sobre estatísticas de regras semelhantes a CC: Todas as regras de contagem CC, como Few Access Paths from IP Address, acionam uma ação imediata assim que o limiar é atingido dentro do período estatístico configurado. O sistema não espera o término do período estatístico. Após um objeto ser adicionado à lista de bloqueios, se as requisições desse objeto continuarem a acionar a regra, o sistema continuará a contar as requisições e atualizará o período de tempo limite da lista de bloqueios do objeto.

     • Abnormal Browser Probe

       Nome da regra	Risco de falso positivo
       Ferramentas de desenvolvimento, ferramentas de emulação	Baixo
       Ambiente de navegador anômalo	Baixo
       Ferramentas de automação, navegadores headless	Baixo
       Ambiente de sistema anômalo	Baixo. Pode afetar alguns usuários no Windows XP.
       Carimbo de data e hora anômalo	Médio. Pode bloquear requisições enviadas de uma página web aberta há mais de 2 horas sem ser atualizada.
       Versão do Web SDK anômala	Baixo. Pode afetar usuários com versões mais antigas e integradas manualmente do Web SDK.

     • Device Spoofing

       Nome da regra	Risco de falso positivo
       Falsificação de informações de hardware do dispositivo, falsificação de atributos do navegador, falsificação de sistema operacional e ambiente	Baixo
       Falsificação de informações coletadas, falsificação de rede e geolocalização	Baixo. Falsos positivos podem ocorrer se um proxy de camada 7, como CDN ou Anti-DDoS, estiver implantado na frente do WAF e não estiver configurado para encaminhar o endereço IP original do cliente.

     • Crawler Client

       Nome da regra	Risco de falso positivo
       Tráfego de ferramentas Python	Baixo
       Tráfego de ferramentas crawler	Baixo

     • Abnormal Behavior

       Nome da regra	Risco de falso positivo
       Todas as regras	Médio. Pode bloquear usuários com baixa sensibilidade do mouse.

     • Script Client

       Nome da regra	Risco de falso positivo
       Todas as regras	Baixo. O impacto depende do seu negócio. Por exemplo, a regra de tráfego da ferramenta OkHttp não pode ser ativada em um ambiente de aplicativo nativo. A regra de tráfego da ferramenta Dart não pode ser ativada se o seu negócio estiver associado ao Flutter.

     • IDC

       Nome da regra	Risco de falso positivo
       Todas as regras	Médio. Pode bloquear tráfego legítimo, como callbacks de pagamento ou acesso do Alibaba Cloud Workspace. Falsos positivos também podem ocorrer se um proxy de camada 7 na frente do WAF não estiver configurado para encaminhar o endereço IP original do cliente.

     • Threat Intelligence

       Nome da regra	Risco de falso positivo
       Spiders de mecanismos de busca falsificados	Baixo
       Biblioteca de IP de inteligência de ameaças de crawler, biblioteca de fingerprints de inteligência de ameaças de crawler	Médio. Falsos positivos podem ocorrer em redes com endereços IP de saída públicos compartilhados (como redes residenciais ou corporativas) ou se um proxy de camada 7 na frente do WAF não estiver configurado para encaminhar o IP original do cliente. Recomendamos definir a ação como CAPTCHA de controle deslizante ou validação JavaScript.

     • AI-Powered Protection

       Nome da regra	Risco de falso positivo
       Sequência de caminho anômala, Dispositivo anômalo, Comportamento de gangue maliciosa, Distribuição anômala de recursos, Anomalia de série temporal	Médio. Falsos positivos podem ocorrer em redes com endereços IP de saída públicos compartilhados (como redes residenciais ou corporativas) ou se um proxy de camada 7 na frente do WAF não estiver configurado para encaminhar o IP original do cliente. Recomendamos definir a ação como CAPTCHA de controle deslizante ou validação JavaScript.
       Sessão anômala	Alto. Falsos positivos podem ocorrer em redes com endereços IP de saída públicos compartilhados (como redes residenciais ou corporativas) ou se um proxy de camada 7 na frente do WAF não estiver configurado para encaminhar o IP original do cliente. Recomendamos definir a ação como CAPTCHA de controle deslizante ou validação JavaScript.

     • Abnormal Access Behavior

       Nome da regra	Risco de falso positivo
       Acesso persistente sem informações coletadas, Acesso persistente sem sessão	Baixo. A integração do Web SDK é necessária. Caso contrário, nenhuma informação é coletada.
       Reprodução em massa de trajetórias de interação	Baixo
       Mudanças frequentes de IP para a mesma sessão, Mudanças frequentes de IP para o mesmo dispositivo	Baixo
       Poucos caminhos de acesso de IP, Muitos caminhos de acesso de IP, Mudanças frequentes nos tipos de cliente, Mudanças frequentes de UA para o mesmo IP	Médio. Falsos positivos podem ocorrer em redes com endereços IP de saída públicos compartilhados (como redes residenciais ou corporativas) ou se um proxy de camada 7 na frente do WAF não estiver configurado para encaminhar o endereço IP original do cliente. Recomendamos definir a ação como CAPTCHA de controle deslizante ou validação JavaScript.

     • Search Engine Crawler Client

       Nome da regra	Risco de falso positivo
       Todas as regras	Recomendamos manter a configuração padrão para permitir essas requisições.

Etapa 3: Selecione o escopo

Na área Apply To, selecione os objetos protegidos ou grupos de objetos e mova-os para a área Selected clicando no ícone . Em seguida, clique em OK.

Manutenção

• Edite um modelo

  Clique em Edit na coluna Actions do modelo desejado. Modifique o modelo no painel Edit.

• Exclua um modelo

  Clique em Delete na coluna Actions do modelo desejado. Na caixa de diálogo Delete, confirme as informações e clique em OK.

• Copiar um modelo

  Clique em Copy na coluna Actions do modelo desejado. Na caixa de diálogo Copy, confirme as informações e clique em OK.

• Ative ou desative um modelo

  Um novo modelo é ativado por padrão. Clique no interruptor na coluna Status do modelo desejado para ativar ou desativar o modelo.

• Visualize regras

  Clique no ícone do modelo desejado para visualizar as informações de suas regras. Você pode clicar no interruptor na coluna Status de uma regra para ativá-la ou desativá-la. Para regras ativadas, visualize suas tendências de acerto. Se o tipo de ação da regra for JavaScript Validation, CAPTCHA ou Strict CAPTCHA, você também poderá visualizar a taxa de aprovação da verificação humana.

Ações

Liberação canário e modo efetivo

1. Na área da Canary Rule, configure a porcentagem de tráfego afetada pela regra com base em uma dimensão. Após ativar a liberação canário, defina uma Dimension e uma Canary Release Proportion. As opções disponíveis para Dimension são IP, Custom Header, Custom Parameter, Custom Cookie, Session e Web UMID.

   Nota

   Uma liberação canário entra em vigor com base na Dimension configurada, e não aplicando a regra aleatoriamente a uma porcentagem de requisições. Por exemplo, se a Dimension for IP e a Canary Release Proportion for de 10%, o WAF selecionará aproximadamente 10% dos endereços IP. A regra será então aplicada a todas as requisições desses endereços IP selecionados, e não a 10% aleatórios do total de requisições.

2. Na área Effective Mode, selecione quando a regra entrará em vigor.

   • Permanently Effective (Padrão): A regra está sempre ativa quando o modelo de proteção está ativado.

   • Fixed Schedule: A regra de proteção fica ativa apenas durante um período de tempo especificado.

   • Recurring Schedule: A regra de proteção fica ativa apenas durante uma programação recorrente especificada.

FAQ