Configure the waf plug-in - API Gateway - Alibaba Cloud Dokümantasyon Merkezi

WAF eklentisi, ModSecurity tabanlı bir kurallar motoru kullanarak şüpheli istekleri engeller. Web sitelerine temel koruma sağlamak için OWASP ModSecurity Core Rule Set (CRS) desteği sunar.

Not

WAF eklentisi açık kaynaklı ModSecurity kurallarını kullanır. Varsayılan kurallar statiktir ve en son güvenlik risklerini tanımlayamaz veya kural setini gerçek zamanlı olarak güncelleyemez. Daha güçlü koruma için Cloud-native API Gateway örneklerinde Web Application Firewall (WAF) korumasını etkinleştirin. Daha fazla bilgi için bkz. Enable WAF.

Eklenti türü

Güvenlik koruması.

Alanlar

Alan	Veri türü	Zorunlu	Varsayılan değer	Açıklama
useCRS	bool	Hayır	false	OWASP CRS'nin etkinleştirilip etkinleştirilmeyeceğini belirtir. Ayrıntılar için bkz. coreruleset.
secRules	array of string	Hayır	-	WAF eklentisi için özel koruma kuralları. Söz dizimi ayrıntıları için bkz. ModSecurity documentation.

Yapılandırma örnekleri

Varsayılan kuralı kullanın

Şüpheli istekleri engellemek için varsayılan kuralı etkinleştirin:

useCRS: true

İstekleri engellemeden yalnızca algılama modunda varsayılan kuralı etkinleştirin:

useCRS: true
secRules:
  - "SecRuleEngine DetectionOnly"

Özel koruma kurallarını kullanın

useCRS: true
secRules: 
  - "SecRule REQUEST_URI \"@streq /admin\" \"id:101,phase:1,t:lowercase,deny\""
  - "SecRule REQUEST_BODY \"@rx maliciouspayload\" \"id:102,phase:2,t:lowercase,deny\""

Önceki kurallar aşağıdaki istekleri engeller:

curl http://example.com/admin
curl http://example.com -d "maliciouspayload"

Belirli bir rota veya alan adı için koruma kurallarını etkinleştirin

useCRS: true
secRules: 
  - "SecRule REQUEST_URI \"@streq /admin\" \"id:101,phase:1,t:lowercase,deny\""
  - "SecRule REQUEST_BODY \"@rx maliciouspayload\" \"id:102,phase:2,t:lowercase,deny\""

Aşağıdaki eklenti yapılandırmalarını route-1 rotasına uygulayın:

secRules:
  - "SecAction \"id:102,phase:1,deny\""

Aşağıdaki eklenti yapılandırmalarını *.example.com ve test.com alan adlarına uygulayın:

secRules:
  - "SecAction \"id:102,phase:1,pass\""

Not

route-1 rotası, Cloud-native API Gateway rotası oluşturulurken tanımlanır. Bir istemci isteği bu rotayla eşleşirse rota düzeyindeki kurallar etkili olur.
*.example.com ve test.com alan adları, isteklerdeki alan adlarıyla eşleşir. Bir istemci isteği bu alan adlarından biriyle eşleşirse alan adı düzeyindeki kurallar etkili olur.
Kurallar, yapılandırıldıkları sırayla etkili olur. Bir kural eşleştiğinde sonraki kurallar atlanır.