Web Application Firewall:Enable WAF protection for ECS instances

Nasıl çalışır?

WAF, trafiği şeffaf proxy aracılığıyla yakalar. ECS örneğinde bir trafik yönlendirme bağlantı noktası yapılandırın; bu bağlantı noktasındaki tüm HTTP/HTTPS trafiği WAF üzerinden yönlendirilir. Kötü niyetli istekler engellenir, meşru istekler kaynağa iletilir. Belirtilen bağlantı noktasındaki tüm alan adları, alan adı olmayan IP tabanlı hizmetler dahil olmak üzere korunur.

Ön koşullar

ECS örneğiniz aşağıdaki gereksinimleri karşılamıyorsa CNAME bağlantı türünü kullanın.

• Genel IP adresi: Örneğin bir genel IP adresine (sabit IP veya EIP) sahip olması gerekir. Yalnızca NAT ağ geçidi kullanan örnekler desteklenmez.

• Hesap: Çok hesaplı yönetimi yapılandırmadıysanız ECS örneği ve WAF örneği aynı Alibaba Cloud hesabına ait olmalıdır.

• Bölge:

  • Çin anakarasındaki WAF örnekleri: China (Chengdu), China (Beijing), China (Zhangjiakou), China (Hangzhou), China (Shanghai), Shanghai (Finance Cloud), China (Shenzhen), China (Guangzhou) ve China (Qingdao).

  • Çin anakarası dışındaki WAF örnekleri: China (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta), Germany (Frankfurt), US (Virginia) ve Singapore.

Hızlı başlangıç

1. Konsola gidin:

   Web Application Firewall 3.0 konsolunda oturum açın. Üst menü çubuğundan bir kaynak grubu ve bir bölge seçin (Chinese Mainland veya Outside Chinese Mainland). Sol gezinme bölmesinde Onboarding seçeneğine tıklayın. Cloud Native sekmesini seçin. Soldaki cloud ürün listesinde Elastic Compute Service (ECS) öğesini seçin.

2. WAF'ın cloud kaynaklarına erişimini yetkilendirin (ilk kez yapılandırma):

   Ekrandaki talimatları izleyin ve gerekli izinleri vermek için Authorize Now seçeneğine tıklayın. Oluşturulan AliyunServiceRoleForWAF service-linked rolünü RAM konsolunun Identity Management > Roles sayfasında görüntüleyebilirsiniz.

3. Bir ECS örneği ekleyin:

   1. Sağ taraftaki listede hedef ECS örneğini bulun ve WAF koruma durumunu kontrol edin. Actions sütununda Add Now seçeneğine tıklayın. Örneği bulamazsanız sayfanın sağ üst köşesindeki Synchronize Assets seçeneğine tıklayın. Örnek hala bulunamıyorsa ön koşulları karşılamıyor demektir.

   2. Select instances & ports to protect bölümünde, Actions sütunundaki Add Port seçeneğine tıklayın. Görüntülenen Add Port panelinde web sitenizin bağlantı noktasına ve protokol türüne göre ayarları yapılandırın.

      Not

      Bir seferde yalnızca bir bağlantı noktası ekleyebilirsiniz. Birden çok bağlantı noktası eklemek için bu adımı her bir bağlantı noktası için tekrarlayın.

      • Standart bağlantı noktaları (varsayılan): URL'de görünmezler.

        • HTTP: Örneğin, http://yourdomain.com 80 numaralı bağlantı noktasını kullanır.

        • HTTPS: Örneğin, https://yourdomain.com 443 numaralı bağlantı noktasını kullanır.

      • Standart olmayan bağlantı noktası: Alan adından sonra alan adı:bağlantı noktası numarası biçiminde görünür.

        • HTTP: Örneğin, http://yourdomain.com:8080 8080 numaralı bağlantı noktasını belirtir.

        • HTTPS: Örneğin, https://yourdomain.com:8443 8443 numaralı bağlantı noktasının kullanıldığını gösterir.

        Not

        Bağlantı noktasını onaylamak için web sunucusu yapılandırma dosyanızı (örneğin nginx.conf) kontrol edin.

      HTTP web sitesi

      1. Port alanına web sitenizin kullandığı bağlantı noktasını girin.

      2. Protocol Type için HTTP seçeneğini belirleyin.

      HTTPS web sitesi

      1. Port alanına web sitenizin kullandığı bağlantı noktasını girin.

      2. Protocol Type için HTTPS seçeneğini belirleyin.

      3. HTTP/2, TLS version, cipher suite veya Additional Certificate (birden çok sertifika için) seçeneklerini özelleştirmek için bkz. HTTPS için güvenliği artırma. Aksi takdirde varsayılan ayarları koruyun.

      4. Default Certificate bölümünde sertifikayı yüklemek için bir yöntem seçin:

         • Upload: Sertifikınız Certificate Management Service (Original SSL Certificate) içinde değilse bu seçeneği kullanın.

         • Select Existing Certificate: Certificate Management Service (Original SSL Certificate) tarafından verilen veya buraya yüklenen bir sertifikayı seçin.

           Yükleme

           • Certificate Name : Sertifika için benzersiz bir ad girin. Ad, mevcut bir sertifikanın adıyla aynı olamaz.

           • Certificate File : Sertifika dosyasını bir metin düzenleyicide açın ve sertifikanın tam içeriğini PEM, CER veya CRT formatında yapıştırın.

             Format örneği: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • Format dönüştürme: Sertifikanız PFX veya P7B gibi bir formattaysa PEM formatına dönüştürmek için bir sertifika aracı kullanın.

             • Sertifika zinciri: Ara sertifika dahil edilmişse önce sunucu sertifikasını, ardından ara sertifikayı yapıştırın.

           • Private Key : Özel anahtar dosyasını bir metin düzenleyicide açın ve özel anahtarın tam içeriğini PEM formatında yapıştırın.

             Format örneği: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           Mevcut sertifikayı seçin

           Sertifika açılır listesinden WAF'a yüklemek istediğiniz sertifikayı seçin.

           Not

           WAF konsolu "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected." mesajını görüntülerse sertifika zincirinde bir sorun var demektir. Sertifika içeriğinizin doğru ve eksiksiz olduğunu doğrulayın, ardından Certificate Management Service konsolunda tekrar yükleyin. SSL sertifikalarını yükleme, senkronize etme ve paylaşma.

   3. WAF önündeki Katman 7 proxy'leri (CDN gibi) için ayarları, X-Forwarded-Proto üstbilgi kontrolünü ve trafik etiketlemeyi yapılandırmak için bkz. Gerçek istemci bilgilerini alma. Kaynağa dönüş zaman aşımlarını ve kaynağa dönüş keep-alive ayarlarını yapılandırmak için bkz. Kaynağa dönüş bağlantı kalitesini optimize etme. Aksi takdirde varsayılan ayarları uygulamak için OK seçeneğine tıklayın.

4. Korumayı doğrulayın:

   Kurulumdan sonra web sitenize erişin ve URL'ye bir test yükü ekleyin (örneğin http://yourdomain.com/alert(xss)). 405 engelleme sayfası WAF korumasının aktif olduğunu doğrular.

5. Koruma kurallarını görüntüleyin ve yapılandırın:

   WAF, varsayılan koruma kuralları (web çekirdek koruması gibi) etkinleştirilmiş olarak örnek kimliği-bağlantı noktası-varlık türü adlı bir korunan nesne oluşturur. Bunu Protection Config > Protected Objects sayfasında görüntüleyin. Kuralları özelleştirmek (örneğin belirli bir IP adresini beyaz listeye almak) için bkz. Koruma Yapılandırmasına Genel Bakış.

HTTPS için güvenliği artırma

• HTTP/2

  Add Port sayfasında bu özelliği etkinleştirmek için HTTP/2 seçeneğini belirleyin.

• TLS sürümü

  Add Port sayfasının TLS Version bölümünde bir seçenek belirleyin.

  • TLS 1.0 and Later (Best Compatibility and Low Security)

  • TLS 1.1 and Later (High Compatibility and High Security) : Yalnızca TLS 1.0 protokolünü kullanan eski istemciler web sitenize erişemez.

  • TLS 1.2 and Later (High Compatibility and Best Security) : Bu seçenek en son güvenlik uyumluluk gereksinimlerini karşılar ancak yalnızca TLS 1.0 veya 1.1 protokolünü kullanan eski istemciler web sitenize erişemez.

  • Support TLS 1.3 : Web siteniz TLS 1.3 protokolünü destekliyorsa bu onay kutusunu işaretleyin. Varsayılan olarak WAF, TLS 1.3 kullanan istemci isteklerini dinlemez.

• Şifre paketi

  Cipher Suite sayfasının Add Port bölümünde bir seçenek belirleyin.

  • All Cipher Suites (High Compatibility and Low Security)

  • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.) : Web siteniz belirli şifre paketleri gerektiriyorsa bu seçeneği belirleyin ve gerekli paketleri seçin.

    Güçlü şifre paketleri	Zayıf şifre paketleri
    ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

    Not

    • Şifre paketi güvenlik notu: ECDHE-RSA-AES128-SHA256 ve ECDHE-RSA-AES256-SHA384 şifre paketleri anahtar değişimi için ECDHE, kimlik doğrulama için RSA ve AES-CBC şifrelemesi kullanır. AES-GCM gibi kimliği doğrulanmış şifreleme modları kullanan şifre paketlerine kıyasla bunların güvenliği ve performansı daha düşüktür. Bazı güvenlik tarama araçları bunları zayıf şifre paketleri olarak işaretleyebilir. Bu durumda özel bir şifre paketi kullanın ve bu iki paketi manuel olarak hariç tutun.

    • Şifre paketi adlandırma kuralları: WAF şifre paketlerini OpenSSL formatında görüntüler ancak bazı tarama araçları IANA adlandırma kurallarını kullanabilir. Örneğin, OpenSSL'deki ECDHE-ECDSA-AES256-SHA384, IANA'da TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 karşılık gelir. Eşlemeyi görüntülemek için ciphersuite.info adresini ziyaret edin veya başka bir TLS şifre paketi arama aracı kullanın.

• Ek Sertifika

  Add Port sayfasının Additional Certificate bölümünde sertifikayı yükleyin. Yükleme yöntemi Varsayılan Sertifika ile aynıdır.

  Not

  Birden çok ek sertifika eklediğinizde tüm sertifikaların geçerli olması gerekir. Herhangi bir sertifikanın süresi dolmuşsa işlem başarısız olur.

Gerçek istemci bilgilerini alma

• Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF

  Add Now sayfasında Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF bölümündeki ayarları yapılandırın.

  Başka proxy yok

  İsteklerin istemcilerden doğrudan WAF'a gönderildiğini gösterir.

  Diğer proxy'ler

  İsteklerin başka bir katman 7 proxy'sinden WAF'a iletildiğini gösterir. Ayrıca Obtain Actual IP Address of Client seçeneğini belirtmeniz gerekir.

  • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

    Bu seçeneği belirlerseniz WAF kaynak IP'yi aşağıdaki öncelik sırasına göre alır:

    1. X-Real-IP istek üstbilgisinin değeri.

    2. X-Real-IP üstbilgisi yoksa X-Forwarded-For (XFF) üstbilgisindeki ilk IP adresi.

  • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

    Not

    Üst akış proxy hizmetini kaynak IP adresini X-Real-IP veya X-Client-IP gibi belirtilen bir üstbilgi alanına yazacak şekilde yapılandırmanızı öneririz. Belirtilen bir üstbilgi kullanmak saldırganların XFF üstbilgisini sahteleştirerek WAF'ı atlatmasını engeller.

    Header Field kutusuna bir veya daha fazla üstbilgi alanı girin. Her alanın ardından Enter tuşuna basın. WAF kaynak IP'yi aşağıdaki öncelik sırasına göre alır:

    1. Girilen sırayla belirtilen Header Field .

    2. Belirtilen üstbilgilerin hiçbiri yoksa X-Real-IP üstbilgisinin değeri.

    3. X-Real-IP üstbilgisi de yoksa XFF üstbilgisindeki ilk IP adresi.

  • Use the Client IP from the Proxy Protocol header as the client's source IP. : Üst akış proxy'sinde Proxy Protocol etkinleştirildiyse orijinal istemci IP'sini çıkarmak için bu seçeneği belirleyebilirsiniz. Bu yöntem kaynak IP'yi taşıma katmanında iletir, bu nedenle HTTP katmanında sahtelenemez. Kaynak IP'ye yüksek düzeyde güven gerektiren senaryolar için idealdir. Proxy Protocol istemci IP'sini içermiyorsa WAF, üst akış proxy'sinin IP adresini kaynak IP olarak kullanır.

• Enable Traffic Tagging

  Add Now sayfasında Advanced Settings seçeneğini genişletin, Enable Traffic Tagging seçeneğini belirleyin ve ardından etiket alanlarını yapılandırın.

  • Custom Header : Bir Header Name ve Header Value yapılandırarak WAF bu üstbilgiyi kaynağa dönüş isteklerine ekler ve bunların WAF tarafından işlendiğini belirtir.

    Örneğin, WAF-TAG: Yes şeklinde ayarlayın; burada WAF-TAG üstbilgi adı, Yes ise değerdir. Kaynak sunucu bu üstbilgiyi doğrulama veya erişim kontrolü ilkeleri için kullanabilir.

    Önemli

    User-Agent gibi standart HTTP üstbilgi alanlarını kullanmayın. Bu işlem, standart üstbilgi alanının içeriğini özel değerle üzerine yazar.

  • Originating IP Address : İstemcinin gerçek kaynak IP adresini içeren üstbilgi alanını yapılandırır. WAF bu üstbilgiyi kaydeder ve kaynak sunucuya iletir. IP çıkarma kuralları WAF önünde Katman 7 proxy'si (Anti-DDoS Proxy veya CDN gibi) dağıtıldı mı? bölümündekilerle eşleşir.

  • Source Port : İstemcinin gerçek kaynak bağlantı noktasını içeren üstbilgi alanını yapılandırır. WAF bu üstbilgiyi kaydeder ve kaynak sunucuya iletir.

• Retrieve client protocol from the X-Forwarded-Proto header

  Add Now sayfasında Advanced Settings seçeneğini genişletin ve Retrieve client protocol from the X-Forwarded-Proto header seçeneğini belirleyin.

Kaynağa dönüş bağlantısını optimize etme

• Okuma ve yazma bağlantısı zaman aşımlarını ayarlama

  Add Now sayfasında Advanced Settings seçeneğini genişletin ve aşağıdaki ayarları yapılandırın.

  • Read Timeout : Kaynak sunucu yanıtını beklemek için zaman aşımı. Rapor dışa aktarma veya toplu işleme gibi yavaş arayüzler için artırın. Varsayılan: 120 sn. Aralık: 1 sn ile 3.600 sn.

  • Write Timeout : WAF'ın kaynağa istek göndermesi için zaman aşımı. Yalnızca kaynak aşırı yüksek yük altındaysa artırın. Varsayılan: 120 sn. Aralık: 1 sn ile 3.600 sn.

• Origin Keep-alive

  Önemli

  Bu özellik devre dışı bırakılırsa kaynağa dönüş keep-alive bağlantıları WebSocket protokolünü desteklemez.

  Add Now sayfasında Advanced Settings seçeneğini genişletin. Origin Keep-alive bölümünde bu özelliği etkinleştirin ve aşağıdaki ayarları yapılandırın.

  • Max Requests per Connection : Varsayılan: 1.000. Aralık: 60 ile 1.000. Nginx keepalive_requests parametresine karşılık gelir. Nginx belgeleri.

  • Idle Timeout : Varsayılan: 3.600 sn. Aralık: 10 sn ile 3.600 sn. Nginx keepalive_timeout parametresine karşılık gelir.

Yüklenen dosya boyutunu kontrol etme

Max Body Size (yalnızca Ultimate Edition)

• Açıklama: WAF varsayılan olarak 2 GB'a kadar dosya yüklemelerini destekler. Ultimate Edition bu limiti ayarlamaya olanak tanır.

• Yordam: Add Now sayfasında Advanced Settings seçeneğini genişletin ve Max Body Size seçeneğini yapılandırın. Varsayılan değer 2 GB, maksimum değer 10 GB'dir. Yapılandırmadan sonra ayrıca Read Timeout ve Write Timeout değerlerini artırmanız gerekir.

Kaynak yönetimi

Resource Group

• Açıklama: Kaynak grupları yönetimi ve izin yapılandırmasını basitleştirir. Bir kaynak grubu belirtmezseniz örnek Default Resource Group kullanır. Kaynak grupları.

• Yordam: Add Now sayfasında Resource Group bölümünde açılır listeden örnek için bir kaynak grubu seçin.

Üretim ortamı için en iyi uygulamalar

Üretim ECS örneklerini onboard ederken bu uygulamaları takip edin.

• HTTPS yapılandırması: Sertifikalarınızı ECS örneklerinizde aşağıdaki yapılandırmalarla dağıtın.

  • Sertifika dosyalarınızı Certificate Management Service (Original SSL Certificate) hizmetine yükleyin.

  • Bir HTTPS trafik yönlendirme bağlantı noktası yapılandırın. TLS sürümünü 1.2 veya üzeri olarak ayarlayın.

  • Sertifikaların süresi dolmadan önce güncellemek için SSL sertifikaları için bildirimleri ayarlama konusuna bakın.

• Aşamalı rollout: İlk olarak, yoğun olmayan saatlerde üretim dışı bir ECS örneği ekleyin. Hizmetlerin bir süre normal çalıştığını doğruladıktan sonra üretim ECS örneğini ekleyin.

• Hizmetleri kontrol etme: Onboard işleminden sonra hizmetlerinizin normal çalıştığını doğrulayın:

  • Günlükleri kontrol etme: Günlüklerinizdeki 200 durum kodu yüzdesinde önemli dalgalanmalar olup olmadığını kontrol edin ve QPS'de ani artış veya düşüşlere bakın. WAF günlük hizmetini etkinleştirdiyseniz bkz. WAF günlükleri.

  • Uygulama izleme: Kullanıcı erişimi ve işlemler gibi temel uygulama işlevlerinin beklendiği gibi çalışıp çalışmadığını kontrol edin.

• Bakım: Saldırılar ve yanlış pozitifler için sürekli izleme yapın.

  • Olay yönetimi: Saldırılar ve güvenlik olaylarından haberdar olmak için Güvenlik Raporları bölümünü kontrol edin ve CloudMonitor bildirimlerini yapılandırın.

  • Kural ince ayarı: Meşru iş isteklerinin yanlışlıkla engellenip engellenmediğini belirlemek için saldırı günlüklerini sürekli izleyin ve koruma kurallarını buna göre ince ayar yapın.

Kotalar ve sınırlar

• Bağlantı noktası sınırları: Toplam trafik yönlendirme bağlantı noktası sayısı WAF örneği kotanızı aşamaz.

  • WAF abonelik örneği: Basic Edition (en fazla 300), Pro (en fazla 600), Enterprise (en fazla 2.500) ve Ultimate (en fazla 10.000).

  • WAF kullandıkça öde örneği: En fazla 10.000.

• Anti-DDoS Proxy: Anti-DDoS Proxy kullanıyorsanız trafik WAF'a ulaşmadan önce buradan geçmelidir. Anti-DDoS Proxy örneğini Website Config (Layer 7) modunda yapılandırın.

• Desteklenmeyen senaryolar:

  • ECS örneklerinde IPv6 web sitelerinin korunması.

  • WAF'ta zorunlu HTTPS yönlendirmesinin yapılandırılması.

  • GM/T (SM) algoritma sertifikalarının yüklenmesi.

Eklemek istediğim ECS örneğini neden bulamıyorum?

İlk olarak Synchronize Assets sayfasının sağ üst köşesindeki Onboarding seçeneğine tıklayarak deneyin.

Örnek hala bulunamıyorsa ön koşulları karşılamıyor demektir. Örneğin, Çin anakarası dışındaki bir bölgedeki ECS örneği, Cloud Native onboarding yöntemini kullanmak için Çin anakarası dışındaki bir bölgede WAF örneği gerektirir. Alternatif olarak CNAME bağlantı türünü kullanın.

WAF FTP ve SSH gibi web dışı trafiği koruyabilir mi?

Hayır. WAF yalnızca HTTP ve HTTPS web trafiğini korur. FTP ve SSH gibi diğer protokolleri kullanan trafiği koruyamaz.

Cloud Native onboarding yöntemi için hangi bağlantı noktaları desteklenir?

Cloud Native yöntemi 1'den 65535'e kadar herhangi bir bağlantı noktasını destekler. WAF tarafından desteklenen bağlantı noktası aralıkları.

Bir ECS örneğindeki bir alan adı aynı anda hem Cloud Native hem de CNAME onboarding yöntemlerini kullanabilir mi?

Önerilmez. Her alan adı yalnızca bir yöntem — Cloud Native veya CNAME — kullanmalıdır. İkisini birden kullanmak yönlendirme çakışmalarına neden olur. CNAME'den Cloud Native'e geçmek için DNS kaydını kaynağa geri döndürün, yayılmasını bekleyin, CNAME yapılandırmasını silin ve ardından Cloud Native üzerinden onboard edin.

Bir alan adı birden çok ECS örneğine çözümleniyorsa korumayı nasıl eklerim?

• Cloud Native yöntemini kullanma: WAF'ın trafiği tüm hedef örneklere yönlendirdiğinden emin olmak için bu ECS örneklerinin her birini ayrı ayrı ekleyin.

• CNAME bağlantı türünü kullanma: Alan adını CNAME bağlantı türünü kullanarak ekleyin ve birden çok ECS örneğinin genel IP adreslerini kaynak adresleri olarak yapılandırın.

Birden çok alan adı tek bir ECS örneğine çözümleniyorsa korumayı nasıl eklerim?

• Cloud Native yöntemini kullanma: ECS örneğini ekledikten sonra o örnekteki tüm alan adları varsayılan ilkelerle korunur. Her alan adı için farklı koruma kuralları yapılandırmak üzere her alan adını ayrı bir korunan nesne olarak manuel olarak ekleyin. Korunan nesne ekleme.

• CNAME bağlantı türünü kullanma: Her alan adını tek tek ekleyin.