Web应用防火墙

阿里云Web应用防火墙是一款针对Web应用进行防护的安全产品。它基于云架构实现，提供针对Web服务器发起的SQL注入、XSS、命令执行漏洞等攻击的防护手段；同时也能缓解HTTP/HTTPS的Flood攻击对服务器造成的性能压力。

使用阿里云Web应用防火墙，您可以避免您的网站被恶意攻击者Web入侵获取核心数据信息、防范海量恶意Bot的访问，保障网站的安全与可用性。

「 Web应用防火墙每天帮助网站防护数千次Web应用攻击，保护网站核心资产安全。」

• 无需安装软硬件、五分钟接入体验网站安全

• 毫秒级响应延迟时间

• 完善的监控体系&服务体系：7 ＊ 24 小时全网监控，基于服务质量智能监控和调度

• 近千条防护规则、专业攻防团队每周更新最新防护规则、规则误报低

• Web 0DAY漏洞补丁24小时内全球同步

• Web攻击防护、缓解CC攻击、精准访问控制，三维一体全方位防护网站安全

• 防护数万网站、日防御百万Web攻击

• 协同防御、捕获新型威胁并同步防护规则到全球

• 大数据学习模型、降低误漏报

阿里云Web应用防火墙是一种基于Saas化的安全产品。它需要通过您变更网站的DNS解析记录，将网站请求经过Web应用防火墙，经过安全清洗后将干净、安全的流量返回到网站服务器上。

Web应用防火墙通过内置的安全防护策略能发现异常、非法的Web应用请求，并阻止其到达您的网站服务器上造成相应的破坏。

针对GET、POST常见HTTP请求，给不同的网站业务提供高、中、低三种规则策略，进行SQL注入、XSS跨站、Webshell上传、后门隔离保护、命令注入、非法HTTP协议请求、常见Web服务器漏洞攻击、核心文件非授权访问、路径穿越、扫描防护等安全防护；

网站隐身：不对攻击者暴露站点地址、避免绕过Web应用防火墙直接攻击；

0day补丁定期及时更新：防护规则与淘宝同步，及时更新最新漏洞补丁、第一时间全球同步下发最新补丁，对网站进行安全防护；

友好观察模式：针对网站新上线的业务开启观察模式、对于匹配中防护规则的疑似攻击只告警不阻断、方便统计业务误报状况

对单一源IP的访问频率进行控制、重定向跳转验证、人机识别等。

针对海量慢速请求攻击、识别异常响应码、IP访问、URL异常分布，对异常referer、User-agent的请求，可结合精确访问控制过滤。

充分利用阿里云大数据安全优势、建立威胁情报与可信访问分析模型、快速识别恶意流量。

提供友好的配置控制台界面，支持IP、URL、Referer、User-Agent等HTTP常见字段的条件组合，打造强大的精准访问控制策略，可支持盗链防护、网站后台保护等防护场景；

与Web常见攻击防护、CC防护等安全模块打造多层综合保护机制、轻松依据需求，识别可信与恶意流量

阿里云Web应用防火墙 (WAF) 采用包年包月方式付费，给客户提供不同的版本套餐及功能规格， 具体费用根据客户选择的版本套餐计算。

以下价格仅供参考。具体价格依取决于所选套餐。

立即购买

价格计算方式：套餐版本费用 + 域名扩展费用 + 带宽扩展费用

支付方式：预付费

详情：

a) 不同的套餐版本的每月费用不同。

b) 如用户所需的域名及带宽规格超出套餐版本的规格，需要额外支付扩展费用。

帮助网站防御恶意攻击者对网站业务数据库的渗透注入攻击，避免网站相关核心数据泄露。

缓解常见的HTTP Flood攻击，避免服务器性能急剧损耗带来的业务中断

需要针对自身业务做定制安全策略

Web应用防火墙快速指南

阿里云管理控制台提供简单的基于 Web 的用户界面，让您可以访问和配置Web应用防火墙。使用此控制台，您可以配置需要防护的域名、端口，导入证书私钥，查看安全报表及攻击事件详情，了解当前网站的安全状态等。

支持

建议使用HTTP/HTTPS协议的金融、电商、在线教育、医疗、政府、O2O等网站类业务使用Web应用防火墙进行常态化的安全防护。

Web应用防火墙会将真实客户端IP放在HTTP头部的X-Forwarded-For字段后面，在源站服务器上配置取XFF字段后面的IP即为客户端真实IP。

是的，最佳的部署架构是：高防IP或CDN（入口层，DDoS防护或加速）——>Web应用防火墙（中间，应用层防护）——>源站。