使用WAF防护CC攻击-华为云

WEB应用防火墙 WAF-方案概述:资源与成本规划

资源与成本规划表1 资源和成本规划资源资源说明每月费用 Web应用防火墙云模式-标准版：计费模式：包年/包月域名数量：10个防护域名（最多支持1个一级域名） QPS配额：2,000QPS业务请求支持带宽峰值：云内100Mbps/云外30Mbps 独享模式：计费模式：按需计费域名数量：2,000个（支持2,000个一级域名） WAF实例规格选择WI-500，参考性能： HTTP业务：建议QPS 5,000；极限QPS 10,000 HTTPS业务：建议QPS 4,000；极限QPS 8,000 Websocket业务：支持最大并发连接5,000 最大回源长连接：60,000 WAF实例规格选择WI-100，参考性能： HTTP业务：建议QPS 1,000；极限QPS 2,000 HTTPS业务：建议QPS 800；极限QPS 1,600 Websocket业务：支持最大并发连接1,000 最大回源长连接：60,000 具体的计费方式及标准请参考计费说明。

WEB应用防火墙 WAF 使用WAF防护CC攻击

WEB应用防火墙 WAF-方案概述:应用场景

应用场景当客户发现网站处理速度下降，网络带宽占用过高时，很有可能已经遭受CC攻击，此时可查看Web服务器的访问日志或网络连接数量，如果访问日志或网络连接数量显著增加，则可确定已遭受CC攻击，可以按照以下策略进行配置，利用WAF阻断CC攻击，保障网站业务的正常运行。 WAF防护应用层流量的拒绝服务攻击，适合防御HTTP Get攻击等。 WAF服务并不提供针对四层及以下流量的防护，例如：ACK Flood、UDP Flood等攻击，这类攻击建议使用DDoS及IP高防服务进行防护。本手册基于Web应用防火墙实践所编写，指导您在遭遇CC（Challenge Collapsar）攻击时，完成基于IP限速和基于Cookie字段识别的防护规则的配置。

WEB应用防火墙 WAF 使用WAF防护CC攻击

WEB应用防火墙 WAF-方案概述:方案选择

方案选择方案一：CC攻击常见场景防护配置从不同的CC攻击防护场景中选择贴近您自身实际需求的场景，了解相关的防护设置。方案二：通过IP限速限制网站访问频率当WAF与访问者之间并无代理设备时，通过源IP来检测攻击行为较为精确，此时建议直接使用IP限速的方式进行访问频率限制。方案三：通过Cookie字段限制网站访问频率对于源IP无法精准获取的网站（例如存在header中未插入“X-Forwarded-For”字段的Proxy），此时建议使用配置Cookie字段的方式进行访问频率限制。方案四：通过业务Cookie和HWWAFSESID联合配置限制恶意抢购、下载该场景用于：限制同一个账号切换IP、终端的恶意请求；限制在同一个PC多个账号不停切换的恶意请求。

WEB应用防火墙 WAF 使用WAF防护CC攻击

WEB应用防火墙 WAF-通过IP限速限制网站访问频率:防护措施

防护措施根据服务访问请求统计，判断网站是否有大量单IP请求发生，如果有则说明网站很有可能遭受了CC攻击。登录管理控制台，将您的网站成功接入Web应用防火墙。关于域名接入的具体操作请参见添加防护域名。在目标域名所在行的“防护策略”栏中，单击“已开启N项防护”，进入“防护策略”页面，确认“CC攻击防护”的“状态”为“开启”。图1 CC防护规则配置框开启WAF的“CC攻击防护”后，添加CC防护规则，配置对域名下的请求进行基于IP限速的检测，针对业务特性，设置限速频率，并配置人机验证，防止误拦截正常用户，针对网站所有url进行防护，配置如图2所示。图2 IP限速限速模式：选择“源限速”、“IP限速”，根据IP区分单个Web访问者。限速频率：单个Web访问者在限速周期内可以正常访问的次数，如果超过该访问次数，Web应用防火墙服务将暂停该Web访问者的访问。 “全局计数”：根据不同的限速模式，将已经标识的请求在一个或多个WAF节点上的计数聚合。默认为每WAF节点单独计数，开启后本区域所有节点合并计数。“IP限速”不能满足针对某个用户进行限速，需要选择“用户限速”或“其他”的Referer限速，此时标识的请求可能会访问到不同的WAF节点，开启全局计数后，将请求访问的一个或多个WAF节点访问量聚合，达到全局统计的目的。防护动作：防止误拦截正常用户，选择“人机验证”。人机验证：表示在指定时间内访问超过次数限制后弹出验证码，进行人机验证，完成验证后，请求将不受访问限制。当用户访问超过限制后需要输入验证码才能继续访问。

WEB应用防火墙 WAF 使用WAF防护CC攻击

WEB应用防火墙 WAF-通过Cookie字段限制网站访问频率:防护措施

防护措施根据服务访问请求统计，判断网站是否有大量同一IP请求发生，如果有则说明网站很有可能遭受了CC攻击。登录管理控制台，将您的网站成功接入Web应用防火墙。关于域名接入的具体操作请参见添加防护域名。在目标域名所在行的“防护策略”栏中，单击“已开启N项防护”，进入“防护策略”页面，确认“CC攻击防护”的“状态”为“开启”。图1 CC防护规则配置框开启WAF的“CC攻击防护”后，添加CC防护规则，配置“用户限速”模式，输入用户标识，即Cookie字段中的变量名。为了更加有效的标识用户，建议使用“sessionid”或“token”这类标识网站后台颁发给用户的唯一标识字段。 “防护模式”选择“阻断”模式，设置“阻断时长”，能够在攻击被拦截后，攻击者需额外等待一段时间，该设置能进一步对攻击者行为进行限制，建议对安全要求非常高的用户设置。图2 添加CC防护规则限速模式：选择“源限速”、“用户限速”，根据Cookie键值区分单个Web访问者。用户标识：为了更加有效的标识用户，建议使用“sessionid”或“token”这类标识网站后台颁发给用户的唯一标识字段。限速频率：单个Web访问者在限速周期内可以正常访问的次数，如果超过该访问次数，Web应用防火墙服务将暂停该Web访问者的访问。 “全局计数”：根据不同的限速模式，将已经标识的请求在一个或多个WAF节点上的计数聚合。默认为每WAF节点单独计数，开启后本区域所有节点合并计数。“IP限速”不能满足针对某个用户进行限速，需要选择“用户限速”或“其他”的Referer限速，此时标识的请求可能会访问到不同的WAF节点，开启全局计数后，将请求访问的一个或多个WAF节点访问量聚合，达到全局统计的目的。防护动作：选择“阻断”模式。该模式可设置“阻断时长”，在攻击被拦截后，攻击者需额外等待一段时间才能访问正常的网页，该设置能进一步对攻击者行为进行限制，建议对安全要求非常高的用户设置。人机验证：表示在指定时间内访问超过次数限制后弹出验证码，进行人机验证，完成验证后，请求将不受访问限制。阻断：表示在指定时间内访问超过次数限制将直接阻断。仅记录：表示在指定时间内访问超过次数限制将只记录不阻断。阻断页面：可选择“默认设置”或者“自定义”。

WEB应用防火墙 WAF 使用WAF防护CC攻击

云服务器内容精选

使用WAF防护CC攻击

7*24

备案

专业服务

退订

建议反馈

售前咨询热线