安全-华为云

性能测试 CODEARTS PERFTEST-身份认证与访问控制

身份认证与访问控制身份认证用户访问性能测试服务的方式有多种，包括性能测试服务用户界面、API、SDK，无论访问方式封装成何种形式，其本质都是通过性能测试服务提供的REST风格的API接口进行请求。性能测试服务的接口需要经过认证请求后才可以访问成功。性能测试服务支持Token认证方式，Token认证即通过Token认证调用请求。关于认证鉴权的详细介绍及获取方式，请参见认证鉴权。访问控制性能测试服务通过两种方式对用户操作进行访问控制。角色权限控制：对性能测试服务的测试工程、测试用例、测试任务、测试报告、自定义设置等对象进行增删改查相关操作都需要获得对应的角色及权限。细粒度权限控制（ IAM ）：查询租户项目、设置项目创建者、管理租户项目成员列表等操作需要获得IAM细粒度授权。父主题：安全

性能测试 CODEARTS PERFTEST 安全

边缘安全 EDGESEC-配置隐私屏蔽规则:配置示例-屏蔽Cookie字段

配置示例-屏蔽Cookie字段假如防护域名 “www.example.com”已接入EdgeSec，您可以参照以下操作步骤验证屏蔽Cookie字段名“jsessionid”防护效果。添加一条隐私屏蔽规则。图4 添加“jsessionid”字段名隐私屏蔽规则开启隐私屏蔽。图5 隐私设置配置框在左侧导航树中，单击“防护事件”，进入“防护事件”页面。在目标防护事件所在行的“操作”列中，单击“详情”，查看事件详细信息。该防护事件的Cookie字段名“jsessionid”信息被屏蔽。图6 查看防护事件-隐私屏蔽

边缘安全 EDGESEC

边缘安全 EDGESEC-配置精准访问防护规则:配置示例-不允许某一地区来源IP访问请求

配置示例-不允许某一地区来源IP访问请求假如防护域名“www.example.com”已接入边缘安全，当您不允许某一地区的IP可以访问防护域名，例如，不允许来源“北京”“新加坡”地区的IP可以访问防护域名，请参照以下步骤处理。添加一条精准访问防护规则，字段为“地理位置”，设置“北京”“新加坡”地区“拦截”的防护动作。开启精准访问防护规则。图5 精准访问防护配置框清理浏览器缓存，在浏览器中访问“http://www.example.com”页面。当“北京”“新加坡”地区的源IP访问页面时，边缘安全将拦截该访问请求，拦截页面示例如图拦截攻击请求所示。图6 拦截攻击请求返回边缘安全管理控制台，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，您可以查看到“北京”“新加坡”地区的源IP都被拦截。

边缘安全 EDGESEC

边缘安全 EDGESEC-配置精准访问防护规则:防护效果

防护效果假如已添加域名“www.example.com”，且配置了如图4所示的精准访问防护规则。可参照以下步骤验证防护效果：清理浏览器缓存，在浏览器中输入防护域名，测试网站域名是否能正常访问。不能正常访问，参照章节添加防护网站重新完成域名接入。能正常访问，执行2。清理浏览器缓存，在浏览器中访问“http://www.example.com/admin”页面或者包含/admin的任意页面，正常情况下，边缘安全会阻断满足条件的访问请求，返回拦截页面。

边缘安全 EDGESEC

边缘安全 EDGESEC-配置攻击惩罚标准:配置示例-Cookie拦截攻击惩罚

配置示例-Cookie拦截攻击惩罚假如防护域名“www.example.com”已接入边缘安全，访问者IP XXX.XXX.248.195为恶意请求，而您需要对来自该IP地址Cookie标记为jsessionid的访问请求封禁10分钟。您可以参照以下操作步骤验证封禁效果。在“网站设置”页面，单击“www.example.com”，进入域名基本信息页面。配置防护域名的Cookie流量标识，即“Session标记”。图4 流量标识添加一条拦截时长为600秒的“长时间Cookie拦截”的攻击惩罚标准。图5 添加Cookie拦截攻击惩罚开启攻击惩罚。图6 攻击惩罚配置框添加一条黑白名单规则，拦截XXX.XXX.248.195，且“攻击惩罚”选择“长时间Cookie拦截”。图7 选择攻击惩罚规则清理浏览器缓存，在浏览器中访问“http://www.example.com”页面。当XXX.XXX.248.195源IP访问页面时，会被边缘安全拦截。当检测到来自该源IP的Cookie标记为jsessionid访问请求时，将封禁该访问请求，时长为10分钟。图8 拦截攻击请求返回边缘安全管理控制台，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，您可以查看该防护事件。

边缘安全 EDGESEC

边缘安全 EDGESEC-配置攻击惩罚标准:约束条件

约束条件 Web基础防护、精准访问防护和黑白名单设置支持攻击惩罚功能，当攻击惩罚标准配置完成后，您还需要在Web基础防护、精准访问防护或黑白名单规则中选择攻击惩罚，该功能才能生效。添加或修改防护规则后，规则生效需要等待几分钟。规则生效后，您可以在“防护事件”页面查看防护效果。在配置Cookie或Params恶意请求的攻击惩罚标准前，您需要在域名详情页面设置对应的流量标识。相关操作请参见配置攻击惩罚的流量标识。

边缘安全 EDGESEC

边缘安全 EDGESEC-配置地理位置访问控制规则拦截特定区域请求:防护效果

防护效果假如已添加域名“www.example.com”。可参照以下步骤验证防护效果：清理浏览器缓存，在浏览器中输入防护域名，测试网站域名是否能正常访问。不能正常访问，参照章节添加防护网站重新完成域名接入。能正常访问，执行2。参照操作步骤，将您的客户端IP来源地配置为拦截。清理浏览器缓存，在浏览器中访问“http://www.example.com”页面，正常情况下，会阻断该来源地IP的访问请求，返回拦截页面。

边缘安全 EDGESEC

边缘安全 EDGESEC-配置IP黑白名单规则规则拦截指定IP:约束条件

约束条件边缘安全支持批量导入黑白名单，如果您需要配置多个IP/IP地址段规则，请添加地址组，详细操作请参见添加黑白名单IP地址组。添加或修改防护规则后，规则生效需要等待几分钟。规则生效后，您可以在“防护事件”页面查看防护效果。边缘安全黑白名单规则不支持配置0.0.0.0/0 IP地址段。如果您需要拦截某个网段其他所有IP，请先添加黑名单规则，拦截该网段的所有IP。当黑白名单规则的“防护动作”设置为“拦截”时，您可以配置攻击惩罚标准。配置攻击惩罚后，如果访问者的IP、Cookie或Params恶意请求被拦截时，边缘安全将根据攻击惩罚设置的拦截时长来封禁访问者。

边缘安全 EDGESEC

边缘安全 EDGESEC-配置BOT防护规则:配置示例-仅记录脚本工具爬虫

配置示例-仅记录脚本工具爬虫假如防护域名“www.example.com”已接入EdgeSec，您可以参照以下操作步骤验证反爬虫防护效果。执行JS脚本工具，爬取网页内容。在“特征反爬虫”页签，开启“脚本工具”，“防护动作”设置为“仅记录”（EdgeSec检测为攻击行为后，只记录不阻断）。图7 开启“脚本工具” 开启网站反爬虫。图8 BOT管理配置框在左侧导航树中，单击“防护事件”，进入“防护事件”页面，您可以查看该防护事件。图9 查看防护事件-脚本爬虫

边缘安全 EDGESEC

边缘安全 EDGESEC-配置BOT防护规则:JS脚本反爬虫检测机制

JS脚本反爬虫检测机制 JS脚本检测流程如图1所示，其中，①和②称为“js挑战”，③称为“js验证”。图1 JS脚本检测流程说明开启JS脚本反爬虫后，当客户端发送请求时，会返回一段JavaScript代码到客户端。如果客户端是正常浏览器访问，就可以触发这段JavaScript代码再发送一次请求，即边缘安全完成js验证，并将该请求转发给源站。如果客户端是爬虫访问，就无法触发这段JavaScript代码再发送一次请求，即边缘安全无法完成js验证。如果客户端爬虫伪造了认证请求，发送到边缘安全时，会拦截该请求，js验证失败。通过统计“js挑战”和“js验证”，就可以汇总出JS脚本反爬虫防御的请求次数。例如，图2中JS脚本反爬虫共记录了18次事件，其中，“js挑战”（EdgeSec返回JS代码）为16次，“js验证”（EdgeSec完成JS验证）为2次，“其他”（即爬虫伪造EdgeSec认证请求）为0次。图2 JS脚本反爬虫防护数据 “js挑战”和“js验证”的防护动作为仅记录，EdgeSec不支持配置“js挑战”和“js验证”的防护动作。

边缘安全 EDGESEC

边缘安全 EDGESEC-配置CC攻击防护规则防御CC攻击:约束条件

约束条件添加或修改防护规则后，规则生效需要等待几分钟。规则生效后，您可以在“防护事件”页面查看防护效果。 CC攻击防护规则可以添加引用表，引用表防护规则对所有防护域名都生效，即所有防护域名都可以使用CC攻击防护规则的引用表。 CC攻击防护规则支持“人机验证”、“阻断”等防护动作，您可以根据使用需求设置对应的防护动作。例如，通过配置CC攻击防护规则实现以下功能：当边缘安全识别到同一IP的用户在60秒内访问您域名下的URL（例如，/admin*）页面超过10次时，封禁该用户访问目标网址600秒。

边缘安全 EDGESEC

边缘安全 EDGESEC-配置CC攻击防护规则防御CC攻击:配置示例-人机验证

配置示例-人机验证假如防护域名“www.example.com”已接入边缘安全，您可以参照以下操作步骤验证人机验证防护效果。添加防护动作为“人机验证”CC防护规则。图3 添加“人机验证”防护规则开启CC攻击防护。图4 CC防护规则配置框清理浏览器缓存，在浏览器中访问“http://www.example.com/admin/”页面。当您在60秒内访问页面10次，在第11次访问该页面时，页面弹出验证码。此时，您需要输入验证码才能继续访问。拦截生效会有一定的延迟，如果操作得太快，第11次不一定能拦截成功。返回边缘安全管理控制台，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，您可以查看该防护事件。

边缘安全 EDGESEC

边缘安全 EDGESEC-配置全局白名单规则忽略误报:约束条件

约束条件当“不检测模块”配置为“所有检测模块”时，通过EdgeSec配置的其他所有的规则都不会生效，EdgeSec将放行该域名下的所有请求流量。当“不检测模块”配置为“Web基础防护模块”时，仅对EdgeSec预置的Web基础防护规则和网站反爬虫的“特征反爬虫”拦截或记录的攻击事件可以配置全局白名单规则，防护规则相关说明如下： Web基础防护规则防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击，以及Webshell检测、深度反逃逸检测等Web基础防护。 BOT防护规则可防护搜索引擎、扫描器、脚本工具、其它爬虫等爬虫。添加或修改防护规则后，规则生效需要等待几分钟。规则生效后，您可以在“防护事件”页面查看防护效果。您可以通过处理误报事件来配置全局白名单规则，处理误报事件后，您可以在全局白名单规则列表中查看该误报事件对应的全局白名单规则。

边缘安全 EDGESEC 配置防护策略

开源治理服务 CODEARTS GOVERNANCE-身份认证与访问控制:身份认证

身份认证用户访问CodeArts Governance的方式有多种，包括CodeArts Governance用户界面、API、SDK，无论访问方式封装成何种形式，其本质都是通过CodeArts Governance提供的REST风格的API接口进行请求。 CodeArts Governance的接口需要经过认证请求后才可以访问成功。 CodeArts Governance支持两种认证方式： Token认证：通过Token认证调用请求，访问CodeArts Governance用户界面默认使用Token认证机制。 AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。推荐使用AK/SK认证，其安全性比Token认证要高。关于认证鉴权的详细介绍及获取方式，请参见认证鉴权。

开源治理服务 CODEARTS GOVERNANCE 安全

开源治理服务 CODEARTS GOVERNANCE-身份认证与访问控制:访问控制

访问控制 CodeArts Governance服务对接了统一身份认证服务（Identity and Access Management，IAM）服务。CodeArts Governance服务租户身份认证与访问控制通过IAM权限控制。统一身份认证（Identity and Access Management，简称IAM）是华为云提供权限管理的基础服务，可以帮助CodeArts Governance服务安全地控制访问权限。通过IAM，可以将用户加入到一个用户组中，并用策略来控制他们对CodeArts Governance服务资源的访问范围。CodeArts Governance服务权限可以通过细粒度定义允许和拒绝的访问操作，以此实现CodeArts Governance服务资源的权限访问控制。

开源治理服务 CODEARTS GOVERNANCE 安全

云服务器内容精选

安全

7*24

备案

专业服务

退订

建议反馈

售前咨询热线