云服务器内容精选

华为云首页用户手册

WEB应用防火墙 WAF

WEB应用防火墙 WAF-域名/IP接入状态显示“未接入”，如何处理？:独享模式排查思路和处理建议

独享模式排查思路和处理建议防护网站的“部署模式”为“独享模式”时，请参考图2和表2进行排查处理。图2 独享模式排查思路表2 独享模式接入WAF失败问题处理可能原因处理建议原因一：域名 /IP“接入状态”未刷新在防护网站“接入状态”栏，单击刷新状态。原因二：访问流量未达到WAF统计要求须知：防护网站接入WAF后，当WAF统计防护网站在5分钟内有20次请求时，将认定该防护网站已接入WAF。在1分钟内多次访问防护网站。在防护网站“接入状态”栏，单击刷新状态。原因三：域名/IP参数配置错误查看域名基本信息，检查域名/IP参数是否正确。如果域名/IP配置错误，删除该域名/IP后重新添加防护网站。原因四：没有为独享模式实例配置负载均衡，配置的负载均衡未绑定弹性公网IP 为独享引擎实例配置负载均衡。为弹性负载均衡绑定弹性公网IP。原因五：独享模式实例负载均衡配置错误或负载均衡绑定弹性公网IP错误配置负载均衡后，当WAF独享引擎实例的“健康检查结果”为“正常”时，说明弹性负载均衡配置成功。健康检查异常的排查思路请参见健康检查异常。为弹性负载均衡绑定弹性公网IP后，可以查看绑定的弹性公网IP，说明绑定成功。

WEB应用防火墙 WAF 网站接入异常排查
WEB应用防火墙 WAF-域名/IP接入状态显示“未接入”，如何处理？:云模式-ELB接入排查思路和处理建议

云模式-ELB接入排查思路和处理建议防护网站的“部署模式”为“云模式-ELB接入”时，请参考图3和表3进行排查处理。图3 云模式-ELB接入排查思路表3 云模式-ELB接入WAF失败问题处理可能原因处理建议原因一：域名/IP“接入状态”未刷新在防护网站“接入状态”栏，单击刷新状态。原因二：访问流量未达到WAF统计要求须知：防护网站接入WAF后，当WAF统计防护网站在5分钟内有20次请求时，将认定该防护网站已接入WAF。在1分钟内多次访问防护网站。在防护网站“接入状态”栏，单击刷新状态。原因三：域名/IP参数配置错误查看域名基本信息，检查域名/IP参数是否正确。如果域名/IP配置错误，删除该域名/IP后重新添加防护网站。

WEB应用防火墙 WAF 网站接入异常排查
WEB应用防火墙 WAF-通过CC攻击防护规则拦截大流量高频攻击:相关信息

相关信息关于CC攻击防护更多详细的操作，请参见配置CC攻击防护规则防御CC攻击。如果您的业务部署在华为云上，规模为大型企业网站，且对业务稳定性有较高的安全防护需求，需要防护对象为域名/IP，您可以采用“云模式-ELB接入”的接入方式，具体操作可参考如下方法：购买WAF云模式标准版。购买实例后，提交工单申请开通“云模式-ELB接入”。将网站接入WAF防护（云模式-ELB接入）。配置CC攻击防护拦截大流量高频攻击。如果您的业务部署在华为云上，规模为大型企业网站，且基于业务特性具有制定个性化防护规则的安全需求，需要防护对象为域名/IP，您可以采用“独享模式”的接入方式，具体操作可参考如下方法：独享模式在部分区域已经停售，详见独享模式停售通知。如果您已购买独享模式的WAF，可跳过该步骤继续使用。将网站接入WAF防护（独享模式）。配置CC攻击防护拦截大流量高频攻击。

WEB应用防火墙 WAF
WEB应用防火墙 WAF-通过CC攻击防护规则拦截大流量高频攻击:准备工作

准备工作在购买 Web应用防火墙之前，请先注册华为账号并开通华为云。具体操作详见注册华为账号并开通华为云、实名认证。如果您已开通华为云并进行实名认证，请忽略此步骤。请保证账户有足够的资金，以免购买Web应用防火墙失败。具体操作请参见账户充值。请确保已为账号赋予相关WAF权限。具体操作请参见创建用户组并授权使用WAF。表1 WAF系统角色系统角色/策略名称描述类别依赖关系 WAF Administrator Web应用防火墙服务的管理员权限。系统角色依赖Tenant Guest和Server Administrator角色。 Tenant Guest：全局级角色，在全局项目中勾选。 Server Administrator：项目级角色，在同项目中勾选。 WAF FullAccess Web应用防火墙服务的所有权限。系统策略无。 WAF ReadOnlyAccess Web应用防火墙的只读访问权限。系统策略

WEB应用防火墙 WAF
WEB应用防火墙 WAF-为什么WAF显示的流量大小与源站上显示的不一致？

为什么WAF显示的流量大小与源站上显示的不一致？ WAF“安全总览”页面显示的流量大小与源站上显示的不同，主要原因说明如下：网页压缩 WAF默认开启压缩，客户端（如浏览器）与WAF之间进行通信的网页可能被压缩（依赖浏览器压缩选项），而源站服务器可能不支持压缩。连接复用 WAF与源站服务器之间会复用socket连接，这样会降低源站服务器与WAF之间的带宽消耗。攻击请求攻击请求被WAF拦截，而这种请求不会消耗源站服务器的带宽。其他异常请求如果源站服务器存在超时，无法连接等情况，这种情况不会消耗源站务器的带宽。 TCP层的重传等 WAF统计的带宽是7层的数据，而源站服务器网卡统计的是4层的数据。当网络通信质量差时，会出现TCP重传，网卡统计的带宽会重复计算，而7层传输的数据不会重复计算。在这种情况下，WAF上显示的带宽会低于源站上显示的带宽。父主题：防护日志

WEB应用防火墙 WAF
WEB应用防火墙 WAF-如何获取拦截的数据？

如何获取拦截的数据？在“安全总览”页面，您可以查看昨天、今天、3天、7天、30天或自定义30天任意时间段内所有防护网站或所有实例以及指定防护网站或实例的防护日志。包括请求与各攻击类型统计次数，QPS、带宽、响应码信息，以及事件分布、受攻击域名 Top5、攻击源IP Top5、受攻击URL Top5等防护数据。在“BOT防护统计”页面，可以查看BOT防护的流量分布、流量趋势和TOP事件源统计的相关数据。父主题：防护日志

WEB应用防火墙 WAF
WEB应用防火墙 WAF-Web应用防火墙的防护日志可以存储多久？

Web应用防火墙的防护日志可以存储多久？在WAF管理控制台，您可以免费查看最近30天的防护日志。您可以将WAF的防护日志记录到单独收费的云日志服务（Log Tank Service，简称LTS），LTS默认存储日志的时间为7天，存储时间可以在1～30天之间进行设置，超出存储时间的日志数据将会被自动删除，对于需要长期存储的日志数据（日志持久化），LTS提供转储功能，可以将日志转储至对象存储服务（OBS）或者数据接入服务（DIS）中长期保存。有关WAF日志配置到LTS的详细操作，请参见防护日志记录到LTS。有关LTS日志转储至OBS的详细操作，请参见LTS日志转储至OBS。父主题：防护日志

WEB应用防火墙 WAF 防护日志
WEB应用防火墙 WAF-什么是Web应用防火墙:防护原理（云模式-ELB接入）

防护原理（云模式-ELB接入）通过云模式-ELB接入的方式将网站接入WAF防护，其原理如下：通过SDK模块化的方式将WAF集成在ELB的网关中，WAF通过内嵌在网关中的SDK提取流量并进行检测和防护。 WAF将检测结果同步给ELB，由ELB根据WAF的检测结果决定是否将客户端请求转发到源站。该过程中，WAF不参与流量转发，避免因额外引入一层转发而带来各种兼容性和稳定性问题。图3 ELB接入防护原理

WEB应用防火墙 WAF
WEB应用防火墙 WAF-什么是Web应用防火墙:防护原理（云模式-CNAME接入、独享模式接入）

防护原理（云模式-CNAME接入、独享模式接入）通过WAF云模式-CNAME接入或者独享模式将网站添加并接入WAF后，网站所有访问请求将先流转到WAF，WAF检测过滤恶意攻击流量后，将正常流量返回给源站，从而确保源站安全、稳定、可用。独享模式在部分区域已经停售，详见独享模式停售通知。图1 防护原理流量经WAF返回源站的过程称为回源。WAF通过回源IP代替客户端发送请求到源站服务器，接入WAF后，在客户端看来，所有的目标IP都是WAF的IP，从而隐藏源站IP。图2 回源IP

WEB应用防火墙 WAF
WEB应用防火墙 WAF-服务版本差异:不同服务版本支持的功能特性

不同服务版本支持的功能特性选择接入模式和服务版本规模后，您还需要综合考虑，选择的“接入模式+服务版本”组合支持的安全功能是否满足业务需要。详细信息如表3所示。标识说明： √：表示在当前版本中支持。 ×：表示在当前版本中不支持。 -：表示不涉及，通过ELB实现。ELB支持的功能特性详见弹性负载均衡功能特性对比。表3 安全功能特性功能模板功能说明云模式-CNAME接入云模式-ELB接入（标准版/专业版/铂金版）独享模式（按需计费）入门版标准版专业版铂金版域名扩展包一个域名扩展包支持防护10个域名，限制仅支持1个一级域名。 × √ √ √ √ × QPS扩展包一个QPS扩展包包含：对于部署在华为云的Web应用：业务带宽：50Mbit/s。每秒钟的请求量：1000QPS。对于未部署在华为云的Web应用：业务带宽：20Mbit/s。每秒钟的请求量：1000QPS。 × √ √ √ √ × 规则扩展包一个规则扩展包包含10条IP黑白名单防护规则。 × √ √ √ √ × 域名备案检查使用“云模式-CNAME接入”时，WAF会检查域名备案情况，未备案域名将无法添加。 √ √ √ √ × × 泛域名接入WAF时，支持添加泛域名（例如，*.example.com）。 × √ √ √ √ √ 非标准端口防护防护除80、443标准端口外的特定非标准端口上的业务。 × √ √ √ - √ 非标准端口定制支持通过提交工单，申请除80、443标准端口外的其他非标准端口。 × × √ √ - × 批量灵活配置防护策略支持为防护域名批量灵活配置防护策略。 √（仅支持批量配置全局白名单规则） × √ √ √ √ 为防护策略批量配置防护域名支持为防护策略批量配置适用的防护域名。 × × √ √ √ √ IPv6防护支持IPv6访问流量的安全检测与防护。说明：支持IPv6防护的版本，请参考哪些版本支持IPv6防护？。 × × √ √ - ×- 常见的Web应用攻击防护包括SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等。 √ √ √ √ √ √ 0Day漏洞防护支持云端自动更新最新0Day漏洞防护规则，及时下发0Day漏洞虚拟补丁。 √ √ √ √ √ √ Webshell检测支持防护通过上传接口植入网页木马。 √ √ √ √ √ √ 深度检测包括同形字符混淆、通配符变形的命令注入、UTF7、Data URI Scheme等深度反逃逸检测。 √ √ √ √ √ √ header全检测包括对请求里header中所有字段进行攻击检测。 √ √ √ √ √ √ CC攻击防护通过限制单个IP/Cookie/Referer访问者对防护网站上源端的访问频率等，精准识别CC攻击以及有效缓解CC攻击。 × √ √ √ √ √ 精准访问防护对常见的HTTP字段进行条件组合，筛选访问请求，并对命中条件的请求设置仅记录、放行或阻断操作。 × √（不支持全检测） √ √ √ √ 引用表管理对路径、User Agent、IP、Params、Cookie、Referer、Header这些单一类型的防护指标进行批量配置。 × × √ √ √ √ IP黑白名单设置一键放行或封禁特定的IP地址的访问，支持批量导入IP地址/IP地址段。 × √ √ √ √ √ 地理位置访问控制支持对指定国家、省份的IP自定义访问控制。 × × √ √ √ √ 网页防篡改锁定需要保护的网站页面（例如敏感页面），防止内容被恶意篡改。 × √ √ √ × √ 网站反爬虫检测并拦截搜索引擎、扫描器、脚本工具、其它爬虫等爬虫行为。 × × √ √ √ √ 检测并拦截JS脚本反爬虫检测行为。 × × √ √ × √ 防敏感信息泄露支持身份证号、电话号码、电子邮箱等重要隐私数据的泄露防护。 × × √ √ × √ 全局白名单规则误报情况，您可以添加白名单对误报进行忽略。 √ √ √ √ √ √ 隐私屏蔽屏蔽隐私信息，避免用户的密码等信息出现在事件日志中。 × √ √ √ √ √ 资源建议使用独享实例时，建议在云监控（ CES ）服务配置资源监控及告警：建议CPU使用率不超过70%，内存使用率不超过80%。说明：当业务请求较大或自定义防护策略复杂时，会增加对CPU、内存的消耗；极端情况下，性能指标会有较大波动。建议根据业务模型压测后，做好性能规格的评估。 - - - - - √

WEB应用防火墙 WAF
WEB应用防火墙 WAF-服务版本差异:不同服务版本支持的业务规格

不同服务版本支持的业务规格选择接入方式后，您需要根据实际业务规模，选择适合的服务版本。不同服务版本适用的业务规格如表2所示。 “云模式-ELB接入”可使用的业务规格与购买的云模式服务版本对应规格一致，如果已使用“云模式-CNAME接入”，两种接入模式共用域名、QPS（Queries Per Second，例如一个HTTP GET请求就是一个Query）、规则扩展包配额。购买“云模式”时您可以选择购买域名扩展包、QPS扩展包和规则扩展包，以满足更多域名、更大流量的防护需求，也可以通过变更WAF云模式版本和规格从较低版本升级到任一更高版本。服务版本从低到高依次为：“入门版”、“标准版”、“专业版”、“铂金版”。表2 适用的业务规格业务规格云模式独享模式（按需计费）入门版标准版专业版铂金版正常业务请求峰值 100QPS业务请求 6,000回源长连接（每域名） 2,000QPS业务请求支持购买QPS扩展包源站服务器部署在华为云：每个扩展包包含1,000QPS请求量，50Mbit/s带宽源站服务器未部署在华为云：每个扩展包包含1,000QPS请求量，20Mbit/s带宽 6,000回源长连接（每域名） 5,000QPS业务请求支持购买QPS扩展包源站服务器部署在华为云：每个扩展包包含1,000QPS请求量，50Mbit/s带宽源站服务器未部署在华为云：每个扩展包包含1,000QPS请求量，20Mbit/s带宽 6,000 回源长连接（每域名） 10,000QPS业务请求支持购买QPS扩展包源站服务器部署在华为云：每个扩展包包含1,000QPS请求量，50Mbit/s带宽源站服务器未部署在华为云：每个扩展包包含1,000QPS请求量，20Mbit/s带宽 6,000 回源长连接（每域名）以下数据为单实例规格： WAF实例规格选择WI-500，参考性能： HTTP业务：建议5,000QPS；极限10,000QPS HTTPS业务：建议 4,000QPS；极限8,000QPS Websocket业务：支持最大并发连接5,000 最大回源长连接：60,000 WAF实例规格选择WI-100，参考性能： HTTP业务：建议1,000QPS；极限2,000QPS HTTPS业务：建议800QPS；极限1,600QPS Websocket业务：支持最大并发连接1,000 最大回源长连接：60,000 须知：极限值为实验室测试值，高敏感业务请以实际业务测试数据为准。实际QPS与业务请求数据大小、自定义防护规则种类及数量相关业务带宽阈值（源站服务器部署在华为云） 10Mbit/s 100Mbit/s 支持购买QPS扩展包（每个扩展包包含50Mbit/s带宽和1,000QPS请求量） 200Mbit/s 支持购买QPS扩展包（每个扩展包包含50Mbit/s带宽和1,000QPS请求量） 300Mbit/s 支持购买QPS扩展包（每个扩展包包含50Mbit/s带宽和1,000QPS请求量） WAF实例规格选择WI-500，参考性能：吞吐量：500Mbps WAF实例规格选择WI-100，参考性能：吞吐量：100Mbps 业务带宽阈值（源站服务器未部署在华为云） 10Mbit/s 30Mbit/s 支持购买QPS扩展包（每个扩展包包含20Mbit/s带宽和1,000QPS请求量） 50Mbit/s 支持购买QPS扩展包（每个扩展包包含20Mbit/s带宽和1,000QPS请求量） 100Mbit/s 支持购买QPS扩展包（每个扩展包包含20Mbit/s带宽和1,000QPS请求量） - 域名个数 10个（支持1个一级域名） 10个（支持1个一级域名）支持购买域名扩展包（每个扩展包包含10个域名，其中1个一级域名） 50个（支持5个一级域名）支持购买域名扩展包（每个扩展包包含10个域名，其中1个一级域名） 80个（支持8个一级域名）支持购买域名扩展包（每个扩展包包含10个域名，其中1个一级域名） 2,000个（支持2,000个一级域名）回源IP（单个防护域名支持的回源服务器IP个数） 10个 20个 50个 80个 - 支持的端口个数标准端口：2个（80，443）标准端口：2个（80，443）非标准端口：可使用WAF支持的端口列表中的任意端口，不限制数量标准端口：2个（80，443）非标准端口：可使用WAF支持的端口列表中的任意端口，不限制数量若使用WAF支持的端口列表外的端口，提交工单申请开通标准端口：2个（80，443）非标准端口：可使用WAF支持的端口列表中的任意端口，不限制数量若使用WAF支持的端口列表外的端口，提交工单申请开通标准端口：2个（80，443）非标准端口：可使用WAF支持的端口列表中的任意端口，不限制数量 CC攻击防护峰值 - 100,000QPS 200,000QPS 1,000,000QPS WAF实例规格选择WI-500，参考性能：防护峰值：20,000QPS WAF实例规格选择WI-100，参考性能：防护峰值：4,000QPS CC攻击防护规则 - 20条 50条 100条 100条精准访问防护规则 - 20条 50条 100条 100条引用表规则 - - 50条 100条 100条 IP黑白名单规则 - 1000条支持购买规则扩展包（每个扩展包包含10条IP黑白名单防护规则） 2000条支持购买规则扩展包（每个扩展包包含10条IP黑白名单防护规则） 5000条支持购买规则扩展包（每个扩展包包含10条IP黑白名单防护规则） 1000条地理位置封禁规则 - - 50条 100条 100条网页防篡改规则 - 20条 50条 100条 100条网站反爬虫规则 - - 50条 100条 100条防敏感信息泄露 - - 50条 100条 100条全局白名单规则 1000条 1000条 1000条 1000条 1000条隐私屏蔽规则 - 20条 50条 100条 100条安全报告模板 5个 5个 10个 20个 20个域名个数说明：域名个数为一级域名（例如，example.com）、单域名/二级域名等子域名（例如，www.example.com）和泛域名（例如，*.example.com）的总数。例如，标准版支持防护10个域名，可以添加1个一级域名和9个与其相关的子域名或泛域名。同一个域名对应不同端口视为不同的域名，例如www.example.com:8080和www.example.com:8081视为两个不同的域名，将占用两个不同的域名防护额度。 WAF支持上传的证书套数和WAF支持防护的域名的个数相同。例如，购买了标准版WAF（支持防护10个域名）、1个独享版WAF（支持防护2,000个域名）和域名扩展包（20个域名），WAF可以防护2,030个域名，则WAF支持上传2,030套证书。

WEB应用防火墙 WAF
WEB应用防火墙 WAF-服务版本差异:服务版本概述

服务版本概述 WAF服务版本的选择与要使用的接入方式、服务版本支持的规格和功能相关。接入方式 WAF提供两种模式：云模式和独享模式。其中，云模式支持“云模式-CNAME接入”、“云模式-ELB接入”两种接入方式。关于接入方式的详细说明，请参见接入方式说明。服务版本为适应不同业务场景的需求，WAF提供多个服务版本以供选择。不同服务版本适用的业务规格请参见不同服务版本支持的业务规格，支持的功能特性请参见不同服务版本支持的功能特性。云模式仅支持包年/包月计费模式。如果使用“云模式-CNAME接入”，可选择“入门版”、“标准版”、“专业版”、“铂金版”；如果使用“云模式-ELB接入”，可选择“标准版”、“专业版”、“铂金版”。不同接入方式与服务版本的配套关系如图1所示。独享模式仅支持按需计费模式。图1 服务版本配套关系说明使用“云模式-ELB接入”时，需要购买云模式包年/包月的标准版、专业版或铂金版后，提交工单申请开通。“云模式-ELB接入”支持使用的Region请参考功能总览。独享模式在部分区域已经停售，详见独享模式停售通知。已购买该版本的用户不受影响，可继续使用和续费。

WEB应用防火墙 WAF
WEB应用防火墙 WAF-功能特性

功能特性通过Web应用防火墙，轻松应对各种Web安全风险，Web应用防火墙支持功能如下表。功能类别功能说明业务配置域名（泛域名、一级域名、二级域名等各级域名）/IP防护说明： WAF云模式支持域名备案检查，添加防护域名时，WAF会检查域名备案情况，未备案域名将无法添加到WAF。 WAF支持云模式-CNAME接入、云模式-ELB接入和独享模式三种部署模式，各部署模式支持防护的对象说明如下：云模式-CNAME接入：域名，华为云、非华为云或云下的Web业务云模式-ELB接入：域名或IP（公网IP/私网IP），华为云的Web业务独享模式：域名或IP（公网IP/私网IP），华为云的Web业务 HTTP/HTTPS业务防护支持对网站的HTTP、HTTPS流量进行安全防护。支持WebSocket/WebSockets协议 WAF支持WebSocket/WebSockets协议，且默认为开启状态。非标端口防护 Web应用防火墙除了可以防护标准的80，443端口外，还支持非标准端口的防护。 Web应用安全防护 Web基础防护说明：防护动作为“拦截”时，可使用攻击惩罚标准功能，即当恶意请求被拦截时，可自动封禁访问者一段时间。覆盖OWASP（Open Web Application Security Project，简称OWASP）TOP 10中常见安全威胁，通过预置丰富的信誉库，对漏洞攻击、网页木马等威胁进行检测和拦截。常规检测防护SQL注入、XSS跨站脚本、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等攻击。 Webshell检测防护通过上传接口植入网页木马。识别精准内置语义分析+正则双引擎，黑白名单配置，误报率更低。支持防逃逸，自动还原常见编码，识别变形攻击能力更强。默认支持的编码还原类型：url_encode、Unicode、xml、OCT（八进制）、HEX（十六进制）、html转义、base64、大小写混淆、javascript/shell/php等拼接混淆。深度检测深度反逃逸识别（支持同形字符混淆、通配符变形的命令注入、UTF7、Data URI Scheme等的防护）。 header全检测支持对请求里header中所有字段进行攻击检测。 Shiro解密检测支持对Cookie中的rememberMe内容做AES，Base64解密后再检测。 CC攻击防护规则限制单个IP/Cookie/Referer访问者对您的网站上特定路径（URL）的访问频率，WAF会根据您配置的规则，精准识别CC攻击以及有效缓解CC攻击。精准访问防护规则说明：防护动作为“阻断”时，可使用攻击惩罚标准功能，即当恶意请求被拦截时，可自动封禁访问者一段时间。对常见的HTTP字段（如IP、路径、Referer、User Agent、Params等）进行条件组合，配置强大的精准访问控制策略；支持盗链防护、空字段拦截等防护场景。黑白名单规则说明：防护动作为“拦截”时，可使用攻击惩罚标准功能，即当恶意请求被拦截时，可自动封禁访问者一段时间。配置黑白名单规则，阻断、仅记录或放行指定IP的访问请求，即设置IP黑/白名单。地理位置访问控制规则针对指定国家、地区的来源IP自定义访问控制。网页防篡改规则当用户需要防护静态页面被篡改时，可配置网页防篡改规则。网站反爬虫规则动态分析网站业务模型，结合人机识别技术和数据风控手段，精准识别700+种爬虫行为。特征反爬虫自定义扫描器与爬虫规则，用于阻断网页爬取行为，添加定制的恶意爬虫、扫描器特征，使爬虫防护更精准。 JS脚本反爬虫通过自定义规则识别并阻断JS脚本爬虫行为。防敏感信息泄露规则该规则可添加两种类型的防敏感信息泄露规则：敏感信息过滤。配置后可对返回页面中包含的敏感信息做屏蔽处理，防止用户的敏感信息（例如：身份证号、电话号码、电子邮箱等）泄露。响应码拦截。配置后可拦截指定的HTTP响应码页面。全局白名单规则针对特定请求忽略某些攻击检测规则，用于处理误报事件。隐私屏蔽规则隐私信息屏蔽，避免用户的密码等信息出现在事件日志中。高级配置 PCI DSS/PCI 3DS合规认证和TLS TLS支持TLS v1.0、TLS v1.1、TLS v1.2三个版本和八种加密套件，可以满足各种行业客户的安全需求。 WAF支持PCI DSS和PCI 3DS合规认证功能。 IPv6防护 Web应用防火墙支持IPv6/IPv4双栈，针对同一域名可以同时提供IPv6和IPv4的流量防护。针对仍然使用IPv4协议栈的Web业务，Web应用防火墙支持NAT64机制（NAT64是一种通过网络地址转换（NAT）形式促成IPv6与IPv4主机间通信的IPv6转换机制），即WAF可以将IPv4源站转化成IPv6网站，将外部IPv6访问流量转化成对内的IPv4流量。熔断保护当502/504请求数量或读等待URL请求数量以及占比阈值达到您设置的值时，将触发WAF熔断功能开关，实现宕机保护和读等待URL请求保护。配置攻击惩罚的流量标识 WAF根据配置的流量标识识别客户端IP、Session或User标记，以分别实现IP、Cookie或Params恶意请求的攻击惩罚功能。手动设置网站连接超时时间浏览器到WAF引擎的连接超时时长默认是120秒，该值取决于浏览器的配置，该值在WAF界面不可以手动设置。 WAF到客户源站的连接超时时长默认为30秒，该值可以在WAF界面手动设置，但仅“独享模式”和“云模式”的专业版、铂金版支持手动设置连接超时时长。高阶功能内容安全检测服务基于丰富的违规样例库和内容审核专家经验，通过机器审核加人工审核结合的方式，帮助您准确检测出Web网站和新媒体平台上的关于涉黄、涉赌、涉毒、暴恐、违禁等敏感违规内容，并提供文本内容纠错审校，助您降低内容违规风险防护事件管理当Web应用防火墙拦截或者仅记录的攻击事件为误报时，用户可通过Web应用防火墙处理误报事件、查看事件详情。用户可以通过Web应用防火墙服务下载5天内的全量防护事件数据。 WAF支持全量日志功能，您可以将攻击日志、访问日志记录到华为云的云日志服务（Log Tank Service，简称LTS）。告警通知通过对攻击日志进行通知设置，WAF可将仅记录和拦截的攻击日志通过用户设置的接收通知方式（例如邮件或短信）发送给用户。同时，您也可以配置证书到期通知，证书即将到期时，WAF将通过用户设置的接收通知方式（例如邮件或短信）通知用户。安全可视化提供简洁友好的控制界面，实时查看攻击信息和事件日志。策略事件集中配置在Web应用防火墙服务的控制台集中配置适用于多个防护域名的策略，快速下发，快速生效。流量及事件统计信息实时查看访问次数、安全事件的数量与类型、详细的日志信息。灵活性、可靠性多区域多集群部署，支持负载均衡，可在线平滑扩容，没有单点故障，最大限度保护业务运行稳定。

WEB应用防火墙 WAF
WEB应用防火墙 WAF-通过黑白名单设置拦截网站恶意IP流量:相关信息

相关信息关于黑白名单设置更多详细的操作，请参见配置IP黑白名单规则拦截/放行指定IP。如果您的业务部署在华为云、非华为云上或云下，需要防护对象为域名，您可以需要采用“云模式-CNAME接入”的接入方式，具体操作可参考如下方法：购买WAF云模式标准版。将网站接入WAF防护（云模式-CNAME接入）。步骤四：配置黑白名单设置规则拦截恶意IP。如果您的业务部署在华为云上，规模为大型企业网站，且基于业务特性具有制定个性化防护规则的安全需求，需要防护对象为域名/IP，您可以采用“独享模式”的接入方式，具体操作可参考如下方法：独享模式在部分区域已经停售，详见独享模式停售通知。如果您已购买独享模式的WAF，可跳过该步骤继续使用。将网站接入WAF防护（独享模式）。步骤四：配置黑白名单设置规则拦截恶意IP。

WEB应用防火墙 WAF
WEB应用防火墙 WAF-通过黑白名单设置拦截网站恶意IP流量:准备工作

准备工作在购买Web应用防火墙之前，请先注册华为账号并开通华为云。具体操作详见注册华为账号并开通华为云、实名认证。如果您已开通华为云并进行实名认证，请忽略此步骤。请保证账户有足够的资金，以免购买Web应用防火墙失败。具体操作请参见账户充值。请确保已为账号赋予相关WAF权限。具体操作请参见创建用户组并授权使用WAF。表1 WAF系统角色系统角色/策略名称描述类别依赖关系 WAF Administrator Web应用防火墙服务的管理员权限。系统角色依赖Tenant Guest和Server Administrator角色。 Tenant Guest：全局级角色，在全局项目中勾选。 Server Administrator：项目级角色，在同项目中勾选。 WAF FullAccess Web应用防火墙服务的所有权限。系统策略无。 WAF ReadOnlyAccess Web应用防火墙的只读访问权限。系统策略

WEB应用防火墙 WAF