正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
2019年09月03日,华为云安全团队检测到应用较广的开源组件Fastjson的多个版本出现拒绝服务漏洞。攻击者利用该漏洞,可构造恶意请求发给使用了Fastjson的服务器,使其内存和CPU耗尽,最终崩溃,造成用户业务瘫痪。目前,华为云Web应用防火墙(Web Application Firewall,WAF)提供了对该漏洞的防护。
2019年09月03日,华为云安全团队检测到应用较广的开源组件Fastjson的多个版本出现拒绝服务漏洞。攻击者利用该漏洞,可构造恶意请求发给使用了Fastjson的服务器,使其内存和CPU耗尽,最终崩溃,造成用户业务瘫痪。目前,华为云Web应用防火墙(Web Application Firewall,WAF)提供了对该漏洞的防护。
请求进行检测。 接入方式 防护场景 参考文档 云模式-CNAME接入 业务服务器部署在华为云、非华为云或线下 防护对象:域名 将网站接入WAF防护(云模式-CNAME接入) 云模式-ELB接入 业务服务器部署在华为云。 大型企业网站,对业务稳定性有较高要求的安全防护需求。 防护对象:域名/IP
Second)即每秒钟的请求量,例如一个HTTP GET请求就是一个Query。请求次数是间隔时间内请求的总量。 QPS是单个进程每秒请求服务器的成功次数。 QPS = 请求数/秒(req/sec ) “安全总览”页面中QPS的计算方式说明如表1所示。 表1 QPS取值说明 时间段
哪些情况会造成WAF配置的防护规则不生效? 域名成功接入WAF后,正常情况下,域名的所有访问请求流量都会经过WAF检测并转发到服务器。但是,如果网站在WAF前使用了CDN,对于静态缓存资源的请求,由于CDN直接返回给客户端,请求没有到WAF,所以这些请求的安全策略不会生效。 WA
泛域名配置说明如下: 如果各子域名对应的服务器IP地址相同:输入防护的泛域名。例如:子域名a.example.com,b.example.com和c.example.com对应的服务器IP地址相同,可以直接添加泛域名*.example.com。 如果各子域名对应的服务器IP地址不相同:请将子域名按“单域名”方式逐条添加。
护。 如果各子域名对应的服务器IP地址相同:配置防护的泛域名。例如:子域名a.example.com,b.example.com和c.example.com对应的服务器IP地址相同,可以直接添加泛域名*.example.com。 如果各子域名对应的服务器IP地址不相同:请将子域名按“单域名”方式逐条配置。
instance modifyInstance 修改DNS解析,快速接入WAF instance quickAccessInstance 服务器线路设置 instance modifyInstanceRoute 创建域名(独享/elb) host createHost 修改域名(独享/elb)
这2条转发协议规则。具体操作如下: 登录WAF控制台。 在左侧导航栏中,选择“网站设置”,进入网站设置页面。 在“源站服务器”栏中,单击“编辑”。 在“修改服务器信息”页面,添加HTTP到HTTP和HTTPS到HTTPS这2条转发协议规则。 图1 配置示例 有关配置转发规则的详细操作,请参见如何解决重定向次数过多?。
com”访问网站。 示例二:客户端请求转发到不同的源站服务器 配置场景:同一个防护对象,需要WAF将客户端请求转发到不同的源站服务器。 例如,需要将防护域名www.example.com,防护端口8080添加到WAF防护,并需要WAF将请求转发到两台后端服务器。 防护域名:www.example.com
这2条转发协议规则。具体操作如下: 登录WAF控制台。 在左侧导航栏中,选择“网站设置”,进入网站设置页面。 在“源站服务器”栏中,单击“编辑”。 在“修改服务器信息”页面,添加HTTP到HTTP和HTTPS到HTTPS这2条转发协议规则。 图1 配置示例 有关配置转发规则的详细操作,请参见如何解决重定向次数过多?。
客户端请求访问防护域名源站服务器的协议 back_protocol String WAF转发客户端请求到防护域名源站服务器的协议 weight Integer 源站权重,负载均衡算法将按该权重将请求分配给源站,默认值是1,云模式的冗余字段 address String 客户端访问的源站服务器的IP地址
所有回源IP。 图5 复制回源IP 打开源站服务器上的安全软件,将复制的IP段添加到白名单。 源站服务器部署在华为云ECS上,请参考源站服务器部署在ECS上,放行WAF回源IP进行操作。 源站服务器部署在华为云ELB上,请参考源站服务器部署在华为云ELB上,放行WAF回源IP进行操作。
WAF支持对域名或IP进行防护,相关说明如下: 云模式的CNAME接入只能基于域名进行防护 在WAF中配置的源站IP只支持公网IP。例如,源站服务器部署了华为云弹性负载均衡(Elastic Load Balance,简称ELB)时,只要ELB(经典型、共享型或独享型)有公网IP,云模式就可以对域名进行防护。
Java Spring框架远程代码执行高危漏洞 Spring是一款主流的Java EE轻量级开源框架,面向服务器端开发设计。近日,Spring框架被曝出可导致RCE远程代码执行的漏洞,该漏洞攻击面较广,潜在危害严重,对JDK 9及以上版本皆有影响。 漏洞名称 Spring框架RCE
解决方案 方案一:在WAF控制台,将工作模式切换为Bypass,具体操作请参见切换工作模式。 Bypass后,该域名的请求直接到达其后端服务器,不再经过WAF,此时需要先放通源站业务的安全策略端口,才能保证模式切换后,业务运行正常。 方案二:将网站IP添加到漏洞扫描工具进行扫描。
解决方案 方案一:在WAF控制台,将工作模式切换为Bypass,具体操作请参见切换工作模式。 Bypass后,该域名的请求直接到达其后端服务器,不再经过WAF,此时需要先放通源站业务的安全策略端口,才能保证模式切换后,业务运行正常。 方案二:将网站IP添加到漏洞扫描工具进行扫描。
方案概述 应用场景 当客户发现网站处理速度下降,网络带宽占用过高时,很有可能已经遭受CC攻击,此时可查看Web服务器的访问日志或网络连接数量,如果访问日志或网络连接数量显著增加,则可确定已遭受CC攻击,可以按照以下策略进行配置,利用WAF阻断CC攻击,保障网站业务的正常运行。 W
Web应用防火墙切换为Bypass模式后会放行流量吗 ? WAF云模式下,防护模式切换为“Bypass”后,该域名的请求直接到达其后端服务器,不再经过WAF。 只有出现以下情况,才能切换为“Bypass”: 当有测试等特殊场景,需要将业务恢复到没有接入WAF的状态,可以通过Bypass功能切换。
Java Spring框架远程代码执行高危漏洞 Spring是一款主流的Java EE轻量级开源框架,面向服务器端开发设计。近日,Spring框架被曝出可导致RCE远程代码执行的漏洞,该漏洞攻击面较广,潜在危害严重,对JDK 9及以上版本皆有影响。 漏洞名称 Spring框架RCE