检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
配置Web基础防护规则防御常见Web攻击 配置智能访问控制规则精准智能防御CC攻击 配置CC攻击防护规则防御CC攻击 配置精准访问防护规则定制化防护策略 配置IP黑白名单规则拦截/放行指定IP 配置地理位置访问控制规则拦截/放行特定区域请求 配置威胁情报访问控制规则拦截/放行指定IP库的IP 配置网页防篡改规则避免静态网页被篡改
IP黑白名单设置（拦截模式）：封禁与业务不相关的IP地址和地址段。 操作导航：在“防护策略”页面，单击策略名称，进入“防护配置”页面，选择“黑白名单设置”区域，添加规则，“防护动作”配置为“拦截”。具体的操作请参见配置IP黑白名单规则。 地理位置访问控制（拦截模式）：封禁来自特定区
warning：表示操作失败。 incident：表示比操作失败更严重的情况，例如引起其他故障等。 企业项目ID：输入企业项目ID。 访问密钥ID：输入访问密钥ID（包含临时访问凭证和永久访问密钥）。 时间范围：可选择查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近7天内任意时间段的操作事件。
审计与日志 审计 云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务并创建和配置追踪器后，CT
对于面向中国用户的网站，在遭受攻击时可以通过封禁海外访问来缓解攻击压力。推荐您使用WAF的地理位置访问控制功能，封禁中国境外IP地址的访问，具体操作请参见配置地理位置访问控制规则。 如果您已经开启了WAF的威胁情报访问控制规则，可以封禁常见IDC库的IP，例如华为、腾讯。详细操作请参见配置威胁情报访问控制。 请求特征畸形或不合理
域名成功接入WAF后，正常情况下，域名的所有访问请求流量都会经过WAF检测并转发到服务器。但是，如果网站在WAF前使用了CDN，对于静态缓存资源的请求，由于CDN直接返回给客户端，请求没有到WAF，所以这些请求的安全策略不会生效。 WAF与CDN的配置请参见使用CDN和WAF提升网站防护能力和访问速度。 父主题：
缓存包含WAF返回JavaScript代码的页面，而用户每次访问防护网站时都会访问该缓存页面，WAF由此判定用户访问请求为非法的浏览器或爬虫工具，访问请求验证一直失败，造成无限循环，最终导致URI长度超出浏览器限制，访问网站失败。 开启JS脚本反爬虫后，当客户端发送请求时，WAF
“源限速”：对源端限速，如某IP（或用户）的访问频率超过限速频率，就会对该IP（或用户）的访问限速。 “IP限速”：根据IP区分单个Web访问者。 “用户限速”：根据Cookie键值或者Header区分单个Web访问者。 “其他”：根据Referer（自定义请求访问的来源）字段区分单个Web访问者。 说明：
已使用华为云APIG还需要购买WAF吗？ 华为云API网关（API Gateway，APIG）是对API提供者和API调用者提供API托管的服务，APIG可以快速将企业服务能力包装成标准API服务，帮助企业轻松构建、管理和部署不同规模的API。APIG不会针对域名进行防护，在满足
服务安全稳定。 WAF支持云模式-CNAME接入、云模式-ELB接入和独享模式三种部署模式，各部署模式支持防护的对象说明如下： 云模式-CNAME接入：域名，华为云、非华为云或云下的Web业务 云模式-ELB接入：域名或IP（公网IP/私网IP），华为云的Web业务 独享模式：域
应用场景 本手册指导您如何将网站防护策略从阿里云WAF迁移到华为云WAF。 本文以阿里云“按量付费WAF3.0”迁移到华为云“云模式-专业版”为例进行讲解。 资源与成本规划 表1 资源和成本规划 资源 资源说明 每月费用 Web应用防火墙 云模式-专业版： 计费模式：包年/包月 域名数量：50个防护域名
通过包年/包月模式购买WAF云模式时，如果当前版本的IP黑白名单防护规则数不能满足要求，您可以通过购买规则扩展包增加IP黑白名单防护规则数，以满足的防护配置需求。 一个规则扩展包包含10条IP黑白名单防护规则。 您可以在购买云模式或变更云模式规格时购买规则扩展包。 详细操作请参见变更WAF云模式版本和规格。
防火墙接收到Web访问者的请求时，直接将缓存的网页返回给Web访问者。 网页防篡改 攻击者将服务端的静态网页篡改后，Web应用防火墙将缓存的未被篡改的网页返回给Web访问者，以保证Web访问者访问的是正确的页面。 Web应用防火墙具有如下功能：随机抽取Web访问者的一个请求，将请
景，了解相关的防护设置。 方案二：通过IP限速限制网站访问频率 当WAF与访问者之间并无代理设备时，通过源IP来检测攻击行为较为精确，此时建议直接使用IP限速的方式进行访问频率限制。 方案三：通过Cookie字段限制网站访问频率 对于源IP无法精准获取的网站（例如存在header
在WAF上开启“CC攻击防护”，添加“防护动作”为“人机验证”的规则后，访问网站，验证码不能刷新，验证一直不通过，如图1所示。 图1 验证码一直验证不通过 配置“人机验证”后，在配置的指定时间内当用户访问网站超过配置的次数限制后，将弹出验证码进行人机验证，完成验证后，请求将不受访问限制。 有关配置CC攻击防护规则的详细操作，请参见配置CC攻击防护规则。
创建云模式防护域名 功能介绍 创建云模式防护域名 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/waf/instance 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID，对应控制台用户名->我的凭证->项目列表->项目ID
特殊标识，用于前端使用 mode String 云模式elb接入域名返回此字段：elb-shared loadbalancer_id String 云模式elb接入域名返回此字段，表示负载均衡器（ELB）id listener_id String 云模式elb接入域名返回此字段，表示监听器id
下域名配置防护策略。 前提条件 已添加防护网站或已新增防护策略。 云模式-CNAME接入的接入方式参见将网站接入WAF防护（云模式-CNAME接入）章节。 云模式-ELB接入的接入方式参见 将网站接入WAF防护（云模式-ELB接入）章节。 独享模式的接入方式参见将网站接入WAF防护（独享模式）章节。
cc规则是否开启 custom 否 Boolean 精准防护是否开启 whiteblackip 否 Boolean 黑白名单防护是否开启 geoip 否 Boolean 地理位置访问控制规则是否开启 ignore 否 Boolean 误报屏蔽是否开启 privacy 否 Boolean 隐私屏蔽是否开启
示例四：不同访问模式的协议配置规则 根据您的业务场景的不同，WAF提供灵活的协议类型配置。假设您的网站为www.example.com，WAF可配置如下四种访问模式： HTTP访问模式，“对外协议”和“源站协议”都配置为HTTP，如图3所示。 此场景下，客户端访问网站和WAF转
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
