检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
网站接入WAF后，您可以通过设置网页防篡改规则，锁定需要保护的网站页面（例如敏感页面）。当被锁定的页面在收到请求时，返回已设置的缓存页面，预防源站页面内容被恶意篡改。 如果您已开通企业项目，您需要在“企业项目”下拉列表中选择您所在的企业项目并确保已开通操作权限，才能为该企业项目下域名配置防护策略。 工作原理
back_protocol String WAF转发客户端请求到防护域名源站服务器的协议 address String 客户端访问的源站服务器的IP地址 port Integer WAF转发客户端请求到源站服务的业务端口 状态码： 400 表7 响应Body参数 参数 参数类型 描述
然有效，在新的到期时间前的第7天开始扣款。 自动续费的到期前7日自动扣款属于系统默认配置，您也可以根据需要修改此扣款日，如到期前6日、到期前5日等等。 更多关于自动续费的规则介绍请参见自动续费规则说明。 前提条件 请确认通过包年/包月方式购买的WAF还未到期。 在购买WAF页面开通自动续费
客户端请求访问防护域名源站服务器的协议 back_protocol String WAF转发客户端请求到防护域名源站服务器的协议 weight Integer 源站权重，负载均衡算法将按该权重将请求分配给源站，默认值是1，云模式的冗余字段 address String 客户端访问的源站服务器的IP地址
参数类型 描述 enterprise_project_id 否 String 您可以通过调用企业项目管理服务（EPS）的查询企业项目列表接口（ListEnterpriseProject）查询企业项目id 请求参数 表3 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token
如果您已开通企业项目，您需要在“企业项目”下拉列表中选择您所在的企业项目并确保已开通操作权限，才能为该企业项目下的域名配置PCI DSS/3DS合规与TLS。 前提条件 已添加防护网站且配置的“对外协议”包含HTTPS。 约束条件 防护网站的部署模式为“云模式-CNAME接入”或“独享模式”。 如果您使用“云
防护原理 流量经WAF返回源站的过程称为回源。WAF通过回源IP代替客户端发送请求到源站服务器，接入WAF后，在客户端看来，所有的目标IP都是WAF的IP，从而隐藏源站IP。 图2 回源IP 防护原理（云模式-ELB接入） 通过云模式-ELB接入的方式将网站接入WAF防护，其原理如下：
么类型的操作。 GET：请求服务器返回指定资源。 PUT：请求服务器更新指定资源。 POST：请求服务器新增资源或执行特殊操作。 DELETE：请求服务器删除指定资源，如删除对象等。 HEAD：请求服务器资源头部。 PATCH：请求服务器更新资源的部分内容。当资源不存在的时候，PATCH可能会去创建一个新的资源。
独享引擎ID（通过调用WAF的ListInstance接口获取所有独享引擎信息查询独享引擎ID） 表2 Query参数 参数 是否必选 参数类型 描述 enterprise_project_id 否 String 您可以通过调用企业项目管理服务（EPS）的查询企业项目列表接口（List
独享引擎ID（通过调用WAF的ListInstance接口获取所有独享引擎信息查询独享引擎ID） 表2 Query参数 参数 是否必选 参数类型 描述 enterprise_project_id 否 String 您可以通过调用企业项目管理服务（EPS）的查询企业项目列表接口（List
客户端请求访问防护域名源站服务器的协议 back_protocol String WAF转发客户端请求到防护域名源站服务器的协议 weight Integer 源站权重，负载均衡算法将按该权重将请求分配给源站，默认值是1，云模式的冗余字段 address String 客户端访问的源站服务器的IP地址
独享引擎ID（通过调用WAF的ListInstance接口获取所有独享引擎信息查询独享引擎ID） 表2 Query参数 参数 是否必选 参数类型 描述 enterprise_project_id 否 String 您可以通过调用企业项目管理服务（EPS）的查询企业项目列表接口（List
查看防护网站的云监控信息 将防护网站接入WAF后，可查看防护网站的云监控信息。 如果您已开通企业项目，您需要在“企业项目”下拉列表中选择您所在的企业项目并确保已开通操作权限，才能查看该企业项目下防护网站的云监控信息。 前提条件 防护网站已接入WAF 查看防护网站的云监控信息 登录管理控制台。
参数类型 描述 enterprise_project_id 否 String 您可以通过调用企业项目管理服务（EPS）的查询企业项目列表接口（ListEnterpriseProject）查询企业项目id 请求参数 表3 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token
Database，CNVD）发布的Oracle WebLogic wls9-async组件安全公告。Oracle WebLogic wls9-async组件在反序列化处理输入信息时存在缺陷，攻击者可以发送精心构造的恶意HTTP请求获取目标服务器权限，在未授权的情况下远程执行命令，CNVD对该漏洞的综合评级为“高危”。
当WAF根据您配置的防护规则检测到符合规则的恶意攻击时，会按照规则中的防护动作（仅记录、拦截等），在“防护事件”页面中记录检测到的攻击事件。 如果您已开通企业项目，请务必在“企业项目”下拉列表中选择您所在的企业项目并确保已开通操作权限，才能处理该企业项目下的误报事件。有关企业项目的详细介绍，请参见管理项目和企业项目。
Database，CNVD）发布的Oracle WebLogic wls9-async组件安全公告。Oracle WebLogic wls9-async组件在反序列化处理输入信息时存在缺陷，攻击者可以发送精心构造的恶意HTTP请求获取目标服务器权限，在未授权的情况下远程执行命令，CNVD对该漏洞的综合评级为“高危”。
WAF可以对IP进行防护。 云模式-CNAME接入 WAF不能防护IP，只能基于域名进行防护。 在WAF中配置的源站IP只支持公网IP，不支持私网IP或者内网IP。 如果您需要减少公网IP的数量，可以购买ELB（Elastic Load Balance，简称ELB）搭建负载均衡，代理后端私网IP，并将EIP（公网IP）设置为源站地址。
单击管理控制台左上角的，选择区域或项目。 单击页面左上方的，选择“安全与合规 > Web应用防火墙 WAF”。 在左侧导航树中，选择“防护策略”，进入“防护策略”页面。 （可选）如果您已开通企业项目，您需要在“企业项目”下拉列表中选择您所在的企业项目并确保已开通操作权限，才能为该企业项目批量添加防护规则。
Struts2远程代码执行漏洞（CVE-2021-31805）？ WAF的Web基础防护规则可以防护Apache Struts2远程代码执行漏洞（CVE-2021-31805）。 参考以下配置方法完成配置。 配置方法 购买WAF。 将网站域名添加到WAF中并完成域名接入，详细操作请参见添加防护域名。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
