正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
缓存包含WAF返回JavaScript代码的页面,而用户每次访问防护网站时都会访问该缓存页面,WAF由此判定用户访问请求为非法的浏览器或爬虫工具,访问请求验证一直失败,造成无限循环,最终导致URI长度超出浏览器限制,访问网站失败。 开启JS脚本反爬虫后,当客户端发送请求时,WAF
参数说明 添加方式 选择已有规则 新建规则 规则名称 添加方式选择“选择已有规则”时,在下拉框中选择规则名称 。 添加方式选择“新建规则”时,自定义黑白名单规则的名字。 IP/IP段或地址组 添加方式选择“新建规则”时,需要配置此参数。 支持添加黑白名单规则的方式,“IP/IP段”或“地址组”。
在配置网站反爬虫的“特征反爬虫”时,如果开启了“其他爬虫”,WAF将对各类用途的爬虫程序(例如,站点监控、访问代理、网页分析)进行检测。开启该防护,不影响用户正常访问网页,也不影响用户访问网页的浏览速度。 图1 开启“其他爬虫” 有关配置网站反爬虫的详细操作,请参见配置网站反爬虫规则。 父主题:
速频率”中访问次数应配置为允许单个Web访问者在限速周期内访问网站的次数/MIN(WAF前使用的代理服务总数:WAF节点数)。 例如,WAF前已使用3个代理服务,WAF节点数(防护该网站的独享引擎实例数)为2,则取其最小值为2,如果您想当单个Web访问者在限速周期内访问网站的次数
务的安全。 服务端请求伪造 一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下,SSRF攻击的目标是从外网无法访问的内部系统。SSRF形成的原因是服务端提供了从其他服务器应用获取数据的功能,在用户可控的情况下,未对目标地址进行过滤与限制,导致此漏洞的产生。 网站后门
用轮询的方式回源,这样有助于减少服务器的压力,起到保护源站的作用。例如,后端添加了两个服务器IP(IP-A,IP-B),当有10个请求访问该域名时,5个请求会被WAF转发到IP-A,其余5个请求会被WAF转发到IP-B。 WAF云模式目前暂不支持健康检查的功能,当一个服务器IP出
添加到“证书管理”页面的证书列表中,且该证书会统计到创建的证书套数中。有关SCM证书推送到WAF的详细操作,请参见推送证书到云产品。 目前华为云SCM证书只能推送到“default”企业项目下。如果您使用其他企业项目,则不能选择使用SCM推送的SSL证书。 添加防护网站或更新证书
GET请求就是一个Query。请求次数是间隔时间内请求的总量。 QPS是单个进程每秒请求服务器的成功次数。 QPS = 请求数/秒(req/sec ) “安全总览”页面中QPS的计算方式说明如表1所示。 表1 QPS取值说明 时间段 QPS平均取值说明 QPS峰值取值说明 “昨天”、“今天”
在WAF上开启“CC攻击防护”,添加“防护动作”为“人机验证”的规则后,访问网站,验证码不能刷新,验证一直不通过,如图1所示。 图1 验证码一直验证不通过 配置“人机验证”后,在配置的指定时间内当用户访问网站超过配置的次数限制后,将弹出验证码进行人机验证,完成验证后,请求将不受访问限制。 有关配置CC攻击防护规则的详细操作,请参见配置CC攻击防护规则。
HTTPS访问模式,“对外协议”和“源站协议”全部配置为HTTPS时,当使用HTTP协议访问服务器时,会强制跳转为HTTPS协议,如图4所示。 此场景下,客户端访问网站和WAF转发请求到源站,均使用HTTPS加密传输,适用于需要加密传输的场景。 图4 HTTPS协议访问强制跳转模式
可以自定义CC防护规则,限制单个IP/Cookie/Referer访问者对您的网站上特定路径(URL)的访问频率,WAF会根据您配置的规则,精准识别CC攻击以及有效缓解CC攻击。 配置CC攻击防护规则防御CC攻击 精准访问防护规则 精准访问防护策略可对HTTP首部、Cookie、访问URL、请求参数或者客户端IP进
SDK概述 本文介绍了WAF服务提供的SDK语言版本,列举了最新版本SDK的获取地址。 在线生成SDK代码 API Explorer能根据需要动态生成SDK代码功能,降低您使用SDK的难度,推荐使用。 SDK列表 表1提供了WAF服务支持的SDK列表,您可以在GitHub仓库查看
单规则。 地理位置访问控制(拦截模式):封禁来自特定区域的访问或者允许特定区域的来源IP的访问,解决部分地区高发的恶意请求问题。可针对指定国家、地区的来源IP自定义访问控制。 操作导航:在“防护策略”页面,单击策略名称,进入“防护配置”页面,选择“地理位置访问控制”区域,添加规则
添加防护域名时,如果不能正常添加域名,而提示:其他人已经添加了该域名,请确认该域名是否属于您,如果是,请联系服务人员帮您解决。 原因 可能是由于您的域名已在其他账号下添加到了WAF。同一个域名不支持重复添加到WAF。 解决办法 如果您想将该域名添加到当前账号下进行使用,需要将该域名在其他账号下的相关配置进
购买内容安全检测服务后,什么时候扣费? 购买内容安全检测服务后,系统立即执行检测并扣费,且检测过程中,不支持修改检测域名、暂停任务、退费等操作。 内容安全检测服务支持三种检测类型:内容安全单次检测、文本安全监测(按月)、文本安全监测(按年)。选择“内容安全单次检测”时,内容安全检
配置网页防篡改规则后,Web应用防火墙将对服务端的静态网页进行缓存。当Web应用防火墙接收到Web访问者的请求时,直接将缓存的网页返回给Web访问者。 网页防篡改 攻击者将服务端的静态网页篡改后,Web应用防火墙将缓存的未被篡改的网页返回给Web访问者,以保证Web访问者访问的是正确的页面。 Web
备份恢复被篡改的文件或目录,保障重要系统的网站信息不被恶意篡改,是政府、院校及企业等组织必备的安全服务。 WAF网页防篡改为用户提供应用层的防护,对网站的静态网页进行缓存,当用户访问网站时返回给用户缓存的正常页面,并随机检测网页是否被篡改。 网页防篡改的区别 HSS与WAF网页防篡改的区别,如表1所示。
购买内容安全检测服务后,多长时间能出报告? “检测类型”选择“内容安全单次检测”时,下单后7个工作日内出报告;“检测类型”选择“文本安全监测(按月/按年)”时,下单后的检测周期(1个自然月)后的7个工作日内出报告。可在WAF控制台内容安全检测页面下载检测报告,详细操作参见下载检测报告。
购买内容安全检测服务时,如何确定网站检测配额? WAF内容安全检测服务按新媒体账号或网站地址个数确定检测配额,1个新媒体账号或1个网站地址占1个检测配额。 基于网站内容来判定配置几个检测网站,同一个组织和同一类内容被认定成一个网站,具体可参见以下几个场景。 WAF支持批量购买内容
计费项 WAF根据购买方式和计费模式进行计费。 计费说明 如您需要快速了解WAF服务的具体价格,请参见WAF价格详情。 图1 WAF的计费方式 表1 计费项信息 购买模式 计费模式 计费项目 计费说明 云模式 包周期(包年/包月) 服务版本(必选) 按购买的服务版本:入门版、标准版、专业版、铂金版计费。