▶ 原则上，在任何一个区域购买的WAF支持防护所有区域的Web业务。但是为了提高WAF的转发效率，建议您在购买WAF时，根据防护业务的所在区域就近选择购买的WAF区域。

例如，如果买一个WAF能同时覆盖不同地域的业务（如北京和上海），但是若购买北京region的WAF，对于客户在上海的业务，可能转发时长相比于北京的业务会更长。为了提高转发效率，建议您购买2个WAF（北京region的WAF和上海region的WAF），分别防护北京和上海的业务。

▶Web应用防火墙提供了入门版、标准版、专业版和铂金版四种服务版本。其中，入门版提供了时长为3个月/1年的秒杀活动，最低120元起，详情请了解

▶WAF支持对域名或IP进行防护，相关说明如下：

云模式只能基于域名进行防护：在WAF中配置的源站IP只支持公网IP。例如，源站服务器部署了华为云弹性负载均衡（Elastic Load Balance，简称ELB）时，只要ELB（经典型、共享型或独享型）有公网IP，云模式就可以对域名进行防护。独享模式可以对域名或IP进行防护。

▶Web应用防火墙部署在云端，即与Web服务框架没有系统。故Web应用防火墙支持任意框架的Web服务。

▶ WAF、CDN和DDoS高防这3个服务不能一起使用，您可以同时部署WAF和DDoS高防、WAF和CDN或DDoS高防和CDN。

▶ WAF支持应用层协议和内容的访问控制，应用层协议支持HTTP和HTTPS。

▶ 0Day漏洞，又称“零日漏洞”（zero-day），是已经被发现（有可能未被公开），而官方还没有相关补丁的漏洞。通俗地讲，除了漏洞发现者，没有其他人知道这个漏洞的存在，并且可以被有效地加以利用，发起的攻击往往具有很大的突发性和破坏性，与之关联的新变种或新形式攻击的威胁不容小觑。

▶典型例子：从底层操作系统到Web容器、数据库、第三方程序或者插件，每年都会爆出致命的0Day漏洞，如Apache Log4j2、Spring Framework、 Fastjson 远程代码执行漏洞等

▶危害后果：黑客能够利用0Day漏洞突破外围防线入侵Web服务器，通过权限提权手段获得重要系统的绝对控制权，进而盗取有价值的信息（如商业机密数据、用户个人信息等），破坏关键性重要数据，导致业务系统瘫痪

▶防御措施： WAF针对操作系统或应用软件中曝光的最新0Day漏洞，云端自动预置0Day漏洞防护规则，无需人工手动打补丁，0Day高危漏洞防护规则最快2小时更新，快速抵御最新威胁，保障业务安全稳定

WAF支持对SQL注入攻击进行防护，防止恶意SQL命令的执行。具体的防护检测原理参见WAF针对SQL注入攻击的检测原理。

数据库安全审计(DBSS)提供SQL注入库，可以基于SQL命令特征或风险等级，发现数据库异常行为立即告警。具体的操作请参见添加SQL注入规则。

▶ WAF的Web基础防护规则可以防护Apache Shiro 身份认证绕过漏洞 （CVE-2022-40664）。

配置方法：可在WAF控制台配置精准防护规则，对业务管理后台入口（如/admin，以实际管理后台入口地址为准）设置IP访问控制，非管理员常用IP对管理后台入口的请求进行阻断。配置指导参见配置精准访问防护规则。