規(guī)則防護(hù)引擎最佳實踐
本文介紹了使用Web應(yīng)用防火墻（Web Application Firewall，簡稱WAF）的規(guī)則防護(hù)引擎功能進(jìn)行Web應(yīng)用攻擊防護(hù)的最佳實踐，包含應(yīng)用場景、防護(hù)策略、防護(hù)效果、規(guī)則更新四個方面。
應(yīng)用場景
WAF主要幫助網(wǎng)站防御不同類型的Web應(yīng)用攻擊，例如SQL注入、XSS跨站攻擊、遠(yuǎn)程命令執(zhí)行、WebShell上傳等攻擊。關(guān)于Web攻擊的更多信息，請參見常見Web漏洞釋義。
主機(jī)層服務(wù)的安全問題（例如Redis、MySQL未授權(quán)訪問等）導(dǎo)致的服務(wù)器入侵不在WAF的防護(hù)范圍之內(nèi)。
設(shè)置防護(hù)策略
您在完成網(wǎng)站接入后，WAF的規(guī)則防護(hù)引擎功能默認(rèn)開啟，并使用正常模式的防護(hù)策略，為網(wǎng)站防御常見的Web攻擊。您可以在網(wǎng)站防護(hù)頁面定位到規(guī)則防護(hù)引擎區(qū)域，設(shè)置防護(hù)策略和查看規(guī)則防護(hù)引擎的防護(hù)狀態(tài)。具體操作，請參見操作步驟。
防護(hù)狀態(tài)解讀
狀態(tài)：是否開啟規(guī)則防護(hù)引擎模塊，默認(rèn)開啟。
模式：WAF檢測發(fā)現(xiàn)網(wǎng)站的訪問請求中包含Web攻擊時要執(zhí)行的動作，包含攔截和告警兩種模式。
攔截模式：WAF自動攔截攻擊請求，并在后臺記錄攻擊日志。
告警模式：WAF不會攔截攻擊請求，僅在后臺記錄攻擊日志。
防護(hù)規(guī)則組：規(guī)則防護(hù)引擎使用的防護(hù)規(guī)則合集，默認(rèn)提供中等規(guī)則組、嚴(yán)格規(guī)則組、寬松規(guī)則組，分別表示正常、嚴(yán)格、寬松的檢測強度。
中等規(guī)則組：防護(hù)粒度較寬松且防護(hù)規(guī)則策略精準(zhǔn)，可以攔截常見的具有繞過特征的攻擊請求。
嚴(yán)格規(guī)則組：防護(hù)粒度最精細(xì)，可以攔截具有復(fù)雜的繞過特征的攻擊請求，相比中等規(guī)則組帶來的誤攔截可能更多。
寬松規(guī)則組：防護(hù)粒度較粗，只攔截攻擊特征比較明顯的請求。
說明防護(hù)規(guī)則組設(shè)置僅在開啟規(guī)則防護(hù)引擎后生效。
如果您開通了企業(yè)版或旗艦版的中國內(nèi)地WAF實例，或者旗艦版的非中國內(nèi)地WAF實例，則您可以自定義防護(hù)規(guī)則組。自定義防護(hù)規(guī)則組允許您自由組合WAF提供的所有防護(hù)規(guī)則，形成有針對性的防護(hù)策略，并將其應(yīng)用到網(wǎng)站防護(hù)。具體操作，請參見自定義防護(hù)規(guī)則組。
使用建議
如果您對自己的業(yè)務(wù)流量特征還不完全清楚，建議您先切換到告警模式進(jìn)行觀察。一般情況下，建議您觀察一至兩周，然后分析告警模式下的攻擊日志：
如果沒有發(fā)現(xiàn)任何正常業(yè)務(wù)流量被攔截的記錄，則可以切換到攔截模式。
業(yè)務(wù)操作方面應(yīng)注意以下問題：
正常業(yè)務(wù)的HTTP請求中盡量不要直接傳遞原始的SQL語句、JavaScript代碼。
正常業(yè)務(wù)的URL盡量不要使用一些特殊的關(guān)鍵字（UPDATE、SET等）作為路徑，例如
www.aliyundoc.com/abc/update/mod.php?set=1。如果業(yè)務(wù)中需要上傳文件，不建議直接通過Web方式上傳超過50 MB的文件，建議使用OSS或者其他方式上傳。更多信息，請參見開始使用OSS。
查看防護(hù)效果
開啟規(guī)則防護(hù)引擎后，您可以在安全報表頁面查詢報表，了解規(guī)則防護(hù)引擎的防護(hù)記錄。具體操作，請參見WAF安全報表。
Web入侵防護(hù)報表支持查詢最近30天內(nèi)的攻擊記錄。報表下方提供了詳細(xì)的攻擊記錄列表，您可以篩選出規(guī)則防護(hù)記錄，然后單擊某條記錄后的查看詳情，查詢攻擊詳情。例如，下圖中的攻擊詳情表示一條已被WAF攔截的SQL注入請求。
如果您發(fā)現(xiàn)WAF誤攔截了正常的業(yè)務(wù)流量，建議您通過Web入侵防護(hù)白名單功能，對受影響的URL配置白名單策略，具體操作，請參見設(shè)置Web入侵防護(hù)白名單。
查看規(guī)則更新通知
對于互聯(lián)網(wǎng)披露的已知漏洞和未披露的0day漏洞，WAF將及時完成防護(hù)規(guī)則的更新并發(fā)布規(guī)則更新通知。您可以在產(chǎn)品信息頁面，查詢WAF發(fā)布的規(guī)則更新通知。具體操作，請參見查看產(chǎn)品信息。
Web攻擊往往存在不止一種概念證明方法（Proof of Concept，簡稱PoC），阿里云安全專家會對漏洞原理進(jìn)行深度分析，從而確保發(fā)布的Web防護(hù)規(guī)則覆蓋已公開和未公開的各種漏洞利用方式。