本文介紹了Web應用防火墻服務支持的所有網站防護配置功能。
模塊 | 功能 | 描述 | 開啟方式 | 相關文檔 |
Web安全 | 規則防護引擎 | 基于內置的專家經驗規則集，自動為網站防御SQL注入、XSS跨站、WebShell上傳、命令注入、后門隔離、非法文件請求、路徑穿越、常見應用漏洞攻擊等通用的Web攻擊。 | 接入后自動開啟。 | |
防護規則組 | 支持自由組合Web應用防火墻的防護規則，形成有針對性的防護規則組，應用到具體的網站防護。 說明 目前僅支持自定義規則防護引擎的防護規則組。 | 接入后手動開啟。 | ||
網站防篡改 | 幫助您鎖定需要保護的網站頁面（例如敏感頁面），被鎖定的頁面在收到請求時，返回已設置的緩存頁面，預防源站頁面內容被惡意篡改。 | 接入后手動開啟。 | ||
防敏感信息泄露 | 幫助網站過濾服務器返回內容（異常頁面或關鍵字）中的敏感信息（例如身份證號、銀行卡號、電話號碼和敏感詞匯），脫敏展示敏感信息或返回默認異常響應頁面。 | 接入后手動開啟。 | ||
主動防御 | 采用阿里云自研的機器學習算法自主學習域名的合法流量，并自動為域名生成定制化的安全防護策略，防御未知攻擊。 | 接入后手動開啟。 | ||
Bot管理 | 合法爬蟲 | 提供合法搜索引擎白名單（例如Google、Bing、百度、搜狗、Yandex等），方便您為域名設置放行合法爬蟲的訪問請求。 | 接入后手動開啟。 | |
爬蟲威脅情報 | 基于云平臺強大的計算能力，提供撥號池IP、IDC機房IP、惡意掃描工具IP以及云端實時模型生成的惡意爬蟲庫等多種維度的爬蟲威脅情報規則，方便您在全域名或指定路徑下設置阻斷惡意爬蟲的訪問請求。 | 接入后手動開啟。 | ||
數據風控 | 幫助您防御網站關鍵業務（例如注冊、登錄、活動、論壇）中可能發生的機器爬蟲欺詐行為。 | 接入后手動開啟。 | ||
App防護 | 專門針對原生App端，提供可信通信、防機器腳本濫刷等安全防護，可以有效識別代理、模擬器、非法簽名的請求。 | 接入后手動開啟。 | ||
訪問控制/限流 | CC安全防護 | 基于CC流量特征，幫助您防御針對頁面請求的CC攻擊，并提供不同模式的防護策略。 | 接入后自動開啟。 | |
IP黑名單 | 支持一鍵阻斷來自指定IP地址、IP地址段以及指定地理區域的IP地址的訪問請求。 | 接入后手動開啟。 | ||
掃描防護 | 幫助網站自動阻斷包含指定特征的訪問請求，例如請求源IP在短期內發起多次Web攻擊或目標遍歷攻擊、請求源IP來自常見掃描工具或阿里云惡意掃描攻擊IP庫。 | 接入后手動開啟。 | ||
自定義防護策略 | 支持自定義基于精確匹配條件的訪問控制規則和訪問頻率限制規則。 | 接入后手動開啟。 | ||
防護實驗室 | 賬戶安全 | 幫助您識別與賬戶關聯的業務接口（例如注冊、登錄等）上發生的賬戶安全風險事件，包括撞庫、暴力破解、垃圾注冊、弱口令嗅探和短信驗證碼接口濫刷。 | 接入后手動開啟。 | |
防護白名單 | 網站白名單 | 通過設置網站白名單，可以讓滿足條件的請求不經過任何Web應用防火墻防護模塊的檢測，直接訪問源站服務器。 | 接入后手動開啟 | |
Web入侵防護白名單 | 通過設置Web入侵防護白名單，可以讓滿足條件的請求忽略指定模塊（規則防護引擎）的檢測。 | 接入后手動開啟。 | ||
數據安全白名單 | 通過設置數據安全白名單，可以讓滿足條件的請求忽略指定模塊（防敏感信息泄露、網站防篡改、賬戶安全）的檢測。 | 接入后手動開啟。 | ||
Bot管理白名單 | 通過設置Bot管理白名單，可以讓滿足條件的請求忽略指定模塊（爬蟲威脅情報、數據風控、智能算法、App防護）的檢測。 | 接入后手動開啟。 | ||
訪問控制/限流白名單 | 通過設置訪問控制/限流白名單，可以讓滿足條件的請求忽略指定模塊（CC安全防護、IP黑名單、掃描防護、自定義防護策略）的檢測。 | 接入后手動開啟。 |
一鍵關閉WAF防護功能
當您需要臨時關閉WAF防護時，您可以在WAF 2.0控制臺的資產中心 > 網站接入中，關閉WAF防護開關。如下圖示。
當開關關閉時，您接入網站的流量會臨時繞行WAF防護引擎，并不再記錄攔截和觀察日志。在您完成應急測試等需要臨時關閉WAF的操作后，推薦您盡快返回WAF 3.0控制臺的防護對象頁面，打開WAF防護開關，記錄攔截和觀察日志，減少您資產的暴露風險。若您關閉了WAF防護開關或功能，但配置了API安全防護，相關檢測流程仍將繼續執行。
對于開通按量計費版本的用戶，即使通過開關臨時關閉WAF防護，仍會正常收取功能費、基礎流量費及API安全流量費（若已啟用API安全）。Bot管理流量費、風險識別服務及自定義規則的流量計費將暫停。
云產品接入中，微服務引擎（MSE）與函數計算（FC）尚不支持一鍵關閉繞過功能。針對混合云部署，該功能需達到指定版本方可生效。詳情請咨詢您的商務經理，或通過工單提交咨詢，我們的支持團隊將為您提供精確的版本要求信息。