本文将为您介绍边缘云WAF提供的人机识别策略，精准命中爬虫流量，拦截各类恶意爬虫，守护网站业务安全。 功能介绍 边缘云WAF提供的人机识别支持Cookie挑战、跳转挑战、人机挑战等一系列反爬能力，帮助客户及时且精准地识别并拦截虚假流量，保障网站不受恶意爬虫攻击。 注意 目前控制台尚未开放人机识别功能，如有防护需求请通过 前提条件 已开通Web应用防火墙（边缘云版）。 已新增域名并成功接入WAF，具体操作请见WAF接入。 开通Web应用防火墙（边缘云版）扩展服务Bot管理，支持使用Bot防护策略，具体请见Bot管理计费。 人机识别功能说明 Cookie基础检测 注意 客户端标识检测：客户端标识检测是人机识别第一检测策略，将先一步校验Cookie挑战、人机挑战以及跳转挑战下发的cookie个数和完整性。无客户端标识、客户端标识缺失、客户端标识解析失败三种情况都需要配置。 无客户端标识。即针对请求没有cookie的情况进行处理 处理动作：拦截/告警/跳转/放行 拦截：拦截请求 告警：仅记录请求 跳转：GET请求启动302跳转策略，POST请求启动307跳转策略 放行：不对该异常做处理，另外不会再校验其他的BOT防护规则 统计粒度：静态cookie/IP+UA/IP 触发条件：达到触发条件的请求将对其执行处理动作，并支持配置处理动作持续时长（触发规则后的惩罚时间） 客户端标识缺失。即针对请求带回cookie个数小于下发的个数（最多会下发四个）进行处理 客户端标识解析失败。即针对失败解析cookie的情况下进行处理 其他字段： 客户端标识过期时间：默认15天,单位天,最大值365天 白名单：即例外条件，符合条件的请求不进行功能检测

本文介绍如何下载日志。 当日志超过热日志分析上限时，系统将自动对超出部分执行归档操作。 日志归档周期：每日凌晨2点自动归档一次。 归档日志存储时间：180天。 下载归档日志 说明 文件生成时间与文件中日志起始时间可能存在较大差异，若选择文件时间内未找到目标时间日志，可下载与目标时间相邻的文件。 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“系统管理 > 管理归档日志”。 5. 查询日志： 选择模式：支持选择“云SAAS模式”、独享型实例。 日志文件名称：支持模糊搜索文件名称。 归档时间：根据选择的时间范围过滤文件归档时间。 6. 查看日志文件列表。 参数 说明 日志文件名称 根据归档文件生成时间命名的文件。 日志时间 显示该归档文件内日志的起止时间。 归档时间 显示文件的归档时间。 日志条数 当前文件内归档的日志条数。 文件大小 显示文件的大小。 文件类型 显示文件的类型，攻击日志或访问日志。 7. 下载日志：单击操作列的“下载”，下载对应日志文件。 选择“云SAAS模式”，支持下载对应归档文件。 说明 归档日志文件类型目前仅有“攻击日志”提供下载。 选择独享型实例，仅支持查看日志归档记录，不支持下载归档文件。

本小节介绍Web应用防火墙关闭防护和暂停防护的操作方法。 关闭防护 点击关闭防护，关闭防护需要首先确保将DNS指回源站，否则该域名的流量将无法正常转发，请确定关闭该域名的防护功能。 暂停防护 点击暂停防护，web应用防火墙会将原本经过web应用防火墙的流量全部放行给源站，不做拦截，此功能算是解决客户临时特殊需求时的缓解功能，点击恢复即可重新开启防护。

本小节介绍Web应用防火墙计费类常见问题。 一个域名包支持多少个二级域名？ 一个域名包支持包含1个一级域名（www.baidu.com）以及这个一级域名下二级域名（如 abc.baidu.com）总计10个域名的防护。 如果超过10个，需要购买实例增加域名包数量以支持域名防护。 选择带宽是否需要和网站业务带宽匹配？ 是的，Web应用防火墙最低标准带宽为200Mbps，真实业务带不能高于这个标准，如高于标准200Mbps，则需要拓展带宽包。 Web应用防火墙是付费产品吗？ 天翼云Web应用防火墙作为天翼云安全业务的一个重要产品，作为付费的增值业务服务产品提供给天翼云客户，需要用户购买，收费的标准详见计费模式。 产品是否可以试用，周期为多长时间？ 支持试用，周期为三个月。 线上是否支持试用订购？ 不支持。 试用暂时只支持线下渠道，需联系客户经理进行试用。 我已经购买了Web应用防火墙产品，是否意味着已开启安全防护？ 不是。购买成功后还需要一系列的配置才能开启安全防护，例如配置上传、下发、测试验证等操作。

使用场景 业务正常请求被WAF拦截。例如，您在ECS服务器上部署了一个Web应用，将该Web应用对应的公网域名接入WAF并开启Web基础防护后，该域名的请求流量命中了Web基础防护规则被WAF误拦截，导致通过域名访问网站显示异常，但直接通过IP访问网站正常。 操作步骤 1. 登录管理控制台。 2. 单击页面顶部的区域选择框，选择区域。 3. 单击页面左上角的“服务列表”，选择“安全 > Web应用防火墙（独享版）”。 4. 在左侧导航树中，选择“防护事件”，进入“防护事件”页面。 5. 选择“查询”页签，在网站下拉列表中选择待查看的防护网站，可查看“昨天”、“今天”、“3天”“7天”、“30天”或者自定义时间范围内的防护日志。 6. 在“防护事件列表”中，根据实际情况对防护事件进行处理。 确认事件为误报，在目标防护事件所在行的“操作”列，单击“事件处理 > 误报处理”，添加误报处理策略。 添加误报屏蔽策略，参数说明如表所示： 参数 参数说明 取值样例 防护方式 “全部域名”：默认防护当前策略下绑定的所有域名。 “指定域名”：选择策略绑定的防护域名或手动输入泛域名对应的单域名。 指定域名 防护域名 “防护方式”选择“指定域名”时，需要配置此参数。 需要手动输入当前策略下绑定的需要防护的泛域名对应的单域名，且需要输入完整的域名。 www.example.com 条件列表 单击“添加”增加新的条件，一个防护规则至少包含一项条件，最多可添加30项条件，多个条件同时满足时，本条规则才生效。 条件设置参数说明如下： 字段 子字段：当字段选择“Params”、“Cookie”或者“Header”时，请根据实际使用需求配置子字段。子字段的长度不能超过2048字节，且只能由数字、字母、下划线和中划线组成。 逻辑：在“逻辑”下拉列表中选择需要的逻辑关系。 内容：输入或者选择条件匹配的内容。 “路径”包含“/product” 不检测模块 “所有检测模块”：通过WAF配置的其他所有的规则都不会生效，WAF将放行该域名下的所有请求流量。 “Web基础防护模块”：选择此参数时，可根据选择的“不检测规则类型”，对某些规则ID或者事件类别进行忽略设置（例如，某URL不进行XSS的检查，可设置屏蔽规则，屏蔽XSS检查）。 Web基础防护模块 不检测规则类型 “不检测模块”选择“Web基础防护模块”时，您可以选择以下三种方式进行配置： 按ID：按攻击事件的ID进行配置。 按类别：按攻击事件类别进行配置，如：XSS、SQL注入等。一个类别会包含一个或者多个规则ID。 所有内置规则：配置Web基础防护规则里开启的所有防护规则。 按类别 不检测规则ID 当“不检测规则类型”选择“按ID”时，需要配置此参数。 “防护事件”列表中事件类型为非自定义规则的攻击事件所对应的规则编号。建议您直接在防护事件页面进行误报处理。 041046 不检测规则类别 当“不检测规则类型”选择“按类别”时，需要配置此参数。 在下拉框中选择事件类别。 WAF支持的防护事件类别有：XSS攻击、网站木马、其他类型攻击、SQL注入攻击、恶意爬虫、远程文件包含、本地文件包含、命令注入攻击。 SQL注入攻击 规则描述 可选参数，设置该规则的备注信息。 不拦截SQL注入攻击 高级设置 如果您只想忽略来源于某攻击事件下指定字段的攻击，可在“高级设置”里选择指定字段进行配置，配置完成后，WAF将不再拦截指定字段的攻击事件。 在左边第一个下拉列表中选择目标字段。支持的字段有：Params、Cookie、Header、Body、Multipart。 当选择“Params”、“Cookie”或者“Header”字段时，可以配置“全部”或根据需求配置子字段。 当选择“Body”或“Multipart”字段时，可以配置“全部”。 当选择“Cookie”字段时，“防护域名”可以为空。 说明 当字段配置为“全部”时，配置完成后，WAF将不再拦截该字段的所有攻击事件。 Params 全部 将源IP添加到地址组。在目标防护事件所在行的“操作”列，单击“事件处理 > 添加到地址组”，添加成功后将根据该地址组所应用的防护策略进行拦截或放行。“添加方式”可选择已有地址组或者新建地址组。 将源IP添加至对应防护域名下的黑白名单策略。在目标防护事件所在行的“操作”列，单击“事件处理 > 添加至黑白名单”，添加成功后该策略将始终对添加的攻击源IP进行拦截或放行。 参数说明见下表： 参数 参数说明 添加方式 选择已有规则 新建规则 规则名称 添加方式选择“选择已有规则”时，在下拉框中选择规则名称。 添加方式选择“新建规则”时，自定义黑白名单规则的名字。 IP/IP段或地址组 添加方式选择“新建规则”时，需要配置此参数。 支持添加黑白名单规则的方式，“IP/IP段”或“地址组”。 地址组名称 “IP/IP段或地址组”选择“地址组”时，需要配置此参数。 在下拉列表框中选择已添加的地址组。 防护动作 拦截：IP地址或IP地址段设置的是黑名单且需要拦截，则选择“拦截”。 放行：IP地址或IP地址段设置的是白名单，则选择“放行”。 仅记录：需要观察的IP地址或IP地址段，可选择“仅记录”。 攻击惩罚 当“防护动作”设置为“拦截”时，您可以设置攻击惩罚标准。设置攻击惩罚后，当访问者的IP、Cookie或Params恶意请求被拦截时，WAF将根据惩罚标准设置的拦截时长来封禁访问者。 规则描述 可选参数，设置该规则的备注信息。

本节介绍当网站通过独享型方式接入WAF防护时，如何开启IPv6防护。 如果需要对网站的IPv6请求流量进行防护，需要在购买WAF独享版实例时，选择已开启IPv6功能的VPC和子网。 开启IPv6功能后，所有IPv6请求将先流转到WAF，WAF检测并过滤恶意攻击流量后，将正常流量转发给源站，实现恶意流量的拦截。 步骤一：子网开启IPv6 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“网络 > 虚拟私有云”。 4. 选择对应的虚拟私有云，选择对应子网，点击子网后的“修改”进入修改子网页面，勾选“开启IPv6”，单击“确定”。 步骤二：购买WAF独享版实例 在产品订购页面，选择已开启IPv6功能的子网 ，其他参数配置请参见购买WAF独享版实例。 步骤三：接入WAF防护 网站通过独享型接入方式接入WAF防护时，选择上述支持IPv6功能的实例，网站将自动开启IPv6防护。 详细操作请参见将网站接入WAF防护（独享型接入）。

前提条件 已购买云防火墙（原生版）N100型实例。 操作步骤 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航选择“实例监控”，进入云防火墙（原生版）N100型实例列表页面。 3. 单击目标实例操作列的“配置”，跳转到N100型实例的Web控制台。

本节介绍如何为Web应用防火墙绑定新的网卡。 开通Web应用防火墙原子能力时，对应原子能力配置的云主机默认只有一张网卡，该网卡为管理口网卡。为了承载业务流量，需要为Web应用防火墙对应的云主机添加新的弹性网卡作为业务流量通道。具体绑定的网卡数量根据实际业务网络规划而定。 前提条件 已购买Web应用防火墙资源，且资源状态为“运行中”。 操作步骤 1. 登录云等保专区控制台。 2. 在左侧导航栏，选择“Web应用防火墙”，进入云等保专区的Web应用防火墙资源页面。 3. 在目标资源的操作列，单击“更多 > 绑定网卡”。 4. 绑定网卡。 根据资源所在区域，绑定网卡的步骤略有不同，云等保专区支持的区域请参见支持的区域。 一类节点区域： 1. 在弹出的“绑定弹性网卡”窗口中，上方展示当前资源已有网卡，在下方列表中选择需要绑定的网卡。 若没有可绑定的网卡，单击“创建弹性网卡”，创建一个新的网卡。 2. 选择网卡后，单击“确定”，完成绑定。 二类节点区域： 单击“绑定网卡”后，会进入对应云主机详情页面。在该页面为云主机绑定网卡，详细操作请参见添加网卡。 5. 重启云主机。 当绑定网卡后，需要重启云主机资源使绑定的网卡生效。 注意 重启会导致服务中断，且重启过程中无法执行其他操作，请在业务空闲时进行重启。 1. 在目标资源的操作列，单击“更多 > 重启”，重启云主机。 2. 在弹出的提示框中，单击“确定”，资源状态变更为“重启中”，待状态变更为“运行中”时，表示重启完成。 说明 若重启失败，可再次单击“更多 > 重启”重试。

本文介绍出现网站访问异常的情况如何处理。 网站接入Web应用防火墙（边缘云版）之后出现访问异常的情况，一般可以通过以下流程进行排查修复： 检查源站是否正常 可通过直接将域名指向源站IP的方式（修改本机HOSTS文件），不经过Web应用防火墙（边缘云版）防护节点直接访问源站，确认源站能否正常响应。如果直接访问源站也访问异常，证明是源站本身存在问题，需要到源站排查定位问题并修复处理。 检查是否被Web应用防火墙（边缘云版）服务误拦截 可通过Web应用防火墙（边缘云版）控制台的“日志管理 > WAF攻击日志”页面查看是否相关的攻击日志记录，如果有对应的攻击记录并分析确认该请求为正常请求则可通过添加白名单规则的方式放行请求。如果没有相关攻击日志记录，可进一步到“域名列表 >安全防护 > 安全基础配置”页面将防护模式开关修改成关闭，然后再尝试访问网站，如果访问异常的情况依旧存在，则证明不是Web应用防火墙（边缘云版）防护影响的异常，需要从其他方面排查。 常见请求错误的排查定位 400 Bad Request ：客户端请求提交的内容不符合源站程序的校验，请检查请求格式和源站要求的校验格式是否一致。 413 Request Entity Too Large ：请求体太大超过服务器限制，请检查源站的网关和WEB服务器限制的请求大小是否需要调大。 502 Bad Gateway：网关错误，请检查源站是否异常，如果直接访问源站正常，则检查是否有黑名单、iptables等防火墙限制了防护节点的回源请求。 HTTPS访问异常：确认上传到WAF控制台的HTTPS证书是否失效，检查HTTPS证书链是否完整。

在设置Web安全防护功能之前，您需要先进行安全基础配置。 前提条件 已开通Web应用防火墙（边缘云版）。 已新增域名并成功接入WAF，具体操作请见WAF接入 操作步骤 1. 登录Web应用防火墙（边缘云版）控制台 2. 在左侧导航栏中选择【域名管理】—【域名列表】，选择您要防护的域名，单击操作列【安全防护】 3. 进入【安全基础配置】页面 配置说明 配置项 说明 防护模式 防护模式：域名防护开关，为防护功能的全局按钮，用于控制功能是否生效 开启：开启web防护 关闭：关闭web防护，策略不生效 处理动作 处理动作：全局处理动作 拦截：当处理动作为拦截时，各防护功能的处理动作依照其配置生效； 告警：当处理动作为告警时，各防护功能的处理动作如果配置为拦截，则也生效为告警。 漏洞防护配置 设置漏洞防护配置，根据下拉提示选择适配网页业务的模板 全量防护规则集：适用于重保等级高，且允许一定程度误报的业务场景。该漏洞规则集防护包含全量规则，绝大部分规则处理动作为拦截（网站防护模式为拦截时则直接进行拦截），容易出现误报，请谨慎选择； 敏感防护规则集：适用于常规网站，且允许少量误报的业务场景。该漏洞规则集防护等级较为严格，容易误报的规则处理动作为告警，其他规则处理动作为拦截（网站防护模式为拦截时则直接进行拦截），存在一定误报可能性； 宽松防护规则集：适用于常规网站，允许存在一定漏报的业务场景。该漏洞规则集防护等级较为宽松，关闭容易产生误报的规则，则可能存在一定漏报，接入后请及时关注； PHP防护规则集：适用于后台开发语言为PHP的网站业务。该漏洞规则集主要针对后台语言为PHP进行制定，关闭其他容易产生误报的规则，接入后请及时关注； JAVA防护规则集：适用于后台开发语言为JAVA的网站业务。该漏洞规则集主要针对后台语言为JAVA进行制定，关闭其他容易产生误报的规则，接入后请及时关注； 非PHP和JAVA防护集：适用于后台开发语言明确非PHP和JAVA网站业务。该漏洞规则集主要针对后台语言为非PHP和JAVA进行制定，关闭其他容易产生误报的规则，接入后请及时关注； 下载类业务规则集：适用于下载类业务，即包含zip、rar、tar、gz等下载类后缀的业务网站。该漏洞规则集主要针对下载类业务进行设定规则，关闭其他容易产生误报的规则，接入后请及时关注； 注意：域名刚接入时建议使用【敏感防护规则集】，能够适用于大部分常规网站 静态文件后缀 在【静态文件后缀】输入框中输入无需检测的文件后缀，多个用英文;分隔，输入并提交保存后，边缘云WAF将不对这些文件类型进行检测 默认值：css;js;pjpeg;flv;mp4;mp3;wmv;wma;avi;apk;rpm;deb;bin;ogg;mpg;mpeg;f4v;rm;3gp;img;cur;jpe;ico;msi;cab;pdf;aac;swc;doc;docx;xls;xlsx;ppt;pptx;rmvb;ipa;sis;xap;m3u8;ts;gif;jpg;jpeg;swf;png;bmp

本节简单介绍WAF和CC攻击。 什么是Web应用防火墙？ Web应用防火墙（Web Application Firewall，简称WAF），针对Web攻击进行防护，例如 ：XSS（跨站脚本攻击）、SQL注入、Webshell上传等，除此之外，还提供了CC攻击的防护，CC攻击是攻击者借助代理服务器生成指向受害主机的合法请求，是拒绝服务攻击的一种类型。 如何判断是否遭受CC攻击？ 当客户发现网站处理速度下降，网络带宽占用过高时，很有可能已经遭受CC攻击，此时可查看Web服务器的访问日志或网络连接数量，如果访问日志或网络连接数量显著增加，则可确定遭受CC攻击，可以按照以下策略进行配置，利用WAF阻断CC攻击，保障网站业务的正常运行。 说明 WAF防护应用层流量的拒绝服务攻击，适合防御HTTP Get攻击等。 WAF服务并不提供针对四层及以下流量的防护，例如：ACK Flood、UDP Flood等攻击，这类攻击建议使用DDoS及IP高防服务进行防护。

本文介绍如何通过ELB接入方式将网站接入WAF进行防护。 Web应用防火墙（原生版）支持接入负载均衡（ELB）实例，您可以为使用HTTP或HTTPS监听协议的ELB监听器开启WAF防护。WAF对进入监听器的应用层流量进行检测（不参与流量转发），您可根据自身应用需求设置相应的防护规则。 前提条件 该功能当前处于试用阶段，如需试用请通过天翼云控制台提工单进行申请。 已购买WAF云SaaS型实例，且实例版本为标准版及以上版本。 实例支持防护的ELB监听器个数未超过配额限制，各个版本支持的配额请参见产品规格。 约束限制 目前仅支持防护性能保障型的负载均衡实例，不支持经典型实例。 目前仅支持为HTTP/HTTPS监听器开启安全防护。 目前仅支持防护“武汉41”区域的ELB监听器。 在WAF控制台开启防护 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 进入到WAF控制台，在左侧导航栏选择“接入管理”，选择“云产品接入”页签。 5. 单击“添加防护对象”进入添加防护对象页面，配置防护对象参数。 配置项 说明 ELB（负载均衡器） 单击“选择ELB（负载均衡器）”，弹出当前所在区域的ELB实例列表，找到目标ELB，单击操作列的“选择”。 监听器 单击“选择监听器”，弹出所选ELB实例下的监听器列表，找到目标监听器，单击操作列的“选择”。 说明 仅支持选择监听协议为HTTP 、HTTPS的监听器。 防护对象名称 防护对象的名称，默认为“ELB名称 :监听器名称”，支持自定义。 域名 （可选）填写所选监听器下的域名，可添加精确域名和泛域名： 精确域名：支持多级别精确域名，例如主域名ctyun.cn、子域名www.ctyun.cn等。 泛域名：支持使用泛域名格式，例如.ctyun.cn可以匹配www.ctyun.cn、test.ctyun.cn。 说明 使用泛域名后，WAF将自动匹配该泛域名对应的所有子域名，例如，.ctyun.cn能够匹配www.ctyun.cn、test.ctyun.cn等。 泛域名不支持匹配对应的主域名，例如.ctyun.cn不能匹配ctyun.cn。 如果同时存在精确域名和泛域名，则精确域名的转发规则和防护策略优先生效。 备注 （可选）防护对象的描述信息，可以自定义。 6. 配置完成后单击“确定”，返回云产品接入页面。 说明 ELB监听器接入WAF后，WAF防护开关默认“开启”，暂不支持在WAF控制台关闭防护。

WAF是否可以防护Apache Struts2远程代码执行漏洞（CVE202131805）？ WAF的Web基础防护规则可以防护Apache Struts2远程代码执行漏洞（CVE202131805）。 配置方法： 申请WAF独享引擎。 将网站域名添加到WAF中并完成域名接入，详细操作请参见网站接入WAF。 将Web基础防护的状态设置为“拦截”模式，详细操作请参见配置Web基础防护规则。

操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域或项目。 步骤3 单击页面左上方的，选择“安全>Web应用防火墙（独享版）”。 步骤4 在左侧导航树中，选择“防护策略”，进入“防护策略”页面。 步骤5 单击目标策略名称，进入目标策略的防护配置页面。 步骤6 在“全局白名单（原误报屏蔽）”配置框中，用户可根据自己的需要更改“状态”，单击“自定义全局白名单规则”，进入规则配置页面。 步骤7 在“全局白名单”规则配置页面左上角，单击“添加规则”。 步骤8 添加全局白名单规则，如下图所示。 参数说明： 参数 参数说明 取值样例 防护方式 “全部域名”：默认防护当前策略下绑定的所有域名。 “指定域名”：选择策略绑定的防护域名或手动输入泛域名对应的单域名。“防护方式”选择“指定域名”时，需要配置此参数。 指定域名 防护域名 “防护方式”选择“指定域名”时，需要配置此参数。 需要手动输入当前策略下绑定的需要防护的泛域名对应的单域名，且需要输入完整的域名。 www.example.com 条件列表 单击“添加”增加新的条件，一个防护规则至少包含一项条件，最多可添加30项条件，多个条件同时满足时，本条规则才生效。 条件设置参数说明如下： 字段 子字段：当字段选择“Params”、“Cookie”或者“Header”时，请根据实际使用需求配置子字段。 子字段的长度不能超过2048字节，且只能由数字、字母、下划线和中划线组成。 逻辑：在“逻辑”下拉列表中选择需要的逻辑关系。 内容：输入或者选择条件匹配的内容。 “路径”包含“/product” 不检测模块 “所有检测模块”：通过WAF配置的其他所有的规则都不会生效，WAF将放行该域名下的所有请求流量。 “Web基础防护模块”：选择此参数时，可根据选择的“不检测规则类型”，对某些规则ID或者事件类别进行忽略设置（例如，某URL不进行XSS的检查，可设置屏蔽规则，屏蔽XSS检查）。 Web基础防护模块 不检测规则类型 “不检测模块”选择“Web基础防护模块”时，您可以选择以下三种方式进行配置： 按ID：按攻击事件的ID进行配置。 按类别：按攻击事件类别进行配置，如：XSS、SQL注入等。一个类别会包含一个或者多个规则ID。 所有内置规则。 按类别 不检测规则ID 当“不检测规则类型”选择“按ID”时，需要配置此参数。 “防护事件”列表中事件类型为非自定义规则的攻击事件所对应的规则编号。建议您直接在防护事件页面进行误报处理。 041046 不检测规则类别 当“不检测规则类型”选择“按类别”时，需要配置此参数。 在下拉框中选择事件类别。 WAF支持的防护事件类别有：XSS攻击、网站木马、其他类型攻击、SQL注入攻击、恶意爬虫、远程文件包含、本地文件包含、命令注入攻击。 SQL注入攻击 规则描述 可选参数，设置该规则的备注信息。 不拦截SQL注入攻击 高级设置 如果您只想忽略来源于某攻击事件下指定字段的攻击，可在“高级设置”里选择指定字段进行配置，配置完成后，WAF将不再拦截指定字段的攻击事件。 在左边第一个下拉列表中选择目标字段。支持的字段有：Params、Cookie、Header、Body、Multipart。 当选择“Params”、“Cookie”或者“Header”字段时，可以配置“全部”或根据需求配置子字段。 当选择“Body”或“Multipart”字段时，可以配置“全部”。 当选择“Cookie”字段时，“防护域名”和“路径”可以为空。 说明 当字段配置为“全部”时，配置完成后，WAF将不再拦截该字段的所有攻击事件。 Params 全部

当证书过期或证书无效时，您可以删除该证书。本节介绍如何删除证书。 前提条件 证书没有被使用，即证书未绑定防护网站。 约束条件 如果证书已绑定防护网站，删除证书前需要解除该证书与域名绑定关系。 系统影响 删除证书不会影响业务。 证书删除后不可恢复，请谨慎删除证书。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择区域。 步骤 3 单击页面左上方的，选择“安全> Web应用防火墙（独享版）”。 步骤 4 在左侧导航树中，选择“对象管理> 证书管理”，进入“证书管理”页面。 步骤 5 在目标证书所在行的“操作”列中，单击“删除”。 步骤 6 在弹出的提示框中，单击“确认”，删除证书。 相关操作 如果证书已绑定防护网站，删除证书前需要解除该证书与域名绑定关系。请参考以下操作步骤，解除证书与域名绑定关系。 步骤 1 在目标证书所在行的“应用域名”列中，单击防护域名，进入域名基本信息页面。 步骤 2 在“证书名称”后单击编辑按钮，在弹出的对话框中，上传新证书或者选择其他已有证书。

本节介绍IPv6防护相关常见问题。 哪些版本支持IPv6防护？ Web应用防火墙支持IPv6/IPv4双栈，针对同一域名可以同时提供IPv6和IPv4的流量防护。 针对仍然使用IPv4协议栈的Web业务，Web应用防火墙支持NAT64机制（NAT64是一种通过网络地址转换（NAT）形式促成IPv6与IPv4主机间通信的IPv6转换机制），即WAF可以将外部IPv6访问流量转化成对内的IPv4流量。 如何测试在WAF中配置的源站IP是IPv6地址？ 执行此操作前，请确认已在WAF中添加了域名并完成了域名接入。 假如已在WAF中添加域名www.example.com。通过以下方法可以测试配置的源站IP是否是IPv6地址： 1. 在Windows中打开cmd命令行工具。 2. 执行dig AAAA www.example.com命令。 如果返回的结果里有IPv6格式的IP地址，如下图所示，则证明配置的源站IP是IPv6地址。 业务使用了IPv6，WAF中的源站地址如何配置？ 如果域名已接入了WAF（源站地址配置为IPv4地址）进行防护，当业务开启了IPv6时，WAF中配置的源站地址可以保持原IPv4地址，也可以修改为IPv6地址。 WAF支持IPv6/IPv4双栈模式和NAT64机制，详细说明如下： Web应用防火墙支持IPv6/IPv4双栈，针对同一域名可以同时提供IPv6和IPv4的流量防护。 针对仍然使用IPv4协议栈的Web业务，Web应用防火墙支持NAT64机制（NAT64是一种通过网络地址转换（NAT）形式促成IPv6与IPv4主机间通信的IPv6转换机制），即WAF可以将外部IPv6访问流量转化成对内的IPv4流量。

本章节为您介绍什么是WAF日志分析。 Web应用防火墙（原生版）日志分析服务是高效采集并存储云产品实例及域名的Web访问与攻击日志。 基于天翼云平台自有能力，提供查询分析、报表、实时告警及多系统对接，助您聚焦安全分析，简化运维。满足等保合规与数据安全要求。 适用对象 存在云端主机、网络设备及安全日志的归档与合规存储需求的大型企业与机构。 期望依托云端资产日志开展高级威胁分析，并构建告警的自动化响应流程的企业。 对云端业务安全事件需进行溯源分析，或需提供定期安全报告（周报/月报/年报），以及需满足三级及以上等保要求的用户。 部署有自主安全运营中心的企业（如大型地产集团、电商平台、金融机构及政府单位），需将其安全告警等日志进行集中化管理与运营。 功能优势 等保合规：存储网站六个月以上的访问日志，助力企业符合等保合规要求。 一站式托管：依托天翼云云日志服务产品，提供从采集、存储、加工、检索分析、投递的一站式日志服务，免人工运维。 配置灵活： 通过便捷设置，即可启用 Web 访问日志与安全攻击日志的采集功能。 支持自定义 WAF 日志的存储方案，并可指定待采集日志的保护对象（如云产品实例、域名）。 支持根据实际业务或安全需要，定制专属报表模板（修改预设模板或新建自定义模板），助力您实时掌握业务的安全态势。

本章节为您介绍什么是WAF日志服务。 Web应用防火墙（原生版）日志服务高效采集并存储云产品实例及域名的Web访问与攻击日志。 基于天翼云平台自有能力，提供查询分析、报表、实时告警及多系统对接，助您聚焦安全分析，简化运维。满足等保合规与数据安全要求。 适用对象 存在云端主机、网络设备及安全日志的归档与合规存储需求的大型企业与机构。 期望依托云端资产日志开展高级威胁分析，并构建告警的自动化响应流程的企业。 对云端业务安全事件需进行溯源分析，或需提供定期安全报告（周报/月报/年报），以及需满足三级及以上等保要求的用户。 部署有自主安全运营中心的企业（如大型地产集团、电商平台、金融机构及政府单位），需将其安全告警等日志进行集中化管理与运营。 功能优势 等保合规：存储网站六个月以上的访问日志，助力企业符合等保合规要求。 一站式托管：依托天翼云云日志服务产品，提供从采集、存储、加工、检索分析、投递的一站式日志服务，免人工运维。 配置灵活： 通过便捷设置，即可启用 Web 访问日志与安全攻击日志的采集功能。 支持自定义 WAF 日志的存储方案，并可指定待采集日志的保护对象（如云产品实例、域名）。 支持根据实际业务或安全需要，定制专属报表模板（修改预设模板或新建自定义模板），助力您实时掌握业务的安全态势。

本节介绍如何手动续订WAF云SaaS型实例。 购买WAF云SaaS型实例后，在实例到期被删除前，您可以随时在WAF控制台为实例续费。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“系统管理 > 查看产品信息”，选择“云SAAS型”页签。 5. 单击“续订”，进入续订页面。 6. 在“续订”操作界面，根据使用需要调整续订周期。 7. 续订周期设置完成后，在页面下方确认支付费用，阅读《天翼云Web应用防火墙（原生版）服务协议》，并勾选“我已阅读，理解并接受《天翼云Web应用防火墙（原生版）服务协议》“，单击“立即购买”。

安全专区高级版支持进行网站漏洞扫描，分析网站安全问题。 功能说明 安全专区高级版支持进行网站漏洞扫描，分析网站安全问题。包括网站根域名、子域名漏洞扫描及其资产的风险状态和告警数量统计信息。 应用列表 1.进入【资产管理】→【域名】，通过域名对WEB资产进行安全状态管理。 2.可选择点击【根域名】和【子域名】进行分组查询和管理。 应用管理 新建应用域名 点击左上角【新建】，进行应用域名创建，填写域名、资产IP地址及选择域名类型。提交确定即可。 编辑应用域名 在域名操作栏，点击编辑及删除按钮，可对应用域名进行编辑或删除。 WEB漏洞扫描 在域名操作栏，点击【扫描】按钮，可对应用域名进行WEB漏洞扫描。选定多个域名，点击【快速扫描】按钮可进行批量扫描。 扫描任务完毕后，系统会自动更新域名漏洞数据及扫描时间。 点击任务的日志信息，可查看相关任务详情，例如具体终端IP地址、任务发生时间等。

本文为您介绍Web应用防火墙（原生版）的产品优势。 WAF对网站业务流量进行多维度检测和防护，产品优势如下： 先进的检测技术 基于专家经验的三大引擎（安全模型检测引擎+智能语义检测引擎+机器学习检测引擎），结合设备指纹、无感验证码、动态人机挑战、动态环境验证、随机化混淆策略、AI驱动的实时决策等关键技术，支持多种常见编码自动还原能力，提供深度攻击防逃逸功能，构建完整的动态防御闭环，有效检测 SQL 注入、XSS 等基于形式语言的攻击类型，有效应对自动化工具、0day漏洞攻击等高风险威胁。打造专业的Web安全防护能力。 多样化环境的防护场景覆盖 基于“中心化管理，去中心化部署”的理念，支持云、管、端混合部署，支持对天翼云、异云、云下多样化环境全场景覆盖，满足用户“云边协同”的一体化防护要求。 灵活的可运营能力 具备事前自定义安全监测、事中安全动态防护封禁、事后上下文溯源分析全面面向攻防实战的产品能力。 高质量的规则集：持续优化的高质量攻击检测规则集，兼顾性能与效果且配置简单，对OWASP常见攻击类型进行了良好覆盖。 精细化的策略配置：支持自定义防护规则，基于会话特征灵活配置攻击识别、对抗策略，精准拦截，降低误报。

本文介绍了云防火墙（原生版）产品的最佳实践，从EIP防护带宽选择、开启资产保护、配置访问控制策略等方面提供指导。 如何选择合适的EIP防护带宽？ 云防火墙（原生版）C100型实例提供高级版和企业版供用户选择，不同版本支持的EIP防护带宽不一样，建议EIP防护带宽不小于VPC内EIP总带宽。 EIP防护带宽支持范围如下： 高级版：10Mbps~2000Mbps 企业版：50Mbps~2000Mbps 开启公网资产保护 互联网边界防火墙帮助您检测和防护云上公网IP资产间的通信流量。只有为资产开启互联网边界防火墙后，您才可以使用云防火墙分析和控制云上主机的互联网访问流量。 您可以在“防火墙开关 > 互联网边界防火墙开关”页面，对指定的公网IP资产开启互联网边界防火墙，如下图所示。 配置外到内的访问策略 在“访问控制 > 互联网边界规则 > 入向规则”页面可进行配置，如下图所示。 在入向规则的访问策略中，不要对公网IP全部端口开放访问，对外仅开放必要的互联网IP和端口，其他端口请全部设置为拒绝。 放行需要对外开放的应用或端口 在访问控制页面入向规则列表中，依据业务需求，将源IP地址配置为0.0.0.0/0或特定源，目的选择要放开的IP，协议选择ANY或者依据业务需要选择对应协议，动作选择放行。 例如，80端口为Web服务，对全网开放，因此访问源为0.0.0.0/0；1433、3389端口分别为SqlServer、RDP服务，对特定源开放，因此访问源为特定源。 将除放行策略之外的流量设置为拒绝放行 在访问控制页面入向规则列表中，将源IP地址配置为0.0.0.0/0或地址簿中系统默认配置的地址簿ANY（0.0.0.0/0），目的设置为ANY，协议设置为ANY，动作选择拒绝。

本文将介绍客户端不兼容SNI导致访问异常怎么办。 SNI（Server Name Indication）是为了解决一个服务器使用多个域名和证书的问题。而对SSL/TLS协议所作的一个扩展，它允许服务器在同一个IP地址和TCP端口下支持多个证书，从而允许多个HTTPS网站使用相同的源站IP和端口。在接入Web应用防火墙（边缘云版）后，如果您出现部分客户端HTTPS访问异常问题，可能是由于有些客户端版本不支持SNI导致的。当使用不支持SNI的浏览器或客户端访问接入Web应用防火墙（边缘云版）服务的网站时，Web应用防火墙（边缘云版）防护节点不知道客户端请求的是哪个域名，所以无法正确得获取域名对应得证书来跟客户端通讯交互，此时在浏览器上就会出现“服务器证书不可信”的提示。 实际场景中，一般是只有部分旧版的PC浏览器和Android客户端不支持SNI。如果客户端不支持SNI扩展，建议通过以下方式来解决： 建议升级客户端版本，或使用新版本的浏览器访问，比如使用Chrome、Firefox等新版本的浏览器访问。 第三方程序回调的业务场景，如果第三方程序客户端不支持SNI，可建议让其直接请求访问源站IP，绕过Web应用防火墙（边缘云版）。

WAF界面配置 登录Web应用防火墙 1. 登录云等保专区控制台。 2. 在左侧导航栏，选择“Web应用防火墙”，单击操作列的“配置”，即可单点登录至Web应用防火墙。 配置WAF网卡接口 1. 创建eth1 点击Web应用防火墙Web界面“系统管理网络配置工作组添加”。 2. 点击“系统管理网络配置工作组eth1编辑”。 3. 地址设置 将IP地址及掩码按照申请的网卡地址正确填写到IP地址所在位置。并设置工作口网关。 4. 配置WAF VRRP。 1. 点击“系统管理系统部署VRRP配置新建”进入VRRP配置。 勾选eth1网卡。 2. 新建完成后点击右边“操作VRRP实例管理”。 单击“添加”。 自定义填写分组号以及优先级后（数字越高，优先级越高），在虚拟IP地址位置点击“+”号，默认勾选启用，然后申请的虚拟IP地址填入地址栏，点击保存。 备机同此配置，将初始状态改为Backup状态后确认保存配置。 3. 在VRRP配置页面，查看状态。 主： 备： 注意 由于目前WAF策略同步还处于适配阶段，故两台WAF的策略需手动同步，或在“安全管理 > 站点防护”中配置的安全策略保持一致，且在进行反代策略配置时，接入接口选择eth1口，代理IP地址选择虚拟IP。

本文为您介绍开启IPv6访问功能的前提条件以及操作步骤。 功能介绍 支持网站IPv6访问功能，开启功能开关后，将为您提供IPv4/IPv6双栈服务。 Web应用防火墙（边缘云版）支持全站外链替换功能，能够有效提高网站链接的IPv6支持度。如果您需要解决IPv6天窗问题（提升二、三级链接IPv6支持度），请通过提交工单给天翼云客服，由其人工操作开启。 前提条件 已开通Web应用防火墙（边缘云版） 已新增域名并成功接入WAF，具体操作请见WAF接入 开通基础版及以上版本支持使用IPv6访问功能 操作步骤 1. 登录Web应用防火墙（边缘云版）控制台 2. 在左侧导航栏中选择【域名管理】—【域名列表】，选择您要开启IPv6访问的域名，开启IPv6开关

Apache Dubbo官方发布了CVE201917564漏洞通告，漏洞等级中危，Web应用防火墙提供了对该漏洞的防护。本章节介绍Apache Dubbo反序列化漏洞的最佳实践。 漏洞介绍 CVE201917564漏洞等级为中危。当用户选择HTTP协议进行通信时，攻击者可以通过发送POST请求的时候来执行一个反序列化的操作，由于没有任何安全校验，该漏洞可以造成反序列化执行任意代码。 影响的版本范围 漏洞影响的Apache Dubbo产品版本包括： 2.7.0～2.7.4、2.6.0～2.6.7、2.5.x的所有版本。 安全版本 Apache Dubbo 2.7.5版本。 解决方案 建议您将Apache Dubbo升级到2.7.5版本。 如果您无法快速升级版本，或者希望防护更多其他漏洞，可以使用天翼云Web应用防火墙对该漏洞进行防护，请参照以下步骤进行防护： 步骤 1 申请WAF独享引擎。 步骤 2 将网站域名添加到WAF中并完成域名接入，详细操作请参见网站接入WAF。 步骤 3 将Web基础防护的状态设置为“拦截”模式，详细操作请参见配置Web基础防护规则。

产品 日志类型 云堡垒机（原生版）企业版 云堡垒机（原生版）资产登录 云堡垒机（原生版）企业版 云堡垒机（原生版）资产登出 云堡垒机（原生版）企业版 云堡垒机（原生版）剪切板操作 云堡垒机（原生版）企业版 云堡垒机（原生版）字符命令 云堡垒机（原生版）企业版 云堡垒机（原生版）文件操作 云堡垒机（原生版）企业版 云堡垒机（原生版）键盘操作 云堡垒机（原生版）企业版 云堡垒机（原生版）平台登录 云堡垒机（原生版）企业版 云堡垒机（原生版）平台登出 云堡垒机（原生版）企业版 云堡垒机（原生版）平台操作 云堡垒机（原生版）企业版 云堡垒机（原生版）数据库操作 服务器安全卫士（原生版） 服务器安全卫士（原生版）漏洞信息 服务器安全卫士（原生版） 服务器安全卫士（原生版）弱口令 服务器安全卫士（原生版） 服务器安全卫士（原生版）告警日志 数据库审计 数据库审计告警日志 云等保专区v1.0 云等保专区数据库审计 云等保专区v1.0 云等保专区主机安全 云等保专区v1.0 云等保专区下一代防火墙 云等保专区v1.0 云等保专区堡垒机 云等保专区v1.0 云等保专区Web应用防火墙 Web应用防火墙（原生版） Web应用防火墙（原生版）告警日志 云防火墙（原生版） 云防火墙（原生版）威胁日志

Web应用防火墙的带宽扩展包是否有购买上限？ 当前Web应用防火墙最大支持购买扩展20个扩展包。 产品是否可以试用，试用周期为多长时间？ 云等保专区支持试用，如需申请试用，请联系客户经理下单。 主机安全如何确定购买个数？ 主机安全的购买个数依据需要防护的ECS数量确定，需要防护多少个ECS就购买多少个主机安全。 云等保专区产品是否支持跨资源池防护使用？ 不支持，云等保专区会在每个资源池进行加载，为保证用户业务数据安全，暂时不支持用户跨资源池使用，用户可在就近资源池进行云等保专区产品的购买。 云等保专区产品是否支持跨VPC防护？ 支持，但是需要通过对等连通打通两个VPC之间的网络连接。 Web应用防火墙购买数量是否具有限制？ 不限制购买数量，但是一个订单只能购买一个Web应用防火墙（扩展包最多20个），要购买多个，需下多个订单。 云等保专区是否对接云监控服务？ 已对接云监控服务。 说明 目前该能力为灰度上线，仅针对白名单用户开放。 若需使用该能力，请通过提工单的方式，申请加白并开通云监控服务。 支持的区域为：华东1、西南1、上海33、华南2。 支持云监控服务的原子能力为：Web应用防火墙v1.0，日志审计v1.0，堡垒机v1.0，数据库审计v1.0。

本小节介绍 Web应用防火墙自定义防护策略。 自定义防护策略配置入口 1. 登录Web应用防火墙控制台。 2. 在左侧导航栏，选择“WAF防护配置”，进入WAF防护配置页面。 3. 在WAF防护配置列表中，单击防护域名操作列的“自定义防护配置”，进入自定义防护配置页面。 1.基础防护配置 通过此界面可以将WAF当前防护模式进行调整，可以由阻断模式调整到观察模式。 可通过设置当前网站的应用系统与编程语言等业务信息，制定更加符合业务场景的Web入侵防护规则集。 2.一键关站 一键关站支持快速关闭外部流量对源站的访问，并自定义网站响应内容。 3.AI智能学习模式 AI学习引擎通过自动学习网站的流量特征与访问模式，同时对业务数据进行分类训练，提高对已知与未知Web安全威胁的防护效果。 4.CC防护策略 CC攻击防护支持根据用户访问特定路径的行为进行人机识别、访问频率与封禁时间的自定义配置。

本文通过图文介绍进入客户控制台的步骤。 操作步骤说明 1、打开天翼云官网，注册并登录。 2、右上角单击【控制中心】。 3、在【安全】下拉选择【Web应用防火墙（边缘云版）】，单击进入Web应用防火墙（边缘云版）控制台。

本文向您介绍如何查看平台操作日志。 简介 天翼云边缘云WAF提供操作日志，用于您查看控制台的操作记录，支持查询、导出、删除操作记录。 前提条件 已开通Web应用防火墙（边缘云版） 操作指导 1. 登录Web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【操作日志】页面 2. 用户可以通过时间和操作人筛选

本小节介绍Web应用防火墙网站基础防护最佳实践。 基础防护配置是基于中国电信多年Web安全防护经验的策略与规则集，全面覆盖OWASP TOP10攻击防护，包括SQL注入、XSS，应用漏洞攻击等常见的Web攻击。 您可以根据网站的实际情况对基础防护规则进行调整，包括但不限于开关网站的安全防护、调整防护模式为阻断或预警、调整防护等级、调整应用对象相关的安全策略、调整基于攻击类型的攻击特征的防护状态和防护模式。 Web应用防火墙为您提供724的技术支持服务，在基础防护配置调整的过程中产生任何问题或疑问都可以通过客户响应快速获得技术支撑。 防护模式： 为了更好的适配您的业务，基础防护模式分为阻断状态和预警，接入防护后默认为阻断状态 ，您可以在平台通过各项规则管理进行系统化定制。 阻断会直接拦截被判定为非法请求的相关数据包。 预警仅会记录非法请求，但是不会进行阻断。 配置建议： 如果用户对网站的相关配置或相关安全配置不尽了解，则推荐采用默认的中等防护等级和阻断模式。 如果用户对安全性需求较高则推荐采用高级防护等级，在采用高级防护等级时，推荐您先使用预警模式观察数周安全规则对网站产生的影响，并根据观察结果对安全规则进行微调，以免严格的安全策略导致产生大量误拦截对网站业务造成影响。