本节介绍如何查看证书信息。您可以查看证书的名称、绑定的域名和到期时间等详细信息。 前提条件 在WAF上创建了证书。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择区域。 步骤 3 单击页面左上方的，选择“安全> Web应用防火墙（独享版）”。 步骤 4 在左侧导航树中，选择“对象管理> 证书管理”，进入“证书管理”页面。 步骤 5 查看证书信息，相关参数说明如表所示。 参数名称 参数说明 名称 证书名称。 证书类型 仅支持“国际证书”。 到期时间 证书到期时间。 证书过期后，对源站的影响是覆灭性的，比主机崩溃和网站无法访问的影响还要大，且会造成WAF的防护规则不生效，建议您在证书到期前及时更新证书。 应用域名 已使用该证书的域名。域名与证书是一一对应的，同一个证书可以绑定到多个域名。 相关操作 当鼠标移到目标证书的名称后时，单击编辑按钮，您可以修改证书的名称。 说明 如果证书正在使用中，请先解除域名和证书的绑定关系，否则无法修改证书名称。 在目标证书所在行的“操作”列中，单击“查看”，您可以查看证书的证书文件和证书私钥信息。 在目标证书所在行的“操作”列中，单击“删除”，您可以删除该证书。

Web应用防火墙包月/包年计费产品，本小节介绍Web应用防火墙价格以及订购。 产品价格 包月标准价格如下： 基础套餐包月（元/月） 域名扩展包（元/月） 带宽扩展包（元/月） 3488 540 900 针对一次性包年付费服务，标准价格按照下述列表内容进行操作，且在订购期间不允许退订。 一次性付费1年 一次性付费2年 一次性付费3年 包月标准价格×12×85% 包月标准价格×24×70% 包月标准价格×36×50% 规格说明 资源 规格 说明 基础套餐 默认包含1个域名包，支持10个子域名防护（限制仅支持1个一级域名） 默认包含200Mbps带宽 最大连接并发数10000QPS 最低带宽200Mbps 端口数一般10个以内 域名扩展包 每增加1个域名包规格，支持10个子域名防护（限制仅支持1个一级域名）。 带宽扩展包 每单位规格50Mbps。 最大支持1000Mbps。

该章节指导您创建引用表，即可对路径、User Agent、IP、Params、Cookie、Referer、Header这些单一类型的防护指标进行批量配置，引用表能够被CC攻击防护规则和精准访问防护中的规则所引用。 前提条件 已添加防护网站。 应用场景 CC攻击防护规则、精准访问防护规则批量配置防护字段时，可以使用引用表。 操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域或项目。 步骤3 单击页面左上方的，选择“安全 > Web应用防火墙（独享版）”。 步骤4 在左侧导航树中，选择“防护策略”，进入“防护策略”页面。 步骤5 点击策略名称，进入防护配置页面，在“CC攻击防护”或者“精准访问防护”配置框中，单击“自定义CC攻击防护规则”或者“自定义精准访问防护规则”，进入规则配置页面。 步骤6 在列表左上角，单击“引用表管理”。 步骤7 在“引用表管理”界面，单击“添加引用表”。 步骤8 在弹出的“添加引用表”对话框中，添加引用表。 添加引用表参数说明： 参数名称 参数说明 取值样例 ::: 名称 用户自定义引用表的名字。 waf 类型 路径：设置的防护路径，不包含域名。 User Agent：设置为需要防护的扫描器的用户代理。 IP：设置为需要防护的访问者IP地址。 Params：设置为需要防护的请求参数。 Cookie：根据Cookie区分的Web访问者。 Referer：设置为需要防护的自定义请求访问的来源。 Header：设置为需要防护的自定义HTTP首部。 路径 值 对应“类型”的取值，该值不支持通配符。可单击“添加”设置多个值。 /buy/phone/ 步骤9 单击“确认添加”，添加的引用表展示在引用表列表。

本文介绍Web应用防火墙（边缘云版）到期和欠费如何处理。 到期 Web应用防火墙（边缘云版）为包年包月的销售品，在资源到期前7天、3天、1天会以邮件的方式通知客户资源即将到期；在到期当天会以邮件、站内信和短信的方式通知客户。资源已经到期且如果客户没有续订资源，会在到期日对资源进行冻结；资源冻结后在超期1天、3天、7天邮件短信站内信提醒；资源冻结15天后，会释放资源。在资源冻结期间，如客户需继续使用，则可联系客户经理执行续订操作或自行在“控制中心费用中心”进行续订，如果冻结超期15天，资源会释放。 产品/服务冻结时：资源将被限制访问和使用，会导致您的业务中断。 产品/服务解冻时：资源将被解除限制，但是需要您自行去自助控制台检查并恢复业务。 产品/服务释放时：资源将被释放，存储在资源中的数据将被删除，数据无法找回。 欠费 在天翼云账户中没有费用并欠款的情况下，天翼云会以短信的方式通知客户充值；如果客户在48小时内未付清所欠金额，并将关停客户的Web应用防火墙（边缘云版）服务。

本文通过图文说明证书删除的操作步骤。 功能介绍 当证书过期或者不再使用时，可通过Web应用防火墙（边缘云版）控制台删除证书。 注意事项 证书删除的前提是未绑定域名，因此在删除证书前，需要先解除证书与域名的绑定关系。 操作步骤 1、登录Web应用防火墙（边缘云版）控制台。 2、在【证书管理】页面，选定目标证书，在操作列单击【删除】。 3、控制台会弹窗（如下图），客户进行二次确认后，单击【确定】即可删除。

本文介绍了Web应用防火墙（边缘云版）控制台如何删除域名。 使用场景 如果您需在平台中删除某个域名的配置，您可以在控制台进行删除操作。删除按钮只能在域名状态为“已停止”时可见。 前提条件 域名状态为“已停止”。 使用说明 1.登录Web应用防火墙（边缘云版）控制台。 2.进入域名管理域名列表页面。 3.选择需要删除的域名，在操作栏点击【删除】按钮后，会进行弹窗提示，确定后域名列表无法查询该域名，配置也无法进行恢复。

本节介绍如何开启防护事件告警通知。 通过对攻击日志设置告警通知，WAF可将仅记录和拦截的攻击日志按用户设置的接收通知渠道（邮件或短信）发送给用户。 使用限制 独享版防护对象暂不支持告警通知功能。 开启告警通知 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护事件 > 告警通知”，进入告警通知页面。 5. 单击“新增通知策略”，弹出新建通知策略窗口。 6. 配置告警通知参数。 参数 说明 策略名称 用户可以自定义策略的名称。 通知状态 配置告警通知的状态，默认为关闭。根据需要进行开启。 通知群组 在下拉列表选择需要接收告警通知的群组。 若已有群组无法满足需求，单击“创建群组”创建新的群组，需要为群组中的联系人配置姓名、手机、邮箱等信息。 通知渠道 支持邮件、短信。 事件类型 设置告警的事件类型，系统默认选择“全部”，用户也可以选择“自定义”，勾选需要告警的事件类型。 告警频率阈值 在设置的时间间隔内，当攻击次数大于或等于您设置的阈值时，才会发送告警通知。 7. 配置完成后，单击“确认”，告警通知策略设置成功。

本小节介绍Web应用防火墙自定义防护规则最佳实践。 网站接入云WAF防护后，您可以为其开启自定义防护策略功能，据HTTP请求头与请求内容匹配字段设置过滤条件并组合进行访问控制。 通过自定义防护规则，您可以通过对网站专有字段的识别，高精度地鉴别业务流量和攻击流量，进行精准防护。您也可以在发现0day漏洞或发生重点安全事件时依据攻击流量特征进行精准拦截，保护您的网站安全。 前提条件 已添加了防护域名并已完成了域名接入。 WAF防护已开启。 操作步骤 1. 登录Web应用防火墙控制台。 2. 在左侧导航栏，选择“WAF防护配置”。 3. 在WAF防护配置列表的操作列，单击“自定义防护配置”。 4. 在自定义防护配置界面，选择“自定义防护配置”页签。 5. 单击“新增规则”，进入新增自定义防护配置页面。

云服务名称 作用范围 系统策略名称 系统策略描述 云监控 全局 cm admin 云监控服务管理员权限 云监控 全局 cm viewer 云监控服务观察者权限 服务器安全卫士（原生版） 全局 ctcsscn viewer 服务器安全卫士(viewer)权限 服务器安全卫士（原生版） 全局 ctcsscn admin 服务器安全卫士(admin)权限 Web应用防火墙（原生版） 全局 ctwaf admin ctwaf admin策略 Web应用防火墙（原生版） 全局 ctwaf viewer ctwaf viewer策略 云审计 全局 cloudauditauditor 云审计审计员 云审计 全局 cloudauditviewer 云审计普通用户策略 云审计 全局 cloudauditadmin 云审计管理员 密钥管理 全局 kms admin kms admin 密钥管理 全局 kms viewer kms viewer

本文介绍同时使用了全站加速和Web应用防火墙（边缘云版），如何计费；以及同时使用了全站加速和媒体存储【即对象存储（融合版）】，如何计费。 天翼云全站加速和天翼云其他产品搭配使用时，产生的流量各自分别计费，不支持互相抵扣，也不会重复计费，每个产品的计费和扣款规则详见各产品的计费说明。 以下举两个常见的产品搭配案例。 客户同时购买了全站加速按量计费和Web应用防火墙（边缘云版）。业务数据流向：客户端全站加速Web应用防火墙源站。 全站响应给客户端资源，从全站流出的带宽，由全站加速收取带宽费用，全站加速的相关计费项说明，详情请见：全站加速计费。 用户访问回源的动态请求均需要防护，因此这部分动态请求产生的回源带宽由Web应用防火墙（边缘云版）收取费用，详情请见：计费概述。 客户同时购买了全站加速按量计费和媒体存储【即对象存储（融合版）】。假设全站节点上无可用的缓存资源，需要从媒体存储【即对象存储（融合版）】上获取资源，则总计会产生两段流量费用： 全站从媒体存储【即对象存储（融合版）】获取资源，数据从媒体存储【即对象存储（融合版）】传输到天翼云全站所产生的回源流量，由媒体存储【即对象存储（融合版）】收取流量费用，全站加速不收费。媒体存储【即对象存储（融合版）】的相关计费项说明，详情请见：计费项。 全站响应给客户端资源，从全站流出的流量，由全站加速收取流量费用，媒体存储【即对象存储（融合版）】不收费。全站加速的相关计费项说明，详情请见：全站加速计费。 注意 天翼云的媒体存储【即对象存储（融合版）】仅支持中国内地区域使用，全站加速可从任何区域回源到中国内地区域的媒体存储【即对象存储（融合版）】源站，且回源产生费用。

功能 说明 开启HTTPS协议主要涉及两个步骤：一是打开“Https开关”，二是Https证书上传。第二步客户可参考新增证书的指引完成证书上传。 客户完成证书新增后，可通过Web应用防火墙（边缘云版）控制台界面查看已添加的证书及其详细信息，包括：证书备注名、证书通用名称、证书品牌、颁发时间、到期时间、创建时间等。 当证书过期或者不再使用时，可通过Web应用防火墙（边缘云版）控制台删除证书。

本章节介绍开源组件Fastjson远程代码执行漏洞的最佳实践。 漏洞介绍 开源组件Fastjson存在远程代码执行漏洞，此漏洞为2017年Fastjson 1.2.24版本反序列化漏洞的延伸利用，可直接获取服务器权限，危害严重。 影响的版本范围 漏洞影响的产品版本包括：Fastjson 1.2.51以下的版本，不包括Fastjson 1.2.51版本。 安全版本 Fastjson 1.2.51版本及以上的版本。 官方解决方案 建议用户将开源组件Fastjson升级到1.2.51版本或者最新的1.2.58版本。 防护建议 Web应用防火墙内置的防护规则支持对该漏洞的防护，参照以下步骤进行防护： 步骤 1 申请WAF独享引擎。 步骤 2 将网站域名添加到WAF中并完成域名接入，详细操作请参见网站接入域名。 步骤 3 将Web基础防护的状态设置为“拦截”模式，详细操作请参见配置Web基础防护规则。

本文将介绍如何通过IP黑名单功能拦截来自指定IP、指定IP段与指定地域的IP地址请求。 功能介绍 通过访问控制功能，能够帮助您拦截来自指定IP、指定IP段与指定地域的IP地址请求。 前提条件 已开通Web应用防火墙（边缘云版） 已新增域名并成功接入WAF，具体操作请见WAF接入 开通基础版级以上版本支持配置IP、IP段、区域等粒度的访问控制功能（体验版支持配置IP粒度的访问控制） 操作步骤 1. 登录Web应用防火墙（边缘云版）控制台 2. 登录web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【域名管理】—【域名列表】，单击域名列表操作【安全防护】 3. 进入【访问控制】页面 配置说明 配置项 说明 开关 访问控制策略的开关，支持开启或关闭 处理动作 支持配置处理动作为告警、加白、攻击标记、拦截、丢弃 告警：请求命中访问控制策略后，不对其拦截，仅记录攻击日志 加白：请求命中访问控制策略后，将对其进行加白，请求不经过任意Web安全防护策略 攻击标记：加白对应范围，但是如果请求触发规则，会记录在攻击日志 拦截：请求命中访问控制策略后，将对其进行拦截并记录攻击日志 丢弃：拦截后不会响应页面，会减少带宽 规则名称 访问控制策略的规则名称 防护范围 支持配置多个防护粒度，多个防护粒度为且关系，满足所有条件时，才触发处理动作 粒度选择：支持选择IP、IPS、地理位置、URI、PATH等十几种粒度，不同套餐版本支持选择不同的粒度，具体可见 套餐和版本说明 关系：包含/不包含 匹配内容：不同的粒度支持输入不同的匹配内容。一般支持输入多条，多条内容用英文符号;分隔

CSRF防护的方式 1、验证码 CSRF攻击的过程，往往是在用户不知情的情况下构造了网络请求，验证码则强制用户必须与应用进行交互才能完成最终请求。但基于使用体验，网站不会给所有的操作都加上验证码。 2、验证HTTP Referrer字段 根据 HTTP 协议，HTTP 头部中Referrer字段记录了该 HTTP 请求的来源地址。 比如一个论坛发帖的操作，在正常境况下需要先访问有发帖功能的页面，在提交发帖的表单时，Referrer值必然是发帖表单所在的页面。如果Referrer的值不是这个页面，甚至不是发帖网站的域，则极有可能是CSRF攻击。 3、请求中添加token并验证 在请求中放入黑客所不能伪造的信息，并且该信息不存在于Cookie 之中。可以在HTTP 请求中以参数的形式加入一个随机产生的token，并在服务器端建立一个拦截器来验证这个token，如果请求中没有token 或者token 内容不正确，则认为可能是CSRF 攻击而拒绝该请求。 前提条件 已开通Web应用防火墙（边缘云版） 已新增域名并成功接入WAF，具体操作请见WAF接入 开通体验版及以上版本支持使用CSRF防护功能 操作步骤 1. 登录Web应用防火墙（边缘云版）控制台 2. 登录web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【域名管理】—【域名列表】，单击域名列表操作【安全防护】进入高级防护页面； 3. 进入“CSRF防护”页面，可以配置CSRF防护策略；

您可以通过修改或删除IP地址，管理IP地址组信息。本节介绍如何修改或删除黑白名单IP地址组。 前提条件 已成功创建地址组。 约束条件 修改IP地址组时，请确保IP地址组中的IP/IP地址段未添加到其他IP地址组，重复添加同一IP/IP地址段会导致添加IP地址组失败。 如果地址组已被黑白名单规则引用，删除地址组前需要解除该地址组与黑白名单规则的绑定关系。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择区域或项目。 步骤 3 单击页面左上方的，选择“安全> Web应用防火墙（独享版）”。 步骤 4 在左侧导航树中，选择“对象管理> 地址组管理”，进入“地址组管理”页面。 步骤 5 在地址组列表中，查看地址组信息。 参数名称 参数说明 地址组名称 用户自定义的地址组名称。 IP/IP段 地址组添加的IP地址/IP地址段。 应用规则 引用地址组的防护规则。 备注 地址组补充信息。 步骤 6 修改或删除IP地址组。 修改地址组：在目标地址组所在行的“操作”列中，单击“修改”，在弹出的“修改地址组”对话框中，修改地址组名称或IP地址/IP地址段后，单击“确认”。 删除地址组：在目标地址组所在行的“操作”列中，单击“删除”，在弹出的提示框中，单击“确认”。

本小节介绍Web应用防火墙接入前须知。 防护回源IP放行 业务接入WAF防护平台清洗后，所有请求的客户端源地址都会变为WAF回源IP段，客户源站侧的安全设备或安全软件（如：IPS、网络防火墙、流量管理系统、本地 WAF 应用防火墙、网站安全狗与云锁等）可能被认为是攻击行为而被封禁，造成WAF清洗后的请求无法得到源站正常响应，因此客户侧需要将所开通防护中心的回源IP段添加到源站侧的访问控制策略与安全软件白名单中，避免由WAF转发回源站的业务流量被判断为异常攻击造成误封禁，影响网站正常访问。 回源IP段： 内蒙数据中心：36.111.137.0/24 与 203.57.157.0/24 北京数据中心：203.34.106.0/24 上海数据中 心：101.226.7.0/24 广州数据中心：203.32.204.0/24 域名解析 配置成功后，防护配置的状态变为“防护中” ，之后客户可以进行域名解析： 如域名“www.ctyun.com”，需要客户联系DNS服务商将域名解析指向CNAME：www.ctyun.com.iname.damddos.com。 即“源域名+.iname.damddos.com”。 DNS牵引指向CNAME后，Web应用防火墙防护正式完成配置。 设置源站保护 出于安全性考虑，建议您在业务流量成功接入WAF防护后，禁止通过IP直接访问业务，同时设置源站侧的访问控制策略，只允许WAF回源IP段和其他可信任地址之内的IP访问业务，避免攻击者获取您的源站IP后绕过WAF直接攻击源站。

本节介绍WAF的使用说明等问题。 接入WAF后为什么漏洞扫描工具扫描出未开通的非标准端口？ 问题现象：域名接入WAF通过第三方漏洞扫描工具扫描后，扫描结果显示了域名的标准端口（例如443）和非标准端口（例如8000、8443等）。 可能原因：由于WAF的非标准端口引擎是所有用户间共享的，即通过第三方漏洞扫描工具可以检测到所有已在WAF中使用的非标准端口。域名的端口检测，应以源站IP开通的端口为准，即引擎的端口检测并不影响源站的使用安全，且WAF保证客户解析CNAME返回的引擎IP的安全性。 处理建议：无需处理。 使用Web应用防火墙对邮件收发和邮件端口有影响吗？ WAF是对Web应用网页进行防护，当您的网站接入WAF后，对邮件收发和邮件端口不会产生影响。 Web应用防火墙如何拦截请求内容？ WAF对请求的首部和body体都会进行检测。例如body的表单、xml、json等数据都会被WAF检测，WAF通过检测对不符合防护规则的请求内容进行拦截。 什么是并发数？ 并发数指系统能够同时处理请求的数目。对于网站而言，并发数即网站并发用户数，指同时提交请求的用户数目。 如果证书挂载在ELB上，WAF可以根据请求内容进行拦截吗？ 如果证书挂载在ELB上，通过WAF的请求都是加密的。对于HTTPS的业务，您必须将证书上传到WAF上，WAF才能根据解密之后的请求判断是否进行拦截。

本小节介绍Web应用防火墙攻击日志查询。 攻击日志展示被防护域名的所有攻击事件。 客户域名防护日志默认存储周期为180天。 查询攻击日志 1. 登录Web应用防火墙控制中心。 2. 在左侧导航栏选择“WAF攻击日志”，进入“攻击日志”页面。 访问日志分析：可提供详细的访问日志分析，包括用户来源，访问 URL、告警级别、 客户端 IP、访问者地域分布、请求时间、访问量统计等不同内容。 域名：告警域名 请求方法：http get/http post 访问URL 告警级别 客户端IP 地区 请求时间 处理方式 全量日志查询：针对输入的内容进行筛选，包括告警级别、匹配规则、处理方式、请求时间段等内容。 误报处理 查看日志详细信息，可及对日志中的误报进行处理（误报处理效果不理想可联系运维协助调整策略）。

本小节介绍Web应用防火墙黑白名单最佳实践。 当您需要拉黑部分恶意攻击者或者用户访问，或者希望指定用户、页面的访问不被拦截，您可以在此做黑白名单配置。 除常见的IP和URL的黑白名单外，您可以通过UserAgent的黑白名单对访问的客户端进行限制，可以实现简单的爬虫过滤；您也可以通过Referer字段对用户访问来源做一定的限制，实现对关键业务页面的定制化防护。 前提条件 已添加了防护域名并已完成了域名接入。 WAF防护已开启。 操作步骤 1. 登录Web应用防火墙控制台。 2. 在左侧导航栏，选择“WAF防护配置”。 3. 在WAF防护配置列表的操作列，单击“自定义防护配置”。 4. 在自定义防护配置界面，选择“黑白名单”页签。 黑白名单支持IP、Referer、URL、UserAgent四种类型。 您可以添加IP（如127.0.0.1）、IP段（如127.0.0.0/24）、uri路径（如/index?abc页面，仅需添加/index字符段）和其他规则匹配下的字符文本。

本节介绍如何配置全局精准访问控制规则。 防护对象接入Web应用防火墙后，您可以选择开启全局精准访问控制功能，并配置精准访问控制规则。 全局精准访问控制支持对全局域名或单个域名生效。 全局精准访问控制允许自定义访问控制规则，通过对请求路径、请求URI、Cookie、请求参数、Header、referer、UserAgent等多个特征进行条件组合，对访问请求进行特征匹配实现管控，有针对性地阻断各类攻击行为。 前提条件 已购买WAF云SaaS型实例，且实例版本为标准版及以上版本。 网站已通过“域名接入”方式接入WAF进行防护。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 全局防护配置”，进入全局防护配置页面。 5. 定位到“精准访问控制”模块，可以选择开启/关闭防护。 6. 点击防护规则右侧的“前去配置”，进入全局精准访问控制页面。 7. 单击“新建防护规则”，配置全局精准访问控制规则。 参数说明如下： 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 企业项目 选择需要配置全局精准访问控制规则对象所在的企业项目。 接入对象 设置精准访问控制规则的作用对象，支持选择“全部防护对象”或选择“特定防护对象”。 说明 全局精准访问控制不支持独享版和监听器防护对象。 匹配条件 设置访问请求需要匹配的条件（即特征）。单击“新增条件”可以设置最多30个条件。存在多个条件时，多个条件必须同时满足才算命中。 关于匹配条件的配置描述，请参见匹配条件字段说明。 处置动作 定义触发规则后执行的动作，可选值： 观察 拦截 放行 验证码 JS验证 重定向 过期时间 规则配置后，规则状态开启即生效。可通过设置过期时间，为该规则定义生效时间段。过期时间可选： 永久生效 限定日期：自定义设置失效日期 优先级 代表该规则在精准访问控制模块中执行的优先级。 可输入1～100的整数，数字越大，代表这条规则的优先级越高。相同的优先级下，创建/更新时间越晚，优先级越高。 8. 单击“保存”，规则创建成功，成功后规则默认启用。您可以在规则列表中查看该规则。

操作步骤 1. 登录Web应用防火墙（边缘云版）控制台 2. 在左侧导航栏中选择【域名管理】—【域名列表】，选择您要防护的域名，单击操作列【安全防护】 3. 进入【高级防护】页面 — 【广告防护】模块 配置说明 配置项 说明 开关 设置广告防护策略开启或者关闭 高级js动态检测开关 关闭。只检测页面已有广告内容（静态嵌入广告检测） 开启。将检测页面通过js动态添加元素内容，判断动态添加元素是否在白名单内，不再白名单则移除对应元素 处理动作 触发广告防护的处理动作，可选择告警或者清除 防护范围 设置要配置广告防护的URI； （1）URI：设置防护要包含/不包含的URI，例如：/home.jsp支持填写多个URI，用英文分隔符分隔； （2）PATH：设置防护要包含/不包含的路径，例如：/匹配请求URI前缀，/表示全站，用英文分隔符分隔； （3）多个粒度为且的逻辑；多个条件为或的关系； 白名单 外链白名单，当资源请求的链接来自设置的白名单时，不会进行广告处理，允许正常显示广告、图片

当WAF与访问者之间并无代理设备时，通过源IP来检测攻击行为较为精确，建议直接使用IP限速的方式进行访问频率限制。 攻击案例 竞争对手控制数台主机，持续向网站“www.example.com”发起HTTP Post请求，网站并无较大的负载能力，网站连接数、带宽等资源均被该攻击者大量占用，正常用户无法访问网站，最终竞争力急剧下降。 防护措施 步骤1 根据服务访问请求统计，判断网站是否有大量单IP请求发生，如果有则说明网站很有可能遭受了CC攻击。 步骤2 登录管理控制台，将您的网站成功接入Web应用防火墙。关于域名接入的具体操作请参见网站接入WAF。 步骤3 在目标域名所在行的“防护策略”栏中，单击“已开启N项防护”，进入“防护策略”页面，确认“CC攻击防护”的“状态”为“开启”。 步骤4 开启WAF的“CC攻击防护”后，添加CC防护规则，配置对指定路径下的请求进行基于IP限速的检测，针对业务特性，设置限速频率，并配置人机验证，防止误拦截正常用户，针对网站所有URL进行防护。 限速模式：选择“源限速”、“IP限速”，根据IP区分单个Web访问者。 限速频率：单个Web访问者在限速周期内可以正常访问的次数，如果超过该访问次数，Web应用防火墙服务将暂停该Web访问者的访问。 防护动作：防止误拦截正常用户，选择“人机验证”。 人机验证：表示在指定时间内访问超过次数限制后弹出验证码，进行人机验证，完成验证后，请求将不受访问限制。 阻断：表示在指定时间内访问超过次数限制将直接阻断。 仅记录：表示在指定时间内访问超过次数限制将只记录不阻断。 当用户访问超过限制后需要输入验证码才能继续访问。进入防护事件页面，可以查看攻击事件详情。

本节介绍了专属云（存储独享型）的应用场景。 适用于高性能、高可靠应用场景，例如企业应用、大型开发测试环境、部署分布式文件系统和数据库应用等。专属云（存储独享型）可支持的三种应用场景如下： 有高性能、数据安全和业务稳定需求的场景 可对接专属云中的弹性云主机、物理机等计算服务，适用于有高性能、稳定性以及数据安全和监管的业务诉求的场景。 产品优势： 1、高性能—搭配计算专属云，满足用户高性能需求 2、安全可靠—实现存储物理隔离，保证数据安全和业务稳定 3、高带宽—独享存储带宽，满足高性能场景带宽需求 有混合负载需求的场景 专属云（存储独享型）服务支持多并发、高带宽应用场景，可同时支持数据库、Email、OA办公、Web等多个应用混合部署。 产品优势： 1、高性能—专属存储为用户提供高IOPS，满足混合负载场景的应用需求 2、高带宽—独享存储带宽，满足高带宽需求 3、灵活扩展—支持存储资源灵活扩展，满足业务增长需求 OLAP应用场景 数据分析型应用场景，专属云支持集群应用部署，如RAC、DB2 、SAP HANA等。

WAF原生版是否支持HTTPS双向认证？ HTTPS双向认证是相较于HTTPS单向认证而言的，HTTPS单向认证是指客户端在请求服务器数据时，需要验证服务器的身份。而双向认证是在此基础上，服务器端验证客户端的身份，从而实现双向认证。 双向认证主要应用场景是部分重要业务需要验证客户端身份时，需要使用双向验证。而使用WAF防护的业务，一般为对公众提供的Web服务，其原始业务不会有双向验证的要求，故当前WAF原生版不支持HTTPS双向认证。 WAF原生版是否支持WebSocket协议？ WebSocket是HTML5引入的一项技术，用于在Web应用程序中实现实时双向通信。与传统的HTTP请求响应模型不同，WebSocket允许服务器主动向客户端推送数据，而不需要客户端发起请求。WebSocket连接保持打开状态，允许客户端和服务器之间进行双向通信，这为实时应用程序提供了更高效和实时的通信方式。当前WAF支持WebSocket进行用户业务的转发，实现WebSocket通信。 若一个IP同时配置了白名单和黑名单，优先级是什么？ IP白名单的优先级高于黑名单，若同时配置了白名单和黑名单，则优先以白名单为准，详情请参见IP黑白名单。 WAF支持设置单条防护规则的防护状态吗？ 支持。 WAF原生版提供具体防护规则的防护开关。您可以根据业务需要选择开启或关闭规则的防护。 WAF支持针对地理位置配置禁止访问策略吗？ 支持。 地域访问控制支持针对地理位置的黑名单封禁，可指定需要封禁的国家、地区，阻断该区域的来源IP的访问。通过地域访问控制模块，可以满足针对地理位置的黑名单封禁。支持封禁的地域请参见地域访问控制。 注意 WAF云SaaS模式的基础版不支持地域访问控制功能，请升级到更高版本使用。

本小节介绍Web应用防火墙功能特性。 网络层防护 HTTP/HTTPS Flood（CC 攻击）防护 应用层防护 黑白名单 对指定访问源加白名单，对恶意访问来源进行封禁。 支持 IP、URL、UserAgent（用户代理）、Referer（Http 访问来源）。 HTTP协议规范攻击防护 包括特殊字符过滤、请求方式、内容传输方式。 例如：multipart/formdata，text/xml，application/xwwwformurlencoded。 注入攻击（form和URL参数，post和get）防护 包括SQL注入防御、LDAP注入防御、命令注入防护（OS命令，Webshell等）、XPath注入、Xml/Json注入。 XSS攻击访问 Form和URL参数，post和get，包括三类攻击：存储式，反射式、基于Dom的XSS。 目录遍历（Path Traversal）攻击防护 认证管理和会话劫持攻击防护 阻断认证管理、cookie信息被盗用、会话劫持攻击。 内容过滤 过滤post form和get参数。 Web服务器漏洞探测攻击防护 阻断Web服务器漏洞探测。 爬虫防护 限制阻断爬虫访问。 站点转换（URL rewrite）访问防护 限制阻断站点转换访问。 网页检测到异常自动阻断源地址 认证管理和会话劫持 防护 CSRF

本文介绍在源站IP暴露的情况下，如何设置保护源站。 为什么需要设置回源白名单 通过CNAME接入方式将域名接入Web应用防火墙（边缘云版）（简称WAF）防护后，为了防止攻击者获取您的源站IP并绕过WAF直接攻击源站，您可以设置源站服务器的访问控制策略，只放行WAF回源IP段的入方向流量。 前提条件 已开通Web应用防火墙（边缘云版）。 已经完成域名接入。 如何获取回源白名单 如果您需要回源白名单，请提交工单联系天翼云技术支持，天翼云技术支持将会讲边缘云节点中回源IP/IP段发送到您的邮箱。

Web安全 相关Web应用层面的安全问题与事件,包括各种Web组件、协议、应用等。 正则防护 经验规则集，自动为网站防御SQL注入、XSS跨站、Webshell上传、命令注入、后门隔离、非法文件请求、路径穿越、常见应用漏洞攻击等通用的Web攻击。 网站白名单 通过设置网站白名单，可以让满足条件的请求不经过任何Web应用防火墙防护模块的检测，直接访问源站服务器。 IP黑名单 支持一键阻断来自指定IP地址、IP地址段以及指定地理区域的IP地址的访问请求。 0day漏洞 0day是指在系统商在知晓并发布相关补丁前就被掌握或者公开的漏洞信息。 CC安全防护 根据访问者的URL，频率、行为等访问特征，智能识别CC攻击，迅速识别CC攻击并进行拦截，在大规模CC攻击时可以避免源站资源耗尽，保证企业网站的正常访问。 防敏感信息泄露 帮助网站过滤服务器返回内容（异常页面或关键字）中的敏感信息（例如身份证号、银行卡号、电话号码和敏感词汇），脱敏展示敏感信息或返回默认异常响应页面。 网络爬虫 又称为网页蜘蛛，网络机器人，是一种按照一定的规则，自动地抓取万维网信息的程序或者脚本。 挖矿 借助大量计算能力来计算产生虚拟货币。

如果您需要防护的域名数超过了套餐默认支持数量，可通过购买域名扩展包进行补充。1个域名扩展包1个主域名及该主域名下的9个子域名防护 glmoscodeexplain glmoscodeexplain 怎么判断需要订购的域名扩展包个数？ 例如：套餐版本默认支持1主域名和该主域名下的9个子域名数量（支持泛域名）。您可以接入1个主域名（ctyun.cn）以及该主域名下的9个子域名（www.ctyun.cn、.ctyun.cn、.ctyun.cn、www.等）。如果您还需要接入新的主域名，这时您需要购买1个域名扩展包来补充。 怎么查看您当前的域名数量？ 您可以登陆天翼云官网，在首页右上角点击【控制中心】在控制中心页面点击安全点击【Web应用防火墙（边缘云版）】跳转至Web应用防火墙（边缘云版）用户控制台； 在用户控制台页面点击【计费详情】查看您当前可使用的总主域名数量套餐主域名数量+域名扩展的主域名数量。 如何购买域名扩展包？ 当前仅支持通过单击变更访问链接，进入变更访问链接后，单击【实例】，可按需在【全部产品】下拉框中过滤出【Web应用防火墙(边缘云版)】。 注意 暂时不支持单独退订域名扩展包，如果需要单独退订，请

本文介绍如何实现对攻击者的自动封禁/解禁。 Web应用防火墙（原生版）的企业版及以上版本支持自定义BOT防护策略，通过智能BOT防护+攻击惩罚，帮助用户实现自动化动态拉黑攻击IP，实现业务的自动化防护。 用户可以结合业务情况进行自定义防护规则的配置，实现自动封禁和自动解禁。 示例场景 防护对象：“www.ctyun.cn”。 触发条件：来自“xxx.xxx.10.15”的请求中，5秒 内“请求URI中包含password”的请求次数大于等于10次。 处置措施：自动封禁“xxx.xxx.10.15”30分钟，30分钟后解封。 前提条件 已购买WAF SaaS模式企业版或旗舰版实例。 防护域名“www.ctyun.cn”已接入WAF并开启防护。 步骤一：配置并开启BOT防护 1. 开启BOT防护：在“防护配置 > 对象防护配置”页面，选择“安全防护”页签，定位到“BOT防护”模块，开启BOT防护。 2. 单击自定义规则右侧的“前去配置”，进入自定义防护规则页面。 3. 单击“新建防护规则”，添加一条自定义防护规则。 匹配条件：来自“xxx.xxx.10.15”的请求中，5秒 内请求URI中包含password的请求次数大于等于10次。 处置动作：动态拦截最大支持600秒（即10分钟）。 攻击惩罚：需要拦截超过10分钟，可以开启攻击惩罚。攻击惩罚功能可将多次触发自定义规则的会话对象进行自动拉黑封禁。

本文介绍了云防火墙（原生版）的系统类常见问题。 云防火墙（原生版）在天翼云网络中的位置是什么？ 如下图所示，云防火墙一般和DDoS防护系统、Web应用防火墙、数据中心网络、日志服务、SOC等一起组合使用，但也可以独立部署。DDoS防护系统、Web应用防火墙和云防火墙组成从外到内的三道屏障，云防火墙重点防护用户VPC的网络边界。云防火墙产生的日志通过日志服务来收集和对外展示，通过SOC整合汇聚（包括云防火墙在内的）各安全设备的日志和安全告警等，并结合外部威胁情报，可以提高安全数据利用率并挖掘潜在威胁，对抗愈发复杂的攻击手段与高级可持续威胁。 云防火墙（原生版）是否可以防护非天翼云上的资产？ 防火墙仅能防护天翼云账号下的 IP 资产，不支持非天翼云的资产。 云防火墙（原生版）支持防护哪些资产类型？ 目前只支持VPC内云主机资产所绑定公网IP的防护。 云防火墙互联网边界带宽会限制流量吗？ 云防火墙不会限制流量。 业务带宽超峰值带宽限制，会对我有业务影响么？ 如果公网流量大于购买的云防火墙边界带宽，则云防火墙不承诺对超出带宽的流量进行防护。对超出部分的流量，我们会做放行处理。

此小节介绍Web应用防火墙的用户权限。 系统默认提供两种权限策略：系统策略和自定义策略。系统策略是IAM预置的策略，用户只能使用不能修改。若系统策略不满足授权要求，用户可以创建自定义策略，自由搭配需要授予的权限集。 用户组配置权限策略后，将用户加入用户组中，可以使该用户获得权限策略中定义的操作权限。

本文介绍Web应用防火墙（边缘云版）的接入防护前提条件以及防护能力概览。 接入防护前提条件 您需要先在控制台新增域名并接入边缘云WAF，具体操作可见WAF接入 防护能力概览 下表将为您描述目前边缘云WAF具备的防护能力以及应用场景 模块 防护能力 说明 应用场景 Web安全 []( 支持配置Web安全的防护开关，可调整防护处理动作以及防护规则集、无需检测的静态文件后缀 为Web安全的基础配置，您需要使用任何防护能力都需要先进行基础配置 Web安全 规则防护 目前已维护6套防护规则集，基于正则的规则防护引擎进行 Web 漏洞和未知威胁防护，能够抵御SQL 注入、XSS 攻击、恶意扫描、命令注入攻击、Web 应用漏洞、WebShell 上传、不合规协议、木马后门等17类通用的 Web 攻击 建议基于自身业务防护需求选择对应的防护规则集 Web安全 网页防篡改 位于高级防护模块下，能够保护网站核心静态页面，避免因为源站页面被恶意篡改带来的负面影响 希望网站防止被恶意篡改页面内容时配置 Web安全 防护敏感信息泄露 位于高级防护模块下，支持对网站返回的内容进行脱敏展示，过滤内容包括敏感信息（如身份证、手机号、银行卡、邮箱等） 希望网站避免泄露身份证、手机号等敏感信息时配置 Web安全 []( 支持检查HTTP协议头部，对HTTP请求信息中的方法以及参数长度等信息进行检测，对不符合的请求项进行拦截或告警 针对不在HTTP请求合规、上传内容合规、配置符合网站处理规范内的请求进行相应处理 Web安全 cookie防护 位于高级防护模块下，采用cookie加密、cookie签名等方式对cookie字段的字进行加密或签名，防护一些使用cookie中的弱key进行权限绕过的漏洞利用，也能在一定程度上限制基于cookie修改的爬虫 可以防护cookie盗用、cookie篡改、cookie信息泄露等攻击事件。需要客户端支持携带cookie，通常小程序、APP、API可能不支持 Web安全 攻击挑战 位于高级防护模块下，支持自动阻断短时间内发起多次Web攻击的IP，快速应对恶意扫描及代理、Web 攻击威胁等行为，可提升攻防对抗效率 攻防演练、恶意扫描及代理、Web攻击行为等 Web安全 CSRF防护 位于高级防护模块下，支持防护跨站请求伪造（英语：Crosssite request forgery，简称CSRF）攻击 针对发起CSRF攻击进行防护 Web安全 广告防护 位于高级防护模块下，支持解析源站响应页面代码，在body中插入广告检测js代码，实现广告防护和监测功能 针对网站出现的恶意广告（网站中出现未将网站所有者允许的广告内容）进行防护 Web安全 设置账户安全防护 从撞库、暴力破解两个攻击角度进行防护，保障用户的账户安全 针对账户安全的场景进行防护 Bot管理 Bot防护策略 通过cookie挑战、跳转挑战、人机挑战、爬虫阈值限制、爬虫陷阱等防爬策略，精准命中爬虫流量，拦截各类恶意爬虫 针对支持携带cookie的客户端请求，小程序、APP、API可能不支持 对于无法正常执行跳转的请求，可以设置跳转挑战 Bot管理 爬虫情报规则 支持针对搜索引擎IP放行、针对恶意Bot请求IP封禁，目前爬虫情报库已维护接近10万条数据 对已知搜索引擎IP放行处理，不经过Bot防护策略，提升网站SEO权重； 对已知恶意Bot请求IP拦截处理 Bot管理 IP情报规则 支持针对已维护的IP信誉库，从威胁类型维度（IDC服务器、傀儡机、漏洞利用等十几类）进行IP封禁，目前IP信誉库已维护接近120万条数据 对已知IDC IP进行封禁处理；拦截傀儡机、漏洞利用等已知恶意IP 访问控制/限流 []( 支持根据请求的URL，频率、行为等访问特征，迅速识别CC攻击并进行拦截 防护大规模CC攻击，避免源站资源耗尽，保证企业网站的正常访问 访问控制/限流 IP黑名单 支持针对指定IP以及指定地域IP进行封禁处理 封禁来自国外访问的IP 访问控制/限流 扫描防护 支持识别常见的扫描器类型，也支持自定义扫描器识别规则，做到精准拦截 拦截常见的扫描器类型，避免网站受到外部扫描 防护白名单 网站白名单 支持在访问控制中，针对特定请求设置为白名单，则不经过全局防护策略的检测 对于可信任流量可以设置为白名单，将不经过任务防护策略 防护白名单 Web规则白名单 支持针对防护规则集中的具体规则设置白名单，则指定请求不经过该规则的检测 某条域名规则出现误拦截时，可以将误拦截的请求设置为白名单 防护白名单 []( 支持针对Bot防护策略设置白名单，则指定请求将不经过Bot防护策略的检测 明确不需要经过Bot防护策略的请求，可以在Bot功能模块中设置为白名单 开启IPv6防护 开启IPv6防护 提供IPv4/IPv6双栈服务，能够解决网站“天窗”问题，并可以有效提升网站IPv6链接支持率 政策驱动，各地市对于当地企业网站的IPv6浓度有一定指标