检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
功能特性 通过Web应用防火墙，轻松应对各种Web安全风险，Web应用防火墙支持功能如下表。 功能类别 功能说明 业务配置 域名（泛域名、一级域名、二级域名等各级域名）/IP防护 WAF支持云模式-CNAME接入、云模式-ELB接入和独享模式三种部署模式，各部署模式支持防护的对象说明如下
管理独享引擎 创建WAF独享引擎实例后，您可以查看实例信息、查看实例的监控信息、升级实例版本以及删除实例。 前提条件 已购买独享引擎实例。 登录IAM用户已授予“IAM ReadOnly”权限。 独享引擎版本迭代 在目标独享引擎实例列表中的“版本”列可查看WAF实例版本。 表1 独享引擎版本
功能总览 功能总览 全部 Web应用防火墙 云模式 云模式-CNAME接入 云模式-ELB接入 独享模式 非标准端口防护 WAF引擎检测机制 Web基础防护 BOT管理 CC攻击防护 精准访问防护 黑白名单设置 地理位置访问控制 威胁情报访问控制 网页防篡改 网站反爬虫 防敏感信息泄露
应用场景 常规防护 帮助用户防护常见的Web安全问题，比如命令注入、敏感文件访问等高危攻击。 电商抢购秒杀防护 当业务举办定时抢购秒杀活动时，业务接口可能在短时间承担大量的恶意请求。Web应用防火墙可以灵活设置CC攻击防护的限速策略，能够保证业务服务不会因大量的并发访问而崩溃，同时尽可能地给正常用户提供业务服务
使用独享WAF和7层ELB以防护任意非标端口 应用场景 如果您需要防护WAF支持的端口以外的非标端口，可参考本章节配置WAF的独享模式和7层ELB联动，可实现任意端口业务的防护。 方案架构 假设需要将“www.example.com:9876”配置到WAF进行防护，但WAF不支持“
查看总览 网站接入WAF后，通过总览，您可以查看WAF更新动态、资源防护概况、产品信息，以及防护网站和实例最多30天的安全统计、Top事件源统计、BOT防护统计等信息，帮助您快速了解网站业务的安全状态。 总览页面统计数据每隔2分钟刷新一次。 前提条件 已将网站接入WAF。具体操作，
WAF获取真实客户端IP是从报文中哪个字段获取到的? 根据WAF不同的接入模式判断从报文中的哪个字段来获取真实客户端IP。 云模式-CNAME接入、独享模式接入 WAF引擎会根据防护规则确定是否代理转发请求去后端，如果WAF配置了基于IP的规则（比如黑白名单、地理位置、基于IP的精准访问防护规则
网站接入后推荐配置 配置PCI DSS/3DS合规与TLS 开启HTTP2协议 配置日志记录响应体字节长度 配置请求头和响应头字段转发 修改拦截返回页面 开启不插入Cookie字段的能力 开启IPv6防护 修改负载均衡算法 开启Cookie安全属性 修改人机验证状态码 配置自定义记录日志
配置IP黑白名单规则拦截/放行指定IP IP地址默认全部放行，您可以通过配置黑白名单规则，阻断、仅记录或放行指定IP地址/IP地址段的访问请求，白名单规则优先级高于黑名单规则。配置黑白名单规则时，WAF支持单个添加或通过引用地址组批量导入黑白名单IP地址/IP地址段。 前提条件 已添加防护网站或已新增防护策略
防护日志 Web应用防火墙支持记录防护日志吗？ Web应用防火墙的日志是否可以通过API的方式获取？ 如何获取拦截的数据？ 防护事件列表中，防护动作为“不匹配”是什么意思呢？ WAF获取真实客户端IP是从报文中哪个字段获取到的? Web应用防火墙的日志可以转储到OBS吗？ Web应用防火墙的防护日志可以存储多久
查看网站基本信息 您可以通过WAF管理控制台，查看防护域名的对外协议类型、策略名称、告警页面、CNAME、CNAME IP等信息。 前提条件 防护网站已接入WAF 查看网站基本信息 登录Web应用防火墙控制台。 在控制台左上角，单击图标，选择区域或项目。 (可选) 如果您已开通企业项目
配置攻击惩罚标准封禁访问者指定时长 当访问者的IP、Cookie或Params恶意请求被WAF拦截时，您可以通过配置攻击惩罚，使WAF按配置的攻击惩罚时长来自动封禁访问者。例如，访问者的客户端IP（192.168.1.1）为恶意请求，如果您配置了IP攻击惩罚拦截时长为500秒，该攻击惩罚生效后
WAF基础知识 本章节为您罗列了WAF入门级的常见问题。 Web应用防火墙是硬防火墙还是软防火墙？ Web应用防火墙是软防火墙。当您购买WAF后，只需要将域名接入WAF，就可以使用WAF防护功能。 有关域名接入WAF的详细操作，请参见添加防护域名。 接入WAF对现有业务和服务器运行有影响吗
网站接入 如何在添加域名中配置防护域名？ 添加域名时，防护网站端口需要和源站端口配置一样吗？ 如何放行云模式WAF的回源IP段？ 删除防护域名后CNAME记录会保留多久？ 后端服务器配置多个源站地址时的注意事项？ Web应用防火墙支持配置泛域名吗？ Web应用防火墙支持防护中文域名吗
域名/IP接入状态显示“未接入”，如何处理？ 故障现象 添加防护域名或IP后，域名或IP接入WAF失败，即防护网站“接入状态”显示“未接入”。 WAF每隔30分钟就会自动检测防护网站的接入状态，当WAF统计防护网站在5分钟内达到20次访问请求时，将认定该防护网站已成功接入WAF。
修改负载均衡算法 防护网站配置了一个或多个源站地址时，WAF支持配置多源站间的负载均衡算法，WAF支持的算法如下： 源IP Hash：将某个IP的请求定向到同一个服务器。 加权轮询：所有请求将按权重轮流分配给源站服务器，权重越大，回源到该源站的几率越高。 Session Hash：
创建引用表对防护指标进行批量配置 该章节指导您创建引用表，即可对路径、User Agent、IP、Params、Cookie、Referer、Header等这些单一类型的防护指标进行批量配置，引用表能够被CC攻击防护规则、精准访问防护规则、BOT管理规则和网站反爬虫防护规则所引用。
错误码 当您调用API时，如果遇到“APIGW”开头的错误码，请参见API网关错误码进行处理。 状态码 错误码 错误信息 描述 处理措施 400 WAF.00011001 bad.request 非法请求 检查入参 400 WAF.00011002 url.param.illegal
WAF监控指标说明 功能说明 本节定义了Web应用防火墙上报云监控服务的监控指标的命名空间，监控指标列表和维度定义，用户可以通过云监控服务提供管理控制台或API接口来检索Web应用防火墙产生的监控指标和告警信息。 命名空间 SYS.WAF 命名空间是对一组资源和对象的抽象整合。在同一个集群内可创建不同的命名空间
如何放行云模式WAF的回源IP段？ 网站以“云模式-CNAME”方式成功接入WAF后，建议您在源站服务器上配置只放行WAF回源IP的访问控制策略，防止黑客获取源站IP后绕过WAF直接攻击源站，以确保源站安全、稳定、可用。 网站成功接入WAF后，如果访问网站频繁出现502/504错误
