Web应用防火墙提供资产管理功能,通过获取阿里云平台上的SSL证书、云解析DNS、Web应用防火墙等云产品的配置信息和站点通信流量中的网站信息,主动发现您云平台上的网络资产,同时提供一键接入防护功能帮助您的企业实现全面的网络资产管理和安全防护。

背景信息

网络应用资产是安全管理体系中最基础最重要的载体,同时也是业务系统中最基本的组成单元。随着企业业务的高速发展,各类业务系统平台逐年增多,同时也存在着员工私建站点、测试环境未及时回收等情况,可能产生大量“僵尸”资产。信息安全是很典型的木桶效应,安全防护的水位由企业最薄弱的一环决定。由于无人管理,“僵尸”资产往往使用了低版本的开源系统、组件、Web框架等,导致一些薄弱环节暴露在攻击者的视野下,攻击者可以利用这些站点作为“跳板”绕过企业的网络边界防护,进而使得整个企业内网沦陷。

Web应用防火墙(WAF)的资产管理功能旨在协助您发现阿里云上的应用资产、监控资产变化,避免在安全防护中出现资产遗漏, 提高整体安全防护水位线。资产管理为您提供云上资产识别、一键自动接入防护、0day漏洞影响范围评估等功能,为企业网络域名资产的安全管理决策提供事实依据以及将网络资产快速接入安全防护的能力,全面保障企业云上网络资产的安全。

在得到您的授权后,WAF将基于所获取的您阿里云账号中的SSL证书、云解析DNS、Web应用防火墙等云产品的配置信息和阿里云上站点通信流量中的网站(Host)信息,综合发现您在阿里云平台中的所有域名资产信息,包括域名和子域名信息、服务器IP地址、端口、协议、Web防护状态等。

授权WAF访问云资源

为实现网络资产的主动发现,您需要授予WAF读取您云账号中相关云服务的网站信息和管理云解析服务的域名解析记录的权限。

  1. 登录云盾Web应用防火墙控制台,定位到资产管理页面,您将收到云资源访问授权提示。


  2. 单击授权,前往访问控制平台授权页面。


  3. 单击同意授权,授权WAF访问您账号中相关云产品服务的资源。

授权完成后,WAF将主动发现您云账号中的网络域名资产。

查看域名资产

您可以在WAF控制台的资产管理页面,查看WAF主动发现的您账号中的所有域名资产。

  1. 登录云盾Web应用防火墙控制台,在页面上方选择WAF实例所在地区(中国大陆、海外地区)。
  2. 定位到资产管理页面,查看您的域名资产。

    WAF根据一级域名将所发现的域名资产进行聚合展示,您可以展开指定一级域名查看所发现的具体的域名资产信息,包括服务器地址、端口号、访问协议、防护状态等信息。

    说明
    • 资产管理页面仅展示近期有流量的云上域名资产。
    • 如果域名资产的服务器地址、端口号、协议等信息未显示,表示该IP资产不属于当前的阿里云账号。

    其中,防护状态表示是否已接入WAF进行全面防护:

    • 未添加:网站资产未接入WAF防护
    • 已添加未接入:已在WAF中添加网站资产接入配置,但WAF未检测到网站流量
    • 防护中:网站资产已接入WAF防护,检测到网站流量,提供全面防护
    说明 对于尚未接入WAF的域名资产(防护状态为未添加),建议您通过自动添加网站配置一键接入WAF进行防护,实现域名资产的全面防护。

    您也可以在域名资产列表上方的搜索框中输入任意关键字,单击搜索查找指定域名资产。