防护策略管理

默认防护策略组

为满足不同业务情况下的安全需求，应用防护功能对攻击检测规则的能力进行分级，提供了内置的防护策略组：业务优先组（默认宽松规则组）、正常运营组（默认标准规则组）和防护优先组（默认严格规则组）。

每个默认防护策略组内的规则检测模式均相同，例如默认业务优先组（默认宽松规则组）内所有攻击规则的检测模式均为宽松；您可以根据实际需要使用对应规则组，或自定义规则组。

检测模式说明

为了平衡不同业务场景下误报率和攻击防护强度，应用防护功能定义了多种检测模式：宽松、标准和严格。这三种模式的防护能力从低到高逐级递增，误报率也是从低到高。

• 宽松：只覆盖已知攻击特征，极少误报。

• 标准（默认）：覆盖常见攻击特征，并具有部分泛化推理能力，适用于日常运维场景。

• 严格：支持识别更多隐蔽的攻击行为，适用于重保场景，但存在一定的误报风险。

新建防护策略组

如果内置的防护策略组无法满足您的需求，您可以参考下述操作新建防护策略组。您也可以单击已有防护策略组操作列的复制，快速新建防护策略组。

1. 登录云安全中心控制台。

2. 在左侧导航栏，选择防护配置 > 应用防护。在控制台左上角，选择需防护资产所在的区域：中国或全球（不含中国）。

3. 在应用配置页签，单击页面右上角管理设置。

4. 在管理设置面板防护策略管理页签，单击新建防护策略组。

5. 在新建防护策略组面板，输入防护策略组名称，选择应用语言，并单击检测类型右侧的选择配置检测类型。

6. 在选择检测类型面板，选中需要的检测类型，并设置检测模式，选择完成后，单击确定。

   例如，在已有的告警中，您发现SQL注入误报较多，您可以将SQL注入检测项的检测模式修改为宽松。

   

7. 单击确定。

依据告警新增防护白名单

如果确认攻击告警为正常的业务访问，您可以将该告警加入防护白名单，以免后续再产生类似告警。将告警加入防护白名单时，可以依据告警信息快速新建一条防护白名单规则，该规则的生效应用组为受到攻击进程所属的应用分组。具体操作，请参见将告警加入白名单。

查看防护白名单规则列表

1. 登录云安全中心控制台。

2. 在左侧导航栏，选择防护配置 > 应用防护。在控制台左上角，选择需防护资产所在的区域：中国或全球（不含中国）。

3. 在应用配置页签，单击页面右上角管理设置。

   您也可以在攻击告警页签，单击防护白名单，查看防护白名单规则列表。

4. 在管理设置面板防护策略管理页签的防护白名单子页签下，查看白名单规则列表。

   支持通过以下操作管理白名单：

   • 开启或关闭：打开或关闭目标白名单规则的规则开关列的开关，可以开启或关闭白名单规则。

   • 编辑或删除：单击目标白名单规则操作列的编辑或删除，可修改或删除白名单规则。

新建防护白名单

新增白名单规则可以为多个应用分组中的多个检测类型设置白名单。

1. 登录云安全中心控制台。

2. 在左侧导航栏，选择防护配置 > 应用防护。在控制台左上角，选择需防护资产所在的区域：中国或全球（不含中国）。

3. 在应用配置页签，单击页面右上角管理设置。

   您也可以在攻击告警页签，单击防护白名单。

4. 在管理设置面板防护策略管理页签的防护白名单子页签下，单击新建防护白名单。

5. 在新建防护白名单面板，配置白名单的规则，并单击确定。

   以下是部分参数说明，其余参数请参考控制台说明配置。

   • 匹配方式：选择白名单规则的匹配方式，可选项：

     • 完全匹配：传输内容与匹配内容完全一致时不告警。

     • 部分匹配：传输内容包含匹配内容时不告警。

     • 前缀匹配：传输内容以匹配内容开始时不告警。

     • 后缀匹配：传输内容以匹配内容结束时不告警。

   • 匹配内容：根据选择的加白模式设置匹配内容。可参考告警详情页恶意特征、传入参数或请求URL的值，设置匹配内容。