本文介绍了Web应用防火墙的产品功能和对应的文档动态。

更多关于Web应用防火墙的产品动态信息，请参见产品动态。

2021年

发布日期 功能动态 发布说明 相关文档
2021-09-18 网站接入支持自定义Header记录客户端IP 您在添加网站到WAF防护时，可以通过开启流量标记功能，使WAF在客户端请求的自定义Header字段（由您指定）中写入客户端IP。开启该功能后，您的后端服务器可以从WAF回源请求的指定Header字段中获取客户端IP。

该功能适用于您的后端服务器有定制的记录客户端IP的Header字段。

CNAME接入和透明接入均支持该功能。

 网站接入

透明接入
2021-08-13 WAF日志服务升级 WAF日志服务升级，具体包含以下特性改进：
  • 新增了部分日志字段，且将所有日志字段划分为可选字段、必选字段。如果您新开通WAF日志服务，则默认仅存储必选字段。您可以通过日志设置，修改要存储的可选字段。
  • 支持日志设置，允许您修改存储日志类型（全量日志、拦截日志）、要存储的可选日志字段、日志存储时长。
  • 日志查询支持条件筛选，方便您通过设置搜索条件，直接查询相关日志（设置搜索条件后，自动填写对应的查询语句）。
 WAF日志字段

修改日志设置
2021-07-30 网站接入支持配置回源SNI 网站接入配置（CNAME接入）中新支持启用回源SNI设置。如果您的网站业务支持HTTPS，且源站服务器上有多个虚拟主机，您可以在选中HTTPS协议后，开启回源SNI，使WAF在回源请求中添加SNI字段，指定要访问的主机。 网站接入
2021-06-22 自定义防护策略的匹配条件支持设置服务器端口 企业版及以上版本的WAF实例，在自定义防护策略规则时，可以使用Server-Port作为匹配字段，实现基于请求的目的端口，自定义访问控制或CC安全防护策略。 匹配条件字段说明
2021-06-19 透明接入支持防护ALB实例上的业务 您可以通过阿里云负载均衡ALB实例的监听配置，为接入ALB实例的业务一键开启WAF安全防护（基于透明接入模式）。 透明接入
2021-05-11 混合云WAF支持通过控制台自主部署集群及管理节点 混合云WAF解决方案新支持以下特性：
  • 在您的本地服务器安装WAF客户端Agent，用于支撑远程集群部署、升级和管理。
  • 在WAF控制台进行本地集群初始化配置、防护组和防护节点部署，以及节点查询、删除等管理操作。

安装WAF客户端

部署混合云WAF防护集群
2021-05-08 网站接入支持自定义Header取客户端源IP 网站接入配置（CNAME接入）中新支持客户端IP判定方式参数。如果您的网站业务在WAF前有其他七层代理服务（例如，DDoS高防、CDN等），则您可以设置取指定Header字段的值作为客户端源IP，且支持设置多个Header字段，依次取源IP。 网站接入
2021-04-01 网站接入支持设置IPv6格式的服务器IP地址 网站接入配置（CNAME接入）中的服务器地址参数支持设置IPv6格式的回源IP地址。该功能适用于对全链路IPv6升级有需求的金融、政企等行业用户。 网站接入
2021-03-23 Web总览支持威胁事件分析功能 WAF总览页面新增威胁事件分析模块，支持基于大量攻击告警的分析生成威胁事件记录，帮助您更清晰直观地了解威胁来源和应对方案。该功能适用于关注Web攻击风险，希望从大量告警中分析出最有价值的威胁事件的场景。 WAF总览
2021-03-18 Web安全报表支持误报屏蔽 Web攻击报表支持误报屏蔽操作，能够自动生成针对特定规则ID的白名单规则，并且您可以在Web入侵防护白名单中手动添加基于特定规则ID、规则类型的白名单规则，提升处理误报的体验。该功能适用于对误报敏感，希望以最细粒度控制误报，同时不影响防护效果的企业业务防护场景。 WAF安全报表
2021-01-29 防爬场景化配置上线 新增防爬场景化配置功能，您可以基于实际业务场景对防爬规则进行定制，从而更有针对性地对业务进行爬虫风险防护。 配置浏览器访问网页的防爬场景化规则
2021-01-28 透明接入支持四层SLB、ECS 透明接入支持对四层SLB、ECS实例的Web流量进行防护。 透明接入
2021-01-15 网站接入支持自定义TLS版本和加密套件 WAF支持为已添加防护的域名自定义TLS协议版本和加密套件，灵活满足不同场景下对HTTPS通信安全合规和兼容性的要求。该功能适用于出于等保合规或者兼容性要求，需要禁用、启用某些特定版本的TLS协议和加密套件的场景。 自定义TLS配置
2021-01-06 按量计费2.0版本上线 WAF按量计费模式已升级到2.0版本。按量计费2.0版本套餐将根据您启用的功能项数量和功能规格的使用量来计算费用。 按量计费2.0

2020年

发布日期 功能动态 发布说明 相关文档
2020-10-21 安全报表功能优化 安全报表功能更新，支持通过规则ID过滤攻击记录。 WAF安全报表
2020-08-17 资产识别功能优化 新增资产安全评分和网站资产Web指纹信息，帮助您判断资产中是否存在高危0 day漏洞风险。
说明 资产识别模块支持检测的网站资源覆盖阿里云域名和非阿里云域名（非阿里云域名包括解析至非阿里云服务器的域名和线下IDC机房使用的域名）。
资产识别
2020-07-09 透明接入模式发布上线 源站服务器部署在具有公网IP的阿里云ECS实例的业务，支持使用透明接入模式接入Web应用防火墙。透明接入模式下，您无需修改域名DNS解析和设置源站保护，同时也不用改变源站的IP地址，即可直接牵引源站ECS的流量到Web应用防火墙进行防护。 透明接入
2020-06-04 自定义防护规则组体验优化&总览页面功能优化
  • 自定义防护规则组支持系统规则自动更新功能，提升自定义规则组的安全性和可用性。
  • 总览页面支持查看0day高危漏洞防护规则详情和影响范围。
 自定义防护规则组

WAF总览
2020-05-20 大数据深度学习引擎功能优化 大数据深度学习引擎模块支持调节攻击概率阈值，实现不同业务的最佳防护效果。 设置深度学习引擎
2020-05-18 支持Terraform能力 面向成熟大企业的运维需求，WAF全面支持Terraform，可以实现用代码管理维护WAF产品的基本操作，包括域名运维和策略管理。
说明 需要控制台手动操作的任务可以通过这个能力用程序来自动化完成，不仅高效而且不易出错。更多信息，请参见Terraform帮助文档。
无
2020-04-10 用户体验优化 总览数据下钻到安全报表，安全报表数据下钻到日志服务，完善运营数据闭环体验。
  • 总览页面的防护统计数据支持下钻到安全报表，且URL请求次数排名中透出所属域名信息。
  • 安全报表的访问控制/限流统计数据支持下钻到日志服务，且支持查看和编辑有命中记录的自定义访问控制规则。
WAF总览

WAF安全报表
2020-04-02 Bot管理防护能力上线发布 Web应用防火墙新增Bot管理和App防护增值服务，满足自动化攻击、Bot流量智能防护，以及面向原生App端的可信通信、防机器脚本滥刷等安全防护。
说明 Bot管理和App防护模块目前仅向2020年1月发布的新版防护引擎开放。如果您使用旧版防护引擎，建议您尽快完成防护能力升级。
设置Bot管理白名单

概述
2020-03-10 新版防护引擎升级引导发布 Web应用防火墙新版防护引擎开通存量用户升级引导功能，分批平滑帮助用户完成过渡升级。 防护引擎全面升级
2020-03-04 智能负载均衡防护能力上线发布 智能负载均衡接入防护能力提供多节点、多线路自动容灾能力，打造最优线路的低时延访问体验。 智能负载均衡
2020-02-14 日志服务升级和体验优化 Web应用防火墙日志服务功能升级优化，支持自定义域名快速开启全量日志等功能。 无
2020-02-10 事件告警能力全面升级 Web应用防火墙通过升级告警通知功能，聚焦基础数据和事件生成，支持了安全事件告警、业务监控告警，有效满足用户日常运维诉求。 告警设置
2020-01-15 应用防护能力全面升级 Web应用防火墙新一代防护引擎满足精细化限流防护需求，有效防护非法流量访问，同时支持账户安全防护，有效防御常见的CC攻击、撞库、弱口令等行为。
说明 防护能力对全部用户生效，控制台配置能力只针对新购用户，历史保有用户在3月份支持升级使用。
设置规则防护引擎

2019年

发布日期 功能动态 发布说明 相关文档
2019-12-20 独享版功能优化升级 Web应用防火墙独享版支持用户自定义配置域名的超时时长，优化功能体验。 设置独享集群
2019-11-28 账户安全检测能力发布 Web应用防火墙账户安全模块协助用户识别登录相关接口上发生的账户安全风险事件，包括撞库、暴力破解、垃圾注册、弱口令嗅探和短信验证码接口滥刷等。 设置账户安全
2019-10-25 虚拟化独享版发布 Web应用防火墙独享版支持基于业务防护端口、TLS加密版本和算法、拦截响应页面等定制防护能力，满足用户特殊业务的Web防护需求。 设置独享集群
2019-10-22 已防护网站资产URL画像功能发布 Web应用防火墙根据历史正常业务流量，协助用户自动化识别业务URL画像和业务量，方便执行和开通“千人千面”定制防护策略。 无
2019-10-16 总览页面透出防扫描防护能力 Web应用防火墙总览页面展示防扫描模块拦截总量、已拦截扫描攻击事件列表、扫描攻击事件详情和对应的安全专家处置建议。 WAF总览
2019-09-24 资产管理支持一键添加应用防护的能力 Web应用防火墙资产管理页面展示已接入防护的资产的防护状态，并且支持一键添加资产到Web应用防火墙进行防护的能力。 资产识别
2019-08-22 主动防御能力发布 Web应用防火墙主动防护能力基于大数据智能学习算法，对用户历史业务流量不断迭代学习，建立“千人千面”的自动化防护策略。 设置主动防御
2019-07-30 云上网站资产管理功能发布 Web应用防火墙网站资产管理协助用户全面识别云上网站资产信息，完善网站一键接入防护能力，从而协助用户建立全面、安全的Web应用防御体系。 资产识别
2019-07-18 安全报表中增加Web攻击详情页面 Web应用防火墙安全报表中增加Web攻击详情页面，展示攻击拦截的具体原因，帮助用户提升安全运维效率和效果。 WAF安全报表
2019-06-27 支持防护基于HTTP2协议的应用 Web应用防火墙支持基于HTTP2协议的应用流量防护，完善应用协议覆盖率，更全面地防护Web应用防火墙用户的应用业务。 网站接入
2019-06-13 防护配置中支持设置Web解码方式 Web应用防火墙防护配置中支持用户自定义配置Web解码方式。 设置规则防护引擎
2019-05-30 ACL规则优化 Web应用防火墙访问控制规则中支持添加多个IP或者IP地址段作为条件匹配内容。 设置自定义防护策略
2019-05-30 产品总览页面升级 Web应用防火墙总览页面支持基于海量日志聚合安全运营事件，并提供专家处置建议；提供分类统计攻击总量和TOP域名分布，提升产品的运营能力。 WAF总览
2019-04-30 IPv6业务的应用防护能力发布 Web应用防火墙支持一键接入基于IPv6的源站业务系统，无需源站改造。IPv6业务接入即可支持防护，协助用户的IPv6业务系统满足等保合规要求。 开启IPv6防护
2019-03-19 防Web攻击扫描功能发布 Web应用防火墙提供Web扫描指纹的威胁情报库，支持用户自定义Web扫描的封禁频率和时长，并支持自动拦截目录遍历等常见扫描特征请求。 设置扫描防护
2019-01-03 区域IP封禁支持自定义全球指定国家、地区 Web应用防火墙的区域IP封禁功能支持封禁指定的全球国家/地区。 设置IP黑名单

2018年

发布日期 功能动态 发布说明 相关文档
2018-12-20 网页防篡改API发布 Web应用防火墙网页防篡改API发布，支持用户以API方式调用网页防篡改的常见操作，包括更新缓存、添加网页防篡改防护等。 无
2018-12-13 自定义Web防护规则组发布 Web应用防火墙自定义Web防护规则组发布，能够针对自身业务设置特定规则，避免默认规则误触发拦截，保障业务安全。 自定义防护规则组
2018-11-16 支持长达一年的业务日志存储 Web应用防火墙支持通过日志服务SLS的集成功能实时采集已接入Web应用防火墙防护的网站业务日志，并提供日志实时检索与分析服务。 概述
2018-10-24 支持流量标记功能 Web应用防火墙支持流量标记功能，允许用户在请求流量中插入特定头部值，方便标记由WAF转发的流量。 网站接入
2018-10-01 支持安全事件告警 Web应用防火墙支持通过短信或邮件向您推送安全事件和系统告警，您可以自定义需要关注的业务指标，及时发现业务异常情况。 告警设置
2018-08-09 支持深度学习引擎 Web应用防火墙支持深度学习引擎，依靠强大的机器学习能力，识别异常风险并进行拦截。 设置深度学习引擎
2018-07-27 OpenAPI发布 Web应用防火墙针对常见控制台配置操作开放对应API接口，方便用户执行批量化操作。 API概览
2018-05-29 推出业务数据大屏试用服务 Web应用防火墙推出业务数据大屏试用，方便用户在第一时间了解网站业务全貌。 大屏服务
2018-04-27 精准访问控制功能升级发布 Web应用防火墙支持使用更多的HTTP头部字段设置ACL规则，过滤访问请求。 设置自定义防护策略
2018-03-16 数据大屏公测发布 Web应用防火墙开放数据大屏服务，为安全运维人员提供重点数据监控和展示的功能。 大屏服务
2018-03-15 支持关闭实例 Web应用防火墙支持用户在控制台自主释放产品。 关闭WAF
2018-01-11 “蚁盾”手机号风控服务发布 Web应用防火墙的“蚁盾”手机号风险评分可有效解决机器注册、恶意刷单、黄牛抢购等问题。
说明 该服务已下线。
无

2017年

发布日期 产品动态 发布说明
2017-12-28 新增支持防护的非标端口 Web应用防火墙新增非标端口支持，支持更多非标准业务端口的防护。
2017-11-24 支持多种负载均衡算法 Web应用防火墙支持多种负载均衡算法，用户可以自主选择，应对不同场景的需求。
2017-10-30 提供App业务安全解决方案 Web应用防火墙提供App业务安全解决方案，解决App防刷、防爬需求。
2017-10-26 支持Websocket Web应用防火墙支持网站Websocket业务接入。
2017-08-31 支持异常响应码监控 Web应用防火墙支持监控异常响应码。
2017-08-31 支持业务带宽查询 Web应用防火墙支持查询业务上下行的带宽使用量。
2017-08-31 支持业务QPS查询 Web应用防火墙支持实例级别及域名粒度的QPS查询。
2017-08-16 支持查看黑洞事件详情 Web应用防火墙支持查看黑洞发生时的攻击阈值、事件等信息。
2017-07-27 域名独享IP功能发布 Web应用防火墙支持设置域名独享IP。用户可以通过购买域名独享资源包实现域名的IP资源隔离。
2017-07-25 精准访问控制功能优化 Web应用防火墙精准访问控制规则中支持放行数据风控及区域封禁功能的策略。
2017-07-25 人机识别算法功能优化 Web应用防火墙优化了CC自定义规则中的人机识别算法，提升CC攻击的拦截率。
2017-07-25 规则支持更多逻辑符配置 Web应用防火墙的精准访问控制规则新增支持“该字段不存在”、“值长度范围”等逻辑配置。
2017-07-25 支持更多HTTP字段检测 Web应用防火墙在精准访问控制中支持对更多HTTP字段的规则配置。
2017-06-07 支持回源到域名 Web应用防火墙网站配置中支持填写域名格式的回源地址。
2017-05-25 防敏感信息泄露功能发布 Web应用防火墙配合网络安全法相关规定，推出敏感数据防护方案。
2017-04-12 支持网站一键HTTPS Web应用防火墙支持网站一键HTTPS化，无需用户更改服务器配置。
2017-04-12 多版本支持非标准端口防护 非标准的部分端口业务在Web应用防火墙的多个版本中得到支持，可以实现安全防护。
2017-03-28 大数据威胁情报功能发布 Web应用防火墙大数据威胁情报功能提供安全体检分评估、高危风险预警、黑客真人攻击详情查看等服务。
2017-03-08 接入体验优化 Web应用防火墙域名添加中支持一键解析DNS。
2017-02-09 网页防篡改功能发布 Web应用防火墙具备网页防篡改能力，避免网页的恶意篡改。
2017-01-05 支持虚拟主机接入 Web应用防火墙支持接入万网虚拟主机进行网站防护。

2016年

发布日期 产品动态 发布说明
2016-12-21 V3.1版本重磅发布 Web应用防火墙V3.1版本发布，重点提升引擎核心防护能力，新增地理区域IP封禁、CC规则自定义配置等功能。
2016-12-01 智能语义分析引擎上线 Web应用防火墙防护引擎新增智能语义分析功能，相比较现有的基于正则的规则，在误漏报率上有显著提升。