扫描防护规则

配置扫描防护规则

1. 登录ESA控制台。

2. 在左侧导航栏，单击站点管理。

3. 在站点管理页面，单击目标站点名称，或对应站点操作列的详情。

4. 在站点详情页面，选择安全防护>WAF>扫描防护。

5. 在扫描防护页签，单击新增规则集。

   • 填写规则集名称。

   • 当请求匹配以下规则时...：设置要匹配的用户请求特征，符合条件的请求才会执行扫描防护的各个防护规则，请求匹配字段请参见WAF。

   • 触发防护类型...：

     说明

     高频扫描封禁与目录遍历封禁请至少选择1个进行配置。

     • 配置高频扫描封禁

       将短时间内多次触发当前防护对象下基础防护规则的攻击源，自动拉入黑名单，在一段时间内对该攻击源的所有请求执行拦截、观察处置。

       参数	说明
       封禁对象	选择要统计的攻击源的类型。可选项： Cookie 值：统计包含指定Cookie的攻击请求的频率。 标头：统计包含指定Header的攻击请求的频率。 IP源地址：表示统计同一个客户端IP发起攻击的频率。 会话：表示统计同一个客户端会话发起攻击的频率。 URI 指定查询字符串：统计包含指定参数的攻击请求的频率。
       检测时间范围（秒）	设置检测HTTP请求的时间范围。 取值范围：5~1800。 单位：秒。
       基础防护规则触发（次）	在检测时间范围内，设置允许单个统计对象触发当前防护对象下基础防护规则的最大次数。 取值范围：3~50000。
       触发规则数大于（条）	在检测时间范围内，设置允许单个统计对象触发当前防护对象下不同基础防护规则的数量。 取值范围：1~50。
       封禁时间（秒）	对命中当前规则的对象，设置封禁其请求的时长。 取值范围：60~86400。 单位：秒。

     • 配置目录遍历封禁

       将短时间内访问当前防护对象下大量无效目录的攻击源，自动拉入黑名单，在一段时间内对该攻击源的所有请求执行拦截、观察处置。

       参数	说明
       封禁对象	选择要统计的攻击源的类型。可选项： Cookie 值：统计包含指定Cookie的攻击请求的频率。 标头：统计包含指定Header的攻击请求的频率。 IP源地址：表示统计同一个客户端IP发起攻击的频率。 会话：表示统计同一个客户端会话发起攻击的频率。 URI 指定查询字符串：统计包含指定参数的攻击请求的频率。
       检测时间范围（秒）	设置检测HTTP请求的时间范围。 取值范围：5~1800。 单位：秒。
       对防护对象请求超过（次）	在检测时间范围内，设置允许单个统计对象对单个域名发起请求次数的最大值。 取值范围：3~50000。
       404响应码比例超过（%）	设置404响应码占比的最大值。 取值范围：1~100。 单位：%（百分比）。
       不存在的目录超过数量（个）	在检测时间范围内，设置允许单个统计对象访问的不存在的目录（不包含图片等静态文件）的最大数量。 取值范围：2~50000。
       封禁时间（秒）	对命中当前规则的对象，设置封禁其请求的时长。 取值范围：60~86400。 单位：秒。

     • 开启或关闭扫描工具封禁

       对来自常见扫描工具（例如，Sqlmap、AWVS、Nessus、Appscan、Webinspect、Netsparker、Nikto、Rsas等）的请求，执行拦截、观察的处置。

   • 最终执行...：当匹配到的请求命中规则时，要执行的防护动作，详细信息请参见WAF。

6. 单击确定。

不同套餐的支持情况