本文介绍了API安全的内置策略及自定义策略配置。在内置检测机制的基础上，API安全支持自定义符合业务特征的检测策略。您可以进行风险检测配置、安全事件配置、敏感数据配置、鉴权凭据配置、业务用途配置、白名单配置、生命周期管理、日志订阅和生效对象配置，使得识别出的API数据更符合您的实际业务情况，进一步提高API安全检测的准确率与召回率，帮助您结合业务情况进行相应处置，降低API业务资产遭受攻击带来的损失。
一、风险检测配置
风险是指接口因开发缺陷，或者管理、配置缺陷而导致的安全风险或安全隐患。安全风险与安全事件的区别是，安全风险并不一定代表发生了攻击，而安全事件则代表被攻击产生的告警。
内置策略配置
在策略配置的风险检测配置页签中，可查看已配置的风险策略。内置策略默认全部开启，支持修改其开启状态及调整风险等级。用户可根据业务需求，将内置策略的风险等级设置为“低危”、“中危”或“高危”。
自定义策略配置
除了内置策略外，风险检测配置允许您自定义配置最多20条自定义策略，自定义策略配置规则如下。
在API安全页面，选择页签。
在左栏自定义策略处单击新增，在弹出的抽屉页进行相关配置，具体的配置项如下表所示。
配置项名称
说明
风险状态
设置策略状态，默认为开。
风险名称
设置自定义风险的名称。支持中文和大小写英文字母，可包含数字、半角句号（.）、下划线（_）和短划线（-）。
处置建议
根据您的业务情况设置自定义风险策略的处理建议。
风险等级
支持低危、中危、高危三个风险等级设置。
检测设置
设置您的自定义风险策略检测条件，最多支持10个条件。
关于检测设置的详细配置，对应逻辑符和匹配内容示例如下表所示。
说明匹配内容可以输入最多50个，并按回车键确认。
风险检测配置的匹配内容大小写敏感。
当您完成自定义配置后，单击确定按钮保存该配置。
二、安全事件配置
安全事件是指接口发生了异常调用或攻击行为，比如登录接口被爆破攻击、短信发送接口被人滥用进行短信轰炸等。内置事件检测以IP与账号为检测维度。
内置策略配置
安全事件的内置策略在触发告警后，如果还在持续攻击，不会产生新一条告警，但原来那条告警的攻击时间会随之更新，事件告警等级也会随着攻击量等情况发生变化。
在策略配置的安全事件配置页签，可以查看已经配置的安全事件策略，其中，内置策略默认全部开启，支持修改其开启状态及调整风险等级。
自定义策略配置
除了内置策略外，安全事件配置允许您自定义配置最多10条自定义策略，自定义策略配置规则如下。
在API安全页面，选择策略配置＞安全事件配置页签。
在左栏自定义策略处单击新增，在弹出的抽屉页进行相关配置，具体的配置项如下表所示。
配置项名称
说明
事件状态
设置策略状态，默认为开启。
事件名称
设置自定义事件的名称。支持中文和大小写英文字母，可包含数字、半角句号（.）、下划线（_）和短划线（-）。
处置建议
根据您的业务情况设置自定义安全事件的处理建议。
事件等级
支持低危、中危、高危三个风险等级的设置。
匹配条件
设置您的自定义安全事件策略检测条件，最多支持10个条件。
说明如果定义了多个条件，则只有当多个条件同时满足时，才算命中规则。
频率控制
设置统计对象为IP或账号；统计周期以分钟为粒度，最大可设置为15分钟；请求量仅支持设置为正整数。
数据统计
设置您的自定义安全事件策略统计条件，最多支持10个条件。
关于匹配条件的详细配置，对应逻辑符和匹配内容示例及详细信息，请参考风险检测部分详细配置。
说明匹配内容最多输入50个，并按回车键确认。
安全事件配置的匹配内容大小写敏感。
关于数据统计的详细配置，对应逻辑符和匹配内容示例如下表所示。
当您完成自定义配置时单击确定按钮保存该配置。
三、敏感数据配置
在策略配置的敏感数据配置页签，可以查看与配置如下内容。
敏感数据类型配置：系统已内置身份证、手机号等通用敏感数据类型的识别逻辑，同时支持用户根据业务需求自定义敏感数据类型。
API实时脱敏：基于AI基线引擎的智能防护功能，能够自主学习API结构并实时识别敏感数据，实现细粒度的自动脱敏。该功能无需人工预定义字段，可灵活适配复杂业务场景，满足数据跨境等合规需求，实现全自动实时防护。
敏感数据类型配置
在敏感数据配置页签，单击左侧列表的敏感数据类型配置，支持查看与配置如下内容：
内置敏感数据类型
系统内置的策略，默认全部开启，不支持编辑、修改或删除，仅支持更改开启和关闭状态。
自定义敏感数据类型
若业务存在自己定义的敏感数据，可以配置自定义敏感数据检测规则。敏感数据配置允许配置最多20条自定义策略。
单击新建策略，在弹出的抽屉页进行相关配置，目前支持简易模式和专家模式两种模式的自定义策略配置方法。
配置项 | 说明 |
名称 | 为该规则设置一个名称。 |
模式 | 设置自定义策略的检测模式。
|
等级 | 设置检测的敏感数据的等级。可选项：S1、S2、S3、S4。 说明 关于敏感数据类型的详细信息，请参见API安全支持检测哪些敏感数据。 |
脱敏展示
在敏感数据配置页签中提供了脱敏展示开关，默认为关闭状态，不进行数据脱敏展示。
脱敏展示开启后，会对以下信息进行脱敏处理：
风险详情和API详情中，请求样例和响应样例的全字段默认将敏感数据替换为占位符
{{Phone}}。安全事件的事件详情中，包含敏感数据的请求数据样例和响应数据样例被脱敏展示为
{}。样例信息中Request Cookie脱敏为
{{Cookie}}、包含Token的Request Header脱敏为{{XXXToken}}、Response SetCookie脱敏为{{SetCookie}}。
脱敏展示功能的生效范围如下：
风险详情和API详情：仅对新增的请求数据样例和响应数据样例信息生效。
事件详情：对新增和存量的请求数据样例和响应数据样例信息都生效。
API实时脱敏
在敏感数据配置页签，单击左侧列表的API实时脱敏，然后单击新建模板配置脱敏模板。
模板名称：设置一个便于识别的模板名称。
脱敏规则配置：单击新建规则配置具体的脱敏规则，支持配置多个规则。
规则名称：设置一个便于识别的规则名称。
敏感数据类型：勾选需脱敏的数据类型，仅支持系统内置的敏感数据类型。
匹配条件：设定触发规则的 HTTP 条件，支持配置 0 到 5 个条件。若未配置任何条件，则规则将在所有 HTTP 请求下触发。
说明若规则包含多个条件，则请求必须满足所有条件（逻辑与关系），才能命中该规则。关于匹配字段和逻辑符的详细说明，请参见匹配条件说明。
数据处理方式：支持以下两种处理方式。
脱敏：对数据进行脱敏，需继续设置具体脱敏动作，支持置空与掩码。
观察：不进行脱敏，仅记录日志。
生效对象：指定规则适用的 API 资产，仅支持敏感等级为高、中、低的资产。每个生效对象仅允许配置一个脱敏模板。
模板新建完成后，需等待 10 至 20 分钟，脱敏规则方可对新接入的生效对象生效。如需查看 API 脱敏日志，请前往安全报表页面。
针对已创建的模板，支持执行以下管理操作：
配置模板与规则开关，以启用或禁用其生效状态。
为模板新增规则。
编辑模板与规则的信息。
删除模板与规则。
四、鉴权凭据配置
如果您在业务中使用了非常规字段作为您的鉴权字段，或者纯数字等特征较弱的鉴权字段名称，推荐您配置自定义鉴权凭据。在系统内置的鉴权凭据识别的基础上，您可以指定参数名，用于辅助内置模型准确识别判断请求中是否携带鉴权凭据，从而提升API安全，以及提高未鉴权风险识别的准确率。
在API安全页面，选择策略配置＞鉴权凭据配置页签。
单击新建策略，完成如下配置后，单击确定。
配置项
说明
名称
为该策略设置一个名称。
支持中文和大小写英文字母，可包含数字、半角句号（.）、下划线（_）和短划线（-）。
匹配条件
每个条件由匹配字段、逻辑符和匹配内容组成。最多支持10个条件。在配置时请添加至少一个请求Header、请求Cookie、请求Query、请求Body的匹配条件。
说明如果定义了多个条件，则只有当多个条件同时满足时，才算命中规则。
关于匹配条件的详细配置，对应逻辑符和匹配内容示例如下表所示。
说明匹配内容可以输入最多50个，并按回车键确认。
鉴权凭据配置的匹配内容大小写敏感。
五、业务用途配置
API安全提供如下两种业务用途策略配置：
内置策略配置
支持多个场景的业务用途策略，包括数据更新、数据分享、手机短信发送、信息发送等。内置策略默认全部开启，不支持修改或删除，可根据业务需要，开启或关闭对应策略。
自定义策略配置
如果内置策略不满足业务需求，您可以自定义URL特征、参数名特征，进一步提升API安全在具体业务场景中的检测准确率。
在API安全页面，选择策略配置＞业务用途配置页签。
单击自定义策略进入自定义策略管理，单击新建策略，完成如下配置后，单击确定保存您的配置。
匹配内容可以输入最多50个，并按回车键确认。
业务用途配置的匹配内容大小写敏感。
六、白名单配置
API安全的白名单配置功能支持您自定义配置您的安全事件及风险检测白名单，帮助您结合业务实际情况过滤不需要关注的告警噪音，例如来自办公网络出口的IP地址所产生的告警，提升业务运营效率。
在API安全页面，选择策略配置＞白名单配置页签。
单击新建策略，输入您想新建的策略名称，并选择希望配置白名单的功能类型，目前支持配置风险检测和安全事件白名单。
根据您选择希望配置白名单的功能类型，完成匹配条件设置。
说明匹配条件最多支持10个。
白名单配置的匹配条件大小写敏感。
风险检测白名单策略匹配条件
匹配字段
逻辑符
匹配内容
域名
包含多值之一
不包含任一值
等于多值之一
不等于任一值
可以输入多个，最多50个，按回车键确认。
API
包含多值之一
不包含任一值
等于多值之一
不等于任一值
可以输入多个，最多50个，按回车键确认。
安全事件白名单策略匹配条件
匹配字段
逻辑符
匹配内容
域名
包含多值之一
不包含任一值
等于多值之一
不等于任一值
可以输入多个，最多50个，按回车键确认。
API
包含多值之一
不包含任一值
等于多值之一
不等于任一值
可以输入多个，最多50个，按回车键确认。
IP
属于
不属于
请填入IP或IP/掩码（例如：1.1.X.X/24）。暂不支持正则，最多填写50个，以英文逗号分隔，或者按回车键确认。
选择不检测的风险检测或安全事件类型，单击确定保存您的配置。
说明不检测类型支持内置和自定义，支持多选。
七、生命周期管理
API安全支持通过设置日访问量、持续时间，来自定义失活接口的判断标准，使得失活API检测更符合业务情况。API生命周期管理可以帮助您识别符合您自定义标准的失活API接口，并辅助您及时处置，防止被攻击者利用失活接口进行攻击，造成不必要的业务损失。
在API安全页面，选择策略配置＞生命周期管理页签。
设置失活API判断标准后，单击确定。
单击内置模型。
表示使用内置的判断标准，即近8天无访问量或访问量大幅下跌的API接口为失活API。
单击自定义，并设置日访问量、持续时间（最大为31天）。
表示如果某API接口在自定义的持续时间内，日访问量小于设置的次数时，则该API接口被判定为失活API。
若资产的最近活跃时间超过30天，系统将自动删除该资产及其关联的风险数据与安全事件记录。
八、日志订阅
当您开启资产信息、风险信息或者事件信息的日志订阅后，在触发日志投递条件时，可以将对应日志投递至您在日志服务控制台创建的指定的LogStore中。方便您基于阿里云日志服务SLS的功能进行日志统一管理及操作。
目前仅支持中国内地的WAF实例向中国内地的日志服务LogStore中投递日志，非中国内地的WAF实例向非中国内地的日志服务LogStore中投递日志，不支持跨中国内地、非中国内地的日志投递。
开通服务角色
如果您没有开通过Web应用防火墙服务关联角色，在您使用API安全日志订阅服务之前，需要您根据提示，开通Web应用防火墙服务关联角色，用于授权Web应用防火墙访问您的其他云产品资源，关于服务关联角色的详细信息，请参见服务关联角色。如果您此前开通WAF日志服务等功能时已完成授权，请忽略此步骤。
日志订阅配置
在您配置API安全的相关日志订阅任务之前，请打开日志服务控制台，创建希望接收日志订阅Project和LogStore，若您已经创建完成目标LogStore且核对符合命名规则，请直接进行下一步操作。
说明日志订阅功能当前不支持选择日志服务自动创建的以及您自定义命名为“waf-logstore”、“wafng-logstore” 和 “wafnew-logstore” 的Logstore作为日志订阅的目标。
创建完成后，返回日志订阅的页签，进行您的资产信息、风险信息、攻击事件信息订阅配置。如果您希望通过日志服务控制台对投递到指定Logstore的日志分析查询操作，请先根据提示开通索引，具体操作请参见创建索引。
选择要执行日志订阅任务的日志类型，单击配置按钮进入配置页面。
选择您希望配置日志订阅任务的Logstore所在Region，Project名称和Logstore名称，单击确定按钮保存配置。配置完成后，在触发相应条件产生日志后，您可以回到日志服务控制台的对应Logstore中，查询分析相关日志。如您希望对日志进行数据脱敏等加工处理，请参见数据加工。
如果您关闭该日志订阅任务后，不需要已有日志，并希望存放日志订阅的Logstore不产生后续费用，请在日志订阅页签关闭任务后，删除对应的Logstore，具体操作请参见如何关闭日志服务或停止计费。
日志订阅任务的触发条件及详细字段说明如下。
您在日志服务中创建的云资源与开通索引等操作会产生额外费用，由日志服务产品进行计费，计费项及价格请参见日志服务计费概述。
创建Project或Logstore后，未开启日志订阅任务时仍可能会产生费用，当您确保不再使用创建的Logstore时，请及时删除，避免产生额外费用，请参见为什么只创建Project和Logstore会产生费用。
资产信息日志
日志订阅任务触发条件：
新增API资产后会立即投递资产信息日志。
若无新增API资产，默认每1小时定时投递一次资产信息日志。
风险信息日志
日志订阅任务触发条件：当检测到新增风险信息时，会将风险信息日志投递至您指定的LogStore中。
攻击事件信息日志
日志订阅任务触发条件：
当检测到新增攻击事件时，会将新增攻击事件信息日志投递至您指定的LogStore中。
若攻击持续进行，则攻击事件信息日志会间隔10分钟持续投递至您指定的LogStore中。
日志订阅字段值说明
如果您在分析或查询日志的过程中，需要了解日志中字段值的含义，或者查看其对应控制台界面显示的说明，请参照下表进行使用。表中说明列的内容，即为该日志字段的值在 Web 应用防火墙控制台中的名称。
九、生效对象配置
包年包月版WAF
API安全提供三个防护对象或防护对象组级别的生效开关：
基础检测开关：默认开启，控制所有内置检测机制和自定义检测策略是否生效。
合规审查开关：默认关闭，仅在基础检测开启后才能开启，控制合规审查功能是否生效。
溯源审计开关：默认关闭，仅在基础检测开启后才能开启，控制溯源审计功能是否生效。
按量付费版WAF
API安全提供一个防护对象或防护对象组级别的生效开关：
基础检测开关：控制所有内置检测机制和自定义检测策略是否生效。如需关闭API安全功能，请关闭所有防护对象与防护对象组的基础检测开关。