API安全策略配置

内置策略配置

在策略配置的风险检测配置页签，可以查看已经配置的风险策略，内置策略目前支持更改开启和关闭状态，及风险等级调整。您可以结合您的业务情况将内置策略的风险等级调整为低危、中危、高危中的一种。

自定义策略配置

除了内置策略外，风险检测配置允许您自定义配置最多20条自定义策略，自定义策略配置规则如下。

1. 在API安全页面，选择策略配置＞风险检测配置页签。

2. 在左栏自定义策略处单击新增，在弹出的抽屉页进行相关配置，具体的配置项如下表所示。

   配置项名称	说明
   风险状态	设置策略状态，默认为开。
   风险名称	设置自定义风险的名称。支持中文和大小写英文字母，可包含数字、半角句号（.）、下划线（_）和短划线（-）。
   处置建议	根据您的业务情况设置自定义风险策略的处理建议。
   风险等级	支持低危、中危、高危三个风险等级设置。
   检测设置	设置您的自定义风险策略检测条件，最多支持10个条件。

   关于检测设置的详细配置，对应逻辑符和匹配内容示例如下表所示。

   说明

   • 匹配内容可以输入最多50个，并按回车键确认。

   • 风险检测配置的匹配内容大小写敏感。

   详细配置

   匹配字段	子条件（需要输入/选择）	逻辑符	匹配内容说明
   域名	不支持	包含多值之一 不包含任一值 等于多值之一 不等于任一值	可以输入多个，最多50个，按回车键确认。
   API	不支持	包含多值之一 不包含任一值 等于多值之一 不等于任一值	可以输入多个，最多50个，按回车键确认。
   请求方法	不支持	等于多值之一 不等于任一值	多选，可选GET、POST、DELETE、PUT等请求方法。
   User-Agent	不支持	包含多值之一 不包含任一值 等于多值之一 不等于任一值	可以输入多个，最多50个，按回车键确认。
   Referer	不支持	包含多值之一 不包含任一值 等于多值之一 不等于任一值	可以输入多个，最多50个，按回车键确认。
   通信协议	不支持	等于	列表，可选HTTP/HTTPS
   请求Content-Type	不支持	包含多值之一 不包含任一值	可以输入多个，最多50个，按回车键确认。
   请求长度	不支持	等于 值小于 值大于	限制为0-8192的整数
   响应Content-Type	不支持	包含多值之一 不包含任一值	可以输入多个，最多50个，按回车键确认。
   响应长度	不支持	等于 值小于 值大于	限制为0-8192的整数
   响应状态码	不支持	等于多值之一 不等于任一值	可以输入多个，最多50个，按回车键确认。
   请求Header	自定义Header	存在 不存在 长度等于 长度小于 长度大于 包含多值之一 不包含任一值
   Cookie参数	自定义Cookie-Exact	存在 不存在 长度等于 长度小于 长度大于 包含多值之一 不包含任一值	-
   GET参数	自定义Parameter	存在 不存在 长度等于 长度小于 长度大于 包含多值之一 不包含任一值	-
   POST参数	自定义Post-Arg	存在 不存在 长度等于 长度小于 长度大于 包含多值之一 不包含任一值	-
   响应Header	响应Header	存在 不存在 长度等于 长度小于 长度大于 包含多值之一 不包含任一值	-
   响应参数	响应参数	存在 不存在 长度等于 长度小于 长度大于 包含多值之一 不包含任一值	-
   业务用途	不支持	包含多值之一 不包含任一值	业务用途列表，支持多选。 说明 关于业务用途类型的更多信息，请参见API安全如何划分API业务用途。
   服务对象	不支持	包含多值之一 不包含任一值	多选，服务对象列表 说明 关于服务对象类型的更多信息，请参见API安全如何区分接口的服务对象。
   鉴权	不支持	等于	是/否
   请求敏感数据类型	不支持	包含多值之一 不包含任一值 种类数大于	勾选敏感数据类型列表，支持多选；种类数大于条件下为0-8192的整数。
   请求敏感数据等级	不支持	包含多值之一 不包含任一值	S1-S4，支持多选。
   响应敏感数据类型	不支持	包含多值之一 不包含任一值 种类数大于	勾选敏感数据类型列表，支持多选；种类数大于条件下为0-8192的整数
   响应敏感数据等级	不支持	包含多值之一 不包含任一值	S1-S4，支持多选。
   响应敏感数据	勾选响应敏感数据列表，支持多选	数量大于	限制为0-8192的整数。
   访问源地理位置	不支持	等于	中国内地/非中国内地
   访问源IP	不支持	属于 不属于	请填入IP或IP/掩码（例如：1.1.X.X/24）。暂不支持正则，最多填写50个，以英文逗号分隔，或按回车键确认。

3. 当您完成自定义配置后，单击确定按钮保存该配置。

内置策略配置

安全事件的内置策略在触发告警后，如果IP还在持续攻击，不会产生新一条告警，但原来那条告警的攻击时间会随之更新，事件告警等级也会随着攻击量等情况发生变化。

在策略配置的安全事件配置页签，可以查看已经配置的安全事件策略，内置策略目前不支持编辑修改或删除。

自定义策略配置

除了内置策略外，安全事件配置允许您自定义配置最多10条自定义策略，自定义策略配置规则如下。

1. 在API安全页面，选择策略配置＞安全事件配置页签。

2. 在左栏自定义策略处单击新增，在弹出的抽屉页进行相关配置，具体的配置项如下表所示。

   配置项名称	说明
   事件状态	设置策略状态，默认为开启。
   事件名称	设置自定义事件的名称。支持中文和大小写英文字母，可包含数字、半角句号（.）、下划线（_）和短划线（-）。
   处置建议	根据您的业务情况设置自定义安全事件的处理建议。
   事件等级	支持低危、中危、高危三个风险等级的设置。
   匹配条件	设置您的自定义安全事件策略检测条件，最多支持10个条件。 说明 如果定义了多个条件，则只有当多个条件同时满足时，才算命中规则。
   统计周期	以分钟为粒度，最大可设置为15分钟。
   请求量	限制输入正整数。
   数据统计	设置您的自定义安全事件策略统计条件，最多支持10个条件。

   关于匹配条件的详细配置，对应逻辑符和匹配内容示例及详细信息，请参考风险检测部分详细配置。

   说明

   • 匹配内容最多输入50个，并按回车键确认。

   • 安全事件配置的匹配内容大小写敏感。

   关于数据统计的详细配置，对应逻辑符和匹配内容示例如下表所示。

   详细配置

   匹配字段	子条件（需要输入/选择）	逻辑符	匹配内容说明
   状态码统计	状态码（100-600的整数）	值大于	限制为0-8192的整数。
   请求Header	自定义Header	去重小于 去重等于 去重大于	限制为0-8192的整数。
   Cookie参数	自定义Cookie-Exact	去重小于 去重等于 去重大于	限制为0-8192的整数。
   GET参数	自定义Parameter	去重小于 去重等于 去重大于	限制为0-8192的整数。
   POST参数	自定义Post-Arg	去重小于 去重等于 去重大于	限制为0-8192的整数。
   响应敏感数据类型	勾选响应敏感数据类型，支持多选	去重大于	限制为0-8192的整数。
   响应敏感数据等级	勾选响应敏感数据等级，支持多选	去重大于	限制为0-8192的整数。

   说明

   API安全的响应敏感数据信息默认采用采样分析，如需在安全事件的自定义策略中配置响应敏感数据类型以及响应敏感数据等级的匹配检测，为了保证防护对象下的响应敏感数据信息被全部记录分析，您需要在配置策略 > 生效对象配置 中开启对应的防护对象的溯源审计开关。

3. 当您完成自定义配置时单击确定按钮保存该配置。

脱敏展示

在敏感数据配置页签中提供了脱敏展示开关，默认为关闭状态，不进行数据脱敏展示。

脱敏展示开启后，会对以下信息进行脱敏处理：

• 风险详情和API详情中，请求样例和响应样例的全字段默认将敏感数据替换为占位符{{Phone}}。

• 安全事件的事件详情中，包含敏感数据的请求数据样例和响应数据样例被脱敏展示为{}。

• 样例信息中Request Cookie脱敏为{{Cookie}}、包含Token的Request Header脱敏为{{XXXToken}}、Response SetCookie脱敏为{{SetCookie}}。

脱敏展示功能的生效范围如下：

• 风险详情和API详情：仅对新增的请求数据样例和响应数据样例信息生效。

• 事件详情：对新增和存量的请求数据样例和响应数据样例信息都生效。

内置策略配置

内置策略目前不支持编辑、修改或删除，仅支持更改开启和关闭状态。

自定义策略配置

如果您在业务中存在自己定义的敏感数据，您可以配置自定义敏感数据检测规则。敏感数据配置允许您自定义配置最多20条自定义策略，自定义策略配置规则如下。

1. 在API安全页面，选择策略配置＞敏感数据配置页签。

2. 单击新建策略按钮，在弹出的抽屉页进行相关配置，目前支持简易模式和专家模式两种模式的自定义策略配置方法。

   配置项	说明
   名称	为该规则设置一个名称。 支持中文和大小写英文字母，可包含数字、半角句号（.）、下划线（_）和短划线（-）。
   模式	设置自定义策略的检测模式。 简易模式：提供简易的配置界面，便于操作。 选择简易模式后，您需要设置检测的字符和长度。 字符：支持检测数字、大写字母、小写字母，可多选。 长度：支持检测的长度范围为6~64，且起始值和结束值需为整数。 专家模式：支持正则表达式。 选择专家模式后，您需要填写检测的正则表达式。为避免误识别，请确保正则匹配的命中字符不少于6位。
   等级	设置检测的敏感数据的等级。可选项：S1、S2、S3、S4。 说明 关于敏感数据类型的详细信息，请参见API安全支持检测哪些敏感数据。

3. 当您完成自定义配置时单击确定按钮保存该配置。

内置策略配置

支持多个场景的业务用途策略，包括数据更新、数据分享、手机短信发送、信息发送等。内置策略不支持修改或删除，您可以根据业务需要，开启或关闭对应策略。

自定义策略配置

如果内置策略不满足业务需求，您可以自定义URL特征、参数名特征，进一步提升API安全在具体业务场景中的检测准确率。

1. 在API安全页面，选择策略配置＞业务用途配置页签。

2. 单击自定义策略进入自定义策略管理，单击新建策略，完成如下配置后，单击确定保存您的配置。

说明

• 匹配内容可以输入最多50个，并按回车键确认。

• 业务用途配置的匹配内容大小写敏感。

详细配置

匹配字段	逻辑符	匹配内容
域名	包含多值之一 不包含任一值 等于多值之一 不等于任一值	可以输入多个，最多50个，按回车键确认。
API	包含多值之一 不包含任一值 等于多值之一 不等于任一值	可以输入多个，最多50个，按回车键确认。
请求Header参数名	等于多值之一 包含多值之一	可以输入多个，最多50个，按回车键确认。
请求Cookie参数名	等于多值之一 包含多值之一	可以输入多个，最多50个，按回车键确认。
请求Query参数名	等于多值之一 包含多值之一	可以输入多个，最多50个，按回车键确认。
请求Body参数名	等于多值之一 包含多值之一	可以输入多个，最多50个，按回车键确认。
请求敏感数据类型	等于多值之一 包含多值之一	勾选请求敏感数据类型列表，支持多选。
响应敏感数据类型	等于多值之一 包含多值之一	勾选响应敏感数据类型列表，支持多选。
响应参数名	等于多值之一 包含多值之一	可以输入多个，最多50个，按回车键确认。

开通服务角色

如果您没有开通过Web应用防火墙服务关联角色，在您使用API安全日志订阅服务之前，需要您根据提示，开通Web应用防火墙服务关联角色，用于授权Web应用防火墙访问您的其他云产品资源，关于服务关联角色的详细信息，请参见服务关联角色。如果您此前开通WAF日志服务等功能时已完成授权，请忽略此步骤。

日志订阅配置

1. 在您配置API安全的相关日志订阅任务之前，请打开日志服务控制台，创建希望接收日志订阅Project和LogStore，若您已经创建完成目标LogStore且核对符合命名规则，请直接进行下一步操作。

   说明

   日志订阅功能当前不支持选择日志服务自动创建的以及您自定义命名为“waf-logstore”、“wafng-logstore” 和 “wafnew-logstore” 的Logstore作为日志订阅的目标。

2. 创建完成后，返回日志订阅的页签，进行您的资产信息、风险信息、攻击事件信息订阅配置。如果您希望通过日志服务控制台对投递到指定Logstore的日志分析查询操作，请先根据提示开通索引，具体操作请参见创建索引。

3. 选择要执行日志订阅任务的日志类型，单击配置按钮进入配置页面。

4. 选择您希望配置日志订阅任务的Logstore所在Region，Project名称和Logstore名称，单击确定按钮保存配置。配置完成后，在触发相应条件产生日志后，您可以回到日志服务控制台的对应Logstore中，查询分析相关日志。如您希望对日志进行数据脱敏等加工处理，请参见数据加工。

5. 如果您关闭该日志订阅任务后，不需要已有日志，并希望存放日志订阅的Logstore不产生后续费用，请在日志订阅页签关闭任务后，删除对应的Logstore，具体操作请参见如何关闭日志服务或停止计费。

日志订阅任务的触发条件及详细字段说明如下。

日志订阅字段值说明

如果您在分析或查询日志的过程中，需要了解日志中字段值的含义，或者查看其对应控制台界面显示的说明，请参照下表进行使用。表中说明列的内容，即为该日志字段的值在 Web 应用防火墙控制台中的名称。