使用Bot管理防护Web业务

操作步骤

登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。在左侧导航栏，选择防护配置 > BOT管理 > Bot防护模板，在Web防护 > 防护模板页签，单击新建模板。

步骤一：防护场景定义

1. 填写一个便于识别的模板名称与模板介绍。

2. 选择防护目标特征，支持全局生效与定制匹配条件两种类型。

   • 全局生效：适用于仅存在网页/H5环境的场景。

   • 定制匹配条件：适用于除网页/H5环境外，还存在APP/小程序环境，或希望针对特定的业务接口（如登录、秒杀等）进行防护的场景。

     全局生效

     配置防护目标为全局生效，无需输入流量特征。

     定制匹配条件

     配置防护目标为定制匹配条件，依据输入特征进行匹配。通过单击新增条件添加一个条件。每个条件由匹配字段、逻辑符和匹配内容组成。配置示例如下：

     说明

     若规则包含多个条件，则请求必须满足所有条件（逻辑与关系），才能命中该规则。关于匹配字段和逻辑符的详细说明，请参见匹配条件说明。

     匹配字段	逻辑符	匹配内容	说明
     URI Path	包含	/login.php	当请求的路径包含/login.php时，则请求命中该规则。
     IP	属于	192.1.XX.XX	当客户端IP为192.1.XX.XX时，则请求命中该规则。

3. 勾选是否排除静态文件，静态文件请求通常不涉及业务逻辑，且其内容本身不易被用于注入攻击，排除静态文件可减少检测负载，使WAF专注于保护动态接口。建议选择默认的静态文件类型，也可自定义添加类型。

步骤二：编辑模板规则

1. 在人机校验区域，可单击编辑配置如下人机校验规则。

   1. 选择验证模式，支持JS验证或令牌挑战两种类型。

      • JS验证：适用于低强度日常防护场景。

      • 令牌挑战：适用于高强度对抗场景，建议在重点防护时段（如大促活动开始前数分钟）启用。

        JS验证

        规则触发后，WAF将返回JS代码，正常浏览器客户端将执行JS代码获取通行证并重发请求，而恶意流量由于未携带通行证从而被拦截，认证通过的客户端在一段时间（默认30分钟）内，其所有请求将被直接放行，无需重复校验。

        令牌挑战

        规则触发后，WAF将返回JS代码，正常浏览器客户端将执行JS代码进行请求加签并重发请求，而恶意请求由于无签名信息从而被拦截。可选项：

        • 签名时间戳异常：指签名时间戳异常时，请求将被拦截。

        • WebDriver攻击：指遭遇WebDriver攻击时，请求将被拦截。

   2. 在规则灰度区域，配置规则针对不同维度的对象的生效比例。开启规则灰度后，还需要设置维度和灰度比例。维度包括：IP、自定义Header、自定义参数、自定义Cookie、Session、网页端UMID。

      说明

      规则灰度根据配置的维度生效，而非对请求按比例随机生效规则。例如，当维度为IP且灰度比例为10%时，WAF将选择约10%的IP地址；被选中的IP地址，其所有请求均应用该规则，而非对所有请求按10%的比例随机应用。

   3. 在生效模式区域，选择规则的生效时间。

      • 永久生效（默认）：防护模板开启时，规则永久生效。

      • 按时间段生效：防护规则仅在指定的一段时间内生效。

      • 按周期生效：防护规则仅在指定的时间周期内生效。

2. 在风险识别区域，可以单击新建，创建风险识别规则。基于WAF内建的手机号信誉数据库，实现针对黄牛等异常手机号的访问阻断，适用于手机号登录注册类场景。

   重要

   风险识别属于收费功能。具体计费规则如下：

   • 计费条件：仅在完成规则配置且实际流量命中时产生费用，其他情况不计费。

   • 计费单价：0.05元/次。

   • 结算方式：采用后付费模式，按天生成账单。

   • 账号提取：单击新增账号配置账号类型和账号位置。最多添加五个条件，条件之间为或关系。

     配置示例：若登录请求采用 GET 方法，且请求参数格式为 username=158***&password=***，请按以下方式进行配置：

     • 账号位置：选择 Query参数。

     • 参数名称：填写 username。

     配置完成后，WAF 即可准确提取该请求中的手机号信息，用于后续的安全匹配与检测。

   • 风险标签：单击新增标签进行配置，最多添加五个条件，条件之间为或关系。

     • 疑似小号：疑似第三方平台提供手机号，非个人用户。

     • 诈骗风险：疑似历史上存在欺诈行为。

     • 垃圾注册：疑似使用非法工具进行用户注册，用于后续的营销活动等。

     • 营销作弊：疑似使用非法工具参与营销活动，如批量注册领取优惠券等。

     • 黄牛账号：疑似使用非法工具参与抢票或其他秒杀类活动。

     风险等级默认均为高风险，支持配置高风险、中高风险、中风险，可根据业务需求自由选择。

   • 处置动作：

     配置项	说明
     观察	不拦截命中规则的请求，仅通过日志记录请求命中的情况。在试运行规则时，可以先通过观察模式分析WAF日志，以确认未产生误拦截，再将其调整为其他规则动作。
     JS验证（App防护不支持）	WAF向客户端返回一段JavaScript验证代码，标准浏览器将自动执行该代码。若客户端正常执行完成，则WAF在一段时间（默认30分钟）内放行该客户端的所有请求，否则拦截请求。
     滑块	WAF向客户端返回滑动验证页面。若客户端成功完成滑动验证，则WAF在一段时间（默认30分钟）内放行该客户端的所有请求，否则拦截请求。
     严格滑块	WAF向客户端返回滑动验证页面。若客户端成功完成滑动验证，则放行该请求；否则拦截请求。在此模式下，客户端每次命中该规则的请求均需进行滑动验证。
     拦截	拦截命中规则的请求，并向发起请求的客户端返回拦截响应页面。 说明 WAF默认使用统一的拦截响应页面，也可以通过自定义响应功能，自定义拦截响应页面。
     回源标记	表示客户可以自定义Header名称及内容（规则类型、规则ID、网页端UMID），WAF不会直接处理，而是会通过新增Header的方式将命中信息返回给源站，客户可以与后端风控系统结合做业务侧处理。

   • 规则灰度与生效模式：具体逻辑，请参见规则灰度与生效模式。

3. 在策略配置区域，系统基于阿里云经验沉淀的常见 Bot 特征库，将规则划分为恶意BOT、疑似BOT和友好BOT三类。针对目标规则，您可以执行以下操作：

   • 启用/禁用：单击状态列的图标，开启或关闭规则。

   • 修改规则：单击编辑按钮，对规则进行自定义调整。

   • 修改分类：对于恶意BOT与疑似BOT规则，若实际分类不符合业务需求，可以在Bot类型列中对其分类进行修改。

   重要

   • 误杀风险提示：以下部分规则存在误杀（误拦截）风险，不当的配置可能导致正常请求被拦截。建议在正式启用规则前，先将处置动作设置为观察，或结合规则灰度，优先在非生产环境进行测试，并根据实际业务特征进行调优后再上线。

   • CC类规则统计说明：所有CC计数类规则（如IP访问路径较少）在设定的统计时长内，一旦达到阈值即刻处置，不会等到统计时长结束。统计对象进入黑名单之后，若统计对象的请求继续触发规则，系统将持续计数并刷新其黑名单超时时间。

   1. 配置建议

      • 异常浏览器探针

        规则名称	误杀风险说明
        开发者工具、模拟器工具	低风险
        浏览器环境异常	低风险
        自动化工具、无头浏览器	低风险
        系统环境异常	低风险，对于部分使用 XP 操作系统的用户存在风险
        时间戳异常	中风险，对于打开网页超过 2 小时未刷新，并直接提交的请求，可能存在误杀
        WebSDK版本异常	低风险，对于手工集成 WebSDK 的老版本用户可能存在风险

      • 设备伪造

        规则名称	误杀风险说明
        设备硬件信息伪造、浏览器属性伪造、操作系统与环境伪造	低风险
        采集信息伪造、网络与地理位置伪造	低风险，WAF前置七层代理（如CDN、高防）但未启用代理配置，可能出现源IP识别不准导致的误杀

      • 爬虫客户端

        规则名称	误杀风险说明
        Python工具流量	低风险
        爬虫工具流量	低风险

      • 操作行为异常

        规则名称	误杀风险说明
        所有规则	中风险，可能误杀鼠标灵敏度过低的用户

      • 脚本客户端

        规则名称	误杀风险说明
        所有规则	低风险，需要根据业务情况判断，例如Native APP 环境不能开启Okhttp工具流量规则；使用flutter构建业务关联时，不能开启Dart工具流量规则

      • IDC机房

        规则名称	误杀风险说明
        所有规则	中风险，对于支付回调接口，阿里云无影访问，WAF前置七层代理但未启用代理配置场景，可能误杀

      • 威胁情报

        规则名称	误杀风险说明
        伪造搜索引擎蜘蛛	低风险
        爬虫威胁情报IP库、爬虫威胁情报指纹库	中风险，对于公共出口网络（如小区宽带、公司）或WAF前置七层代理但未启用代理配置场景，可能出现源IP识别错误导致误杀，建议将处置动作设为滑块或JS校验

      • AI智能防护

        规则名称	误杀风险说明
        路径序列异常、设备异常、恶意团伙行为、资源分布异常、时序异常	中风险，对于公共出口网络（如小区宽带、公司）或WAF前置七层代理但未启用代理配置场景，可能出现源IP识别错误导致误杀，建议将处置动作设为滑块或JS校验
        会话异常	高风险，对于公共出口网络（如小区宽带、公司）或WAF前置七层代理但未启用代理配置场景，可能出现源IP识别错误导致误杀，建议将处置动作设为滑块或JS校验

      • 访问行为异常

        规则名称	误杀风险说明
        持续性无采集信息访问、持续性无Session访问	低风险，必须集成 WebSDK，否则不携带采集信息
        交互轨迹批量重放	低风险
        同一Session关联IP频繁变化、同一设备关联IP频繁变化	低风险
        IP访问路径较少、IP访问路径较多、客户端种类频繁变化、同一IP关联UA频繁变化	中风险，对于公共出口网络（如小区宽带、公司）或WAF前置七层代理但未启用代理配置场景，可能出现源IP识别错误导致误杀，建议将处置动作设为滑块或JS校验

      • 搜索引擎爬虫客户端

        规则名称	误杀风险说明
        所有规则	建议保持默认配置，放行请求

   2. 编辑规则处置动作

      配置项	说明
      JS验证	WAF向客户端返回一段JavaScript验证代码，标准浏览器将自动执行该代码。若客户端正常执行完成，则WAF在一段时间（默认30分钟）内放行该客户端的所有请求，否则拦截请求。
      拦截	拦截命中规则的请求，并向发起请求的客户端返回拦截响应页面。 说明 WAF默认使用统一的拦截响应页面，也可以通过自定义响应功能，自定义拦截响应页面。
      观察	不拦截命中规则的请求，仅通过日志记录请求命中的情况。在试运行规则时，可以先通过观察模式分析WAF日志，以确认未产生误拦截，再将其调整为其他规则动作。
      滑块	WAF向客户端返回滑动验证页面。若客户端成功完成滑动验证，则WAF在一段时间（默认30分钟）内放行该客户端的所有请求，否则拦截请求。
      严格滑块	WAF向客户端返回滑动验证页面。若客户端成功完成滑动验证，则放行该请求；否则拦截请求。在此模式下，客户端每次命中该规则的请求均需进行滑动验证。
      回源标记	表示客户可以自定义Header名称及内容（规则类型、规则ID、网页端UMID），WAF不会直接处理，而是会通过新增Header的方式将命中信息返回给源站，客户可以与后端风控系统结合做业务侧处理。

      说明

      启用JS验证或滑块后，客户端通过验证时，WAF将在响应头中通过Set-Cookie 设置名为acw_sc__v2（JS验证）或 acw_sc__v3（滑块验证）的 Cookie。客户端在后续请求中会在 Cookie 头中携带该标识。

   3. 编辑规则灰度与生效模式。

步骤三：选择生效范围

在生效对象区域，选中需要应用的防护对象或防护对象组，单击图标，将该防护对象或防护对象组移入已选择区域内，单击确定。

日常运维

• 编辑模板

  单击目标模板操作列的编辑，在编辑模板面板中对模板进行编辑。

• 删除模板

  单击目标模板操作列的删除，在删除对话框中确认删除信息后单击确认。

• 复制模板

  单击目标模板操作列的复制，在复制对话框中确认复制信息后单击确认。

• 开启或关闭模板

  新建的模板默认开启，单击目标模板模板开关列的开关，可开启或关闭该模板。

• 查看规则

  单击目标模板的图标，查看该模板的规则信息，单击目标规则状态列的开关，可开启或关闭对应规则。针对已启用的规则，可查看其命中趋势。若规则动作类型为JS验证、滑块或严格滑块，还可查看人机校验通过率。

常见问题