Beyond‘s blog博客

2024.06.07 IT/Web技术

【SaaS】Alibaba Cloud WAF功能【安全】

本次，我们将介绍由Alibaba Cloud提供的WAF服务（Alibaba Cloud WAF）的特点与功能。

* 信息截至2021年9月

1 Alibaba Cloud安全历程
2 Alibaba Cloud WAF服务概览
- 2.1 Alibaba Cloud WAF的主要特性
3 Alibaba Cloud WAF功能（按版本划分）
4 总结
- 4.1 相关服务

Alibaba Cloud安全历程

Alibaba Cloud致力于开发各种安全产品，以保护Alibaba Cloud免受各类外部网络攻击。

作为其中的安全产品之一，Alibaba Cloud WAF（Web Application Firewall）是基于Alibaba Cloud 10年以上的安全经验开发而成的互联网攻击防御安全服务，并具备利用大数据功能的高级防御机制。

Alibaba Cloud WAF服务概览

Alibaba Cloud WAF不仅适用于阿里云平台，针对本地环境、VPS（虚拟专用服务器）以及其他云平台的基础设施环境，仅需切换DNS即可完成接入。

因此，其部署过程完全不受底层基础设施环境的限制。

Alibaba Cloud WAF的主要特性

项目	特性	概要
Web应用防护	0 day攻击防御	通过在24小时内动态更新防御规则，能够快速应对并化解安全风险。
	Web网站防护	利用DNS实现流量牵引，使网站免受入侵者的直接攻击，确保站点安全。
	OWASP攻击防御	提供多种防御策略与隔离功能，能够精准识别并防御SQL注入等各类已知攻击。
网站访问控制	添加HTTPS功能	仅需上传私钥文件，即可轻松为网站快速部署HTTPS加密功能。
网站访问控制	访问控制	通过多层防护机制，识别并拦截入侵者为渗透而进行的站点信息收集行为。
高精度流量分析	精准恶意访问判定	准确识别Bot（机器人）等恶意访问，并在实施拦截时进行多维度的综合评估。
高精度流量分析	自定义策略	支持根据实际业务需求，灵活地修改、调整并即时应用防御规则。

Alibaba Cloud WAF功能（按版本划分）

Alibaba Cloud WAF根据处理能力、防护功能及应用场景的不同，提供了四个版本供用户选择。

例如，您可以先从高级版（Pro Edition）轻量起步，后续随着Web访问量的增长平滑升级版本，从而根据业务需求和实际情况实现灵活的横向扩展。

项目	概要	高级版（Pro Edition）	企业版（Business Edition）	旗舰版（Enterprise Edition）	Exclusive Edition (submit tickets to purchase)
峰值请求率	–	2,000 QPS	5,000 QPS	10,000 QPS 以上	5,000 QPS
最大带宽	源站服务器部署在Alibaba Cloud上时	50 Mbit / 秒	100 Mbit / 秒	200 Mbit / 秒	100 Mbit / 秒
最大带宽	源站服务器未部署在Alibaba Cloud上时	10 Mbit / 秒	30 Mbit / 秒	50 Mbit / 秒	30 Mbit / 秒
标准支持的最大域名数	–	1	1	1	1,000
标准支持的最大子域名数	支持通配符域名	10	10	10	1,000
HTTPS防护	仅需几次点击即可实现	〇	〇	〇	〇
HTTP/2防护	保护使用HTTP/2的网站	×	〇	〇	〇
非标端口防护	保护80、8080、443、8443以外的端口	×	〇	〇	〇
智能负载均衡	多SLB接入、自动容灾、低延迟路由	〇	〇	〇	〇
独享IP地址	为特定域名提供独享IP	〇	〇	〇	〇
独享集群	防御SQL注入和XSS攻击	×	×	×	〇
防护规则引擎	防御常见的Web攻击	〇	〇	〇	〇
Web 0-day漏洞防护	规则自动更新	〇	〇	〇	〇
自定义防护规则组	自定义防护规则组	×	〇	〇	〇
大数据深度学习引擎	检测Web 0-day漏洞	×	〇	〇	〇
白名单安全模型	基于流量学习的主动防御	×	×	〇	〇
网站防篡改	通过网页锁定防止篡改	〇	〇	〇	〇
数据防泄露	防止个人信息（身份证、手机号等）泄露	〇	〇	〇	〇
HTTP Flood防护	预防/紧急模式下的攻击防御	〇	〇	〇	〇
黑名单（IP / CIDR）	拦截来自特定IP / CIDR的访问	〇	〇	〇	〇
扫描防护	Web攻击与扫描工具的协同防御	〇	〇	〇	〇
扫描防护（自定义规则）	针对高频攻击及路径遍历的自定义拦截	×	〇	〇	〇
自定义防护策略（基础字段）	基于IP、URL、Referer、User-Agent、参数的ACL控制	〇	〇	〇	〇
自定义防护策略（扩展字段）	基于Cookie、Content-Type、Header、HTTP-Method的ACL控制	×	〇	〇	〇
频率限制（IP / 会话）	自定义带有匹配条件的HTTP Flood防护规则	×	〇	〇	〇
频率限制（IP / 会话 / 自定义字段）	更高级的频率限制策略	×	×	〇	〇
数据风险管理	保护注册、登录、论坛等重要业务	〇	〇	〇	〇
合法爬虫白名单	允许百度、必应、谷歌等合法爬虫访问	〇	〇	〇	〇
Bot威胁情报	提供恶意爬虫、数据中心IP等防御情报	〇	〇	〇	〇
App防护	原生App安全连接与防 Bot	〇	〇	〇	〇
账号安全	防御撞库攻击、暴力破解、短信轰炸等	〇	〇	〇	〇
WAF日志服务	日志采集与存储、实时查询、在线报表	×	〇	〇	〇