Web应用防火墙
Web应用防火墙
文档指南
请输入
- 文档首页
Web应用防火墙用户指南防护策略配置防护策略Bot 管理基于单个请求的 Bot 防护配置 Bot 管理策略
复制全文
下载 pdf配置 Bot 管理策略
文档反馈
问问助手Bot 管理帮助您策略监控或限制常见自动化工具的流量，例如搜索引擎、测速工具、内容聚合、扫描工具等，支持使用托管 Bot 管理规则或自定义 Bot 管理规则。您还可以配置频率限制和统计防护规则，以防止满足统计特征的恶意访问行为。此外，WAF 还能基于已经发现和确认的 API 请求，智能生成行为地图，帮助您分析和管理风险 API。
注意事项
- Bot 智能管理（包括 Bot 频率限制、Bot 统计防护规则和 Bot 行为地图）当前仅面向企业版及以上版本开放，且开启后需支付对应的功能启用费、QPS 包附加费和弹性 QPS 附加费。详细的计费说明请参考附加功能。
- 如果您配置 Bot 管理策略后，发现业务存在较明显的延迟，可以参考响应数据检测延迟说明了解具体原因和解决方案。
前提条件
配置托管 Bot 分类规则
托管 Bot 分类即按照系统默认的 Bot 类型设置执行动作和规则开关，实现对不同 Bot 的流量管控。
- 登录Web应用防火墙控制台。
- 在左侧导航选择防护策略>Bot管理>规则防护。
- 在托管 Bot 分类规则页签下，开启待防护域名的托管 Bot 分类规则功能。
- 选择需要添加策略的域名。
- （可选）确认当前域名的防护模式为“启用防护”，否则需要单击更改防护模式修改。
- 开启策略启用开关。
-
- 在托管 Bot 列表中设置 Bot 托管配置。
- 设置执行动作。
- 观察：放行请求流量，但会将请求行为上报至攻击日志。
- 拦截：拦截请求流量，将请求行为上报至攻击日志。如果配置了自定义拦截响应页面，WAF 会将配置的拦截响应页面信息返回给客户端。
- JS 挑战：通过 JS-SDK 验证客户端 JavaScript 执行能力，如果验证通过则在指定时间内放行。
- 人机验证：通过验证码进行人机验证，如果验证通过则放行，防止误封。
- 工作量证明：通过 JS-SDK 要求客户端计算并提交结果，如果验证通过则在指定时间内放行。
注意
人机验证、JS 挑战和工作量证明动作配置，仅支持基于 HTML 和 JavaScript 构建的网站应用，不适用于原生 App、小程序平台和服务器间API通信。请确保您的网站应用在使用范畴内。
- 放行：直接放行满足条件的请求流量。
- 开启或关闭单条规则开关。
- 开启：该类型 Bot 流量将被执行对应动作。
- 关闭：该类型 Bot 流量将被放行。
-
配置自定义 Bot 分类规则
按照请求中的协议特征，如请求方法和请求路径等，对自定义 Bot 进行管理。
- 登录Web应用防火墙控制台。
- 在顶部菜单栏选择实例所属地域。
- 在左侧导航选择防护策略>Bot管理>规则防护。
- 在自定义 Bot 分类规则页签下，开启待防护域名的自定义分类规则功能。
- 选择需要添加策略的域名。
- （可选）确认当前域名的防护模式为“启用防护”，否则需要单击更改防护模式修改。
- 开启策略启用开关。
-
- 单击添加规则，配置自定义 Bot 管理规则参数。
-
- 单击确定，完成规则配置。
- 配置完成后，可在自定义 Bot 分类规则列表查看规则信息，并进行规则关闭/开启、编辑和删除操作。
配置频率限制规则
Bot 频率限制规则用于限制特定条件下的流量访问频率。在统计时间内，每个统计对象的访问次数和总访问次数达到设定阈值后，对满足请求特征的请求执行流量限速、拦截或其他动作。
- 登录Web应用防火墙控制台。
- 在顶部菜单栏选择实例所属地域。
- 在左侧导航选择防护策略>Bot管理>规则防护。
- 在频率限制规则页签下，开启待防护域名的频率限制规则功能。
- 选择需要添加策略的域名。
- （可选）确认当前域名的防护模式为“启用防护”，否则需要单击更改防护模式修改。
- 开启策略启用开关。
-
- 单击添加规则，配置频率限制规则参数。
- 参数说明配置示例基本特征规则名称防护规则名称。说明
- 以中文、字母、数字开头。
- 允许字母、数字、中文、点“.”、下划线“_”和短横线“-”。
- 长度为 1-128 个字符。
Bot 防护_1规则条件特征描述- 请求路径：填写需要防护的网站路径，可以是具体的某个页面路径，也可以是整个网站下的所有路径。
- 匹配具体路径：某个具体的页面路径，例如需要拦截对test.com/test.html的访问，则直接填写域名后的路径信息/test.html即可。
- 匹配目录下全部路径：使用*可以匹配全部路径，且*需在路径末尾。
- 匹配整个网站下的所有路径，则填写/*即可。
- 匹配某个目录下的全部路径，则在对应目录路径下使用*即可。例如/test/*，表示匹配/test/目录下的全部路径。
注意/test/*/abc.html和/test/*都表示匹配/test/目录下的全部路径。- 添加条件：设置其他匹配字段、逻辑符和匹配内容。匹配字段和逻辑符相关说明请参考高级条件配置说明。
- 请求路径与添加条件之间为且的关系，即当请求路径和添加条件都满足，方可触发规则。
- 多请求路径匹配：如需规则对多个请求路径生效，请先配置主请求路径为目录下的全部路径，再添加匹配字段为请求路径的条件。例如需要配置/test/123.html和/test/abc.jpg，则可参考如下操作：
- 将请求路径设置为/test/*。
- 增加 2 条条件：
- 条件 1：请求路径等于/test/123.html
- 条件 2：请求路径等于/test/abc.jpg
- 两者条件关系设置为或。
/test.html统计对象选择需要进行规则匹配的统计对象并填写配置信息。支持自定义 header、自定义 cookie、自定义参数及源 IP 四种类型。说明如需将 cookie 中的字段作为统计对象，需要选择自定义 cookie并配置字段信息。暂不支持将 cookie 整段作为统计对象。- 自定义 header：填写 header，每个单词的首字母都需要大写，如 User-Agent，Cookie，X-Forwarded-For。
- 自定义 cookie：支持填写英文、数字、下划线“_”和短横线“-”。
- 自定义参数：支持填写英文、数字、下划线“_”和短横线“-”。
- 源 IP：以单个访问 IP 为统计对象。
自定义 Header：User- Agent统计内容访问频率：每对象在统计时长内发起请求的次数，及对每个请求路径发起请求的次数。统计对象发起请求的次数和请求路径访问总次数超过设定阈值时，系统会根据预设的执行动作处理该统计对象的请求。60秒内，每对象访问超100次，且请求路径访问超1000次执行动作- 观察：放行请求流量，但会将请求行为上报至攻击日志。
- 限速：对该请求进行访问速率限制。
说明- 例如设定在统计时长 60 秒内，每源 IP 访问次数上限为 1000 次，且访问总次数为 10000 次时执行限速动作。则在 60 秒内，某个源 IP 访问达到 1000 次且该路径总访问次数达到 10000 次后，后续所有请求将被拦截。
- 为避免影响您的业务，请谨慎设置限速条件。
- 拦截：拦截请求流量，将请求行为上报至攻击日志。如果配置了自定义拦截响应页面，WAF 会将配置的拦截响应页面信息返回给客户端。
- JS 挑战：通过 JS-SDK 验证客户端 JavaScript 执行能力，如果验证通过则在指定时间内放行。
- 人机验证：通过验证码进行人机验证，如果验证通过则放行，防止误封。
- 工作量证明：通过 JS-SDK 要求客户端计算并提交结果，如果验证通过则在指定时间内放行。
注意人机验证、JS 挑战和工作量证明动作配置，仅支持基于 HTML 和 JavaScript 构建的网站应用，不适用于原生 App、小程序平台和服务器间API通信。请确保您的网站应用在使用范畴内。- 丢弃：丢弃请求流量，将请求行为上报至攻击日志。
人机验证成功后60秒内不再命中该动作限制时长执行动作的生效时长。180生效配置优先级规则匹配的优先级，P0 优先级最高，P9 优先级最低。同一请求特征下的规则优先级不可重复。P0规则开关开启或关闭当前规则，默认为开启状态。开启
- 单击确定，完成规则配置。
- 配置完成后，可在频率限制规则列表查看规则信息，并进行规则关闭/开启、编辑和删除操作。
配置统计防护规则
Bot 统计防护规则用于统计满足请求特征的统计对象在特定时间内的 IP 重复次数或 IP 重复占比，当统计内容达到设定阈值后，对满足请求特征的请求执行观察、拦截、人机验证或其他动作。
- 登录Web应用防火墙控制台。
- 在顶部菜单栏选择实例所属地域。
- 在左侧导航选择防护策略>Bot管理>规则防护。
- 在统计防护规则页签下，开启待防护域名的统计防护规则功能。
- 选择需要添加策略的域名。
- （可选）确认当前域名的防护模式为“启用防护”，否则需要单击更改防护模式修改。
- 开启策略启用开关。
-
- 单击添加规则，配置统计防护规则参数。
- 参数说明配置示例基本信息规则名称防护规则名称。说明
- 以中文、字母、数字开头。
- 允许字母、数字、中文、点“.”、下划线“_”和短横线“-”。
- 长度为 1-128 个字符。
Bot 防护_1规则条件特征描述- 请求路径：填写需要防护的网站路径，可以是具体的某个页面路径，也可以是整个网站下的所有路径。
- 匹配具体路径：某个具体的页面路径，例如需要拦截对test.com/test.html的访问，则直接填写域名后的路径信息/test.html即可。
- 匹配目录下全部路径：使用*可以匹配全部路径，且*需在路径末尾。
- 匹配整个网站下的所有路径，则填写/*即可。
- 匹配某个目录下的全部路径，则在对应目录路径下使用*即可。例如/test/*，表示匹配/test/目录下的全部路径。
注意/test/*/abc.html和/test/*都表示匹配/test/目录下的全部路径。- 添加条件：设置其他匹配字段、逻辑符和匹配内容。匹配字段和逻辑符相关说明请参考高级条件配置说明。
- 请求路径与添加条件之间为且的关系，即当请求路径和添加条件都满足，方可触发规则。
- 多请求路径匹配：如需规则对多个请求路径生效，请先配置主请求路径为目录下的全部路径，再添加匹配字段为请求路径的条件。例如需要配置/test/123.html和/test/abc.jpg，则可参考如下操作：
- 将请求路径设置为/test/*。
- 增加 2 条条件：
- 条件 1：请求路径等于/test/123.html
- 条件 2：请求路径等于/test/abc.jpg
- 两者条件关系设置为或。
/test.html统计对象选择需要进行规则匹配的统计对象并填写配置信息。支持自定义 header、自定义 cookie、自定义参数及源 IP 四种类型。说明如需将 cookie 中的字段作为统计对象，需要选择自定义 cookie并配置字段信息。暂不支持将 cookie 整段作为统计对象。- 自定义 header：填写 header，每个单词的首字母都需要大写，如 User-Agent，Cookie，X-Forwarded-For。
- 自定义 cookie：支持填写英文、数字、下划线“_”和短横线“-”。
- 自定义参数：支持填写英文、数字、下划线“_”和短横线“-”。
- 源 IP：以单个访问 IP 为统计对象。
自定义 Header：User- Agent统计内容- 重复次数：在统计时长内发起的请求中，存在相同统计对象的 IP 个数，例如 User-Agent 相同的来源 IP 数量。
- 重复占比：在统计时长内发起的请求中，存在相同统计对象的 IP 个数占所有来源 IP 个数的百分比，且数量大于指定值。
重复占比：60秒内，每对象中值相同的 IP 占比超过50%，且数量大于20个执行动作- 观察：放行请求流量，但会将请求行为上报至攻击日志。
- 拦截：拦截请求流量，将请求行为上报至攻击日志。如果配置了自定义拦截响应页面，WAF 会将配置的拦截响应页面信息返回给客户端。
- 人机验证：通过验证码进行人机验证，如果验证通过则放行，防止误封。
- JS 挑战：通过 JS-SDK 验证客户端 JavaScript 执行能力，如果验证通过则在指定时间内放行。
- 工作量证明：通过 JS-SDK 要求客户端计算并提交结果，如果验证通过则在指定时间内放行。
注意人机验证、JS 挑战和工作量证明动作配置，仅支持基于 HTML 和 JavaScript 构建的网站应用，不适用于原生 App、小程序平台和服务器间API通信。请确保您的网站应用在使用范畴内。- 丢弃：丢弃请求流量，将请求行为上报至攻击日志。
限制时长执行动作的生效时长。180生效配置优先级规则匹配的优先级，P0 优先级最高，P9 优先级最低。同一请求特征下的规则优先级不可重复。P0规则开关开启或关闭当前规则，默认为开启状态。开启
- 单击确定，完成规则配置。
- 配置完成后，可在统计防护规则列表查看规则信息，并进行规则关闭/开启、编辑和删除操作。
开启行为地图
Bot 行为地图是指 WAF 基于域名维度，对已发现和已确认的 API 访问行为及对应流量进行智能跟踪和分析，并提供可视化队列图。您可以设置队列的默认处置动作，即为队列中的 API 请求行为执行观察、拦截、JS 挑战或人机验证动作。
操作步骤
- 登录Web应用防火墙控制台。
- 在顶部菜单栏选择实例所属地域。
- 在左侧导航选择防护策略>Bot管理>规则防护。
- 在行为地图页签下，开启待防护域名的行为地图策略。
- 选择需要添加策略的域名。
- （可选）确认当前域名的防护模式为“启用防护”，否则需要单击更改防护模式修改。
- 开启策略启用开关。
-
- 为行为地图策略设置动作。
- 观察：放行请求流量，但会将请求行为上报至攻击日志。
- 拦截：拦截请求流量，将请求行为上报至攻击日志。如果配置了自定义拦截响应页面，WAF 会将配置的拦截响应页面信息返回给客户端。
- 人机验证：通过验证码进行人机验证，如果验证通过则放行，防止误封。
- JS 挑战：通过 JS-SDK 验证客户端 JavaScript 执行能力，如果验证通过则放行。
行为地图使用说明
WAF 基于智能发现功能进行流量分析和学习，生成对应域名下的 API 访问队列中，并按访问顺序绘制出链路图。
- ①：单击行为地图左侧列表中的行为队列名称，可查看该行为队列的 ID、命中次数、异常行为数量、API 请求路径信息等。支持基于行为队列设置处置动作和限制时长。例如，当用户活动序列满足图中所示队列时，设置人机验证动作，生效时间为 60 秒，限制时长为 120 秒。即验证通过后 60 秒内允许继续访问，超过 60 秒继续接受检测；未通过则 120 秒后才可访问。
- ②：单击行为地图左侧列表中的行为队列名称时，右侧会显示对应的队列图，包括被访问的域名及 API 对应节点。
- ③：单击队列图中的节点可查看 API 请求路径和该节点关联的队列。
最近更新时间：2026.03.12 21:58:07
这个页面对您有帮助吗？
有用
有用
无用
无用