创宇信用

非80端口

NS地址

别名

DNS解析

ICP备案

<ul>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">访问控制规则设置</div>
<ul class="auto-hide-last-sibling-br">
<li>IP 限制：
<ul class="auto-hide-last-sibling-br">
<li>确定可信任的 IP 范围，例如公司内部网络的 IP 段或者特定合作伙伴的 IP 地址。将这些 IP 地址添加到白名单中，允许它们自由访问网站的图片资源。对于其他未授权的 IP 地址，设置为默认禁止访问，或者需要经过进一步验证，如验证码验证或身份认证。</li>
<li>同时，对于已知的恶意 IP 地址（例如经常发起攻击的 IP），将其添加到黑名单中，阻止这些 IP 对图片资源的任何访问请求。</li>
</ul>
</li>
<li>基于用户角色的访问控制：
<ul class="auto-hide-last-sibling-br">
<li>如果网站有用户认证系统，可以根据用户角色来限制图片资源的访问。例如，对于普通注册用户，只允许他们访问公开的活动图片，如活动宣传海报；而对于高级会员或者管理员，他们可以访问包括未发布活动的图片、高分辨率的原始图片等更多资源。通过在 WAF 中检查用户的角色标识（如存储在会话中的用户角色标签）来实施这种访问控制。</li>
</ul>
</li>
<li>URL 路径限制：
<ul class="auto-hide-last-sibling-br">
<li>定义允许访问图片资源的 URL 路径规则。比如，网站的图片资源存储在 “/images/” 或 “/media/pictures/” 这样的目录下，在 WAF 中配置规则，只允许对这些合法的图片路径的访问请求通过。阻止任何试图访问可能包含敏感信息的目录（如 “/admin/confidential_images/”）的请求，除非是来自特定的授权用户或 IP。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">防止恶意文件上传和利用</div>
<ul class="auto-hide-last-sibling-br">
<li>文件类型检查：
<ul class="auto-hide-last-sibling-br">
<li>在 WAF 中设置规则，对上传到网站的文件进行严格的文件类型检查。对于图片资源，只允许常见的图片文件格式，如 JPEG、PNG、GIF 等通过。当有文件上传请求时，WAF 会检查文件的扩展名和文件头信息（MIME 类型），确保上传的确实是图片文件，而不是恶意脚本或其他可执行文件伪装成的图片。</li>
<li>对于文件扩展名和文件头信息不匹配的情况，例如文件扩展名是 “jpg”，但文件头信息显示为可执行文件类型，WAF 会拦截该上传请求，并记录相关信息，如上传来源 IP、用户账号等，以便进行后续调查。</li>
</ul>
</li>
<li>尺寸和内容检查：
<ul class="auto-hide-last-sibling-br">
<li>限制上传图片的尺寸大小。这可以防止攻击者通过上传超大文件来占用服务器资源或进行拒绝服务攻击。例如，设置最大上传图片尺寸为 10MB 或根据网站实际情况设定合理的值。</li>
<li>可以使用图像识别技术或简单的内容规则来检查图片内容。虽然这可能相对复杂，但对于一些高安全性要求的网站，可以防止包含恶意信息（如隐藏的恶意代码、非法广告等）的图片上传。例如，检查图片是否包含特定的恶意二维码或者违禁的文字内容。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">防止盗链</div>
<ul class="auto-hide-last-sibling-br">
<li>Referer 检查：
<ul class="auto-hide-last-sibling-br">
<li>启用 Referer 检查功能。Referer 是 HTTP 请求头中的一个字段，它指示了请求的来源。WAF 可以检查请求图片资源的 Referer 值，只允许来自网站自身域名或者特定授权域名的请求。例如，如果网站域名为 “<a class="link-ZNPgAX" href="https://example.com" target="_blank">example.com</a>”，可以设置 WAF 只允许 Referer 值为 “<a class="link-ZNPgAX" href="https://example.com" target="_blank">example.com</a>” 或者一些经过授权的合作伙伴域名（如 “partner &#8211; <a class="link-ZNPgAX" href="https://site.com" target="_blank">site.com</a>”）的请求访问图片资源。</li>
<li>对于没有 Referer 值或者 Referer 值来自未经授权域名的请求，WAF 可以采取多种方式处理，如直接拒绝访问、返回替代图片（如带有版权提示的低分辨率图片）或者重定向到错误页面。</li>
</ul>
</li>
<li>Token 验证（可选）：
<ul class="auto-hide-last-sibling-br">
<li>对于高价值的图片资源，可以考虑使用 Token 验证机制。当网站页面加载图片时，会在页面代码中生成并嵌入一个包含 Token 的请求参数。WAF 在处理图片资源访问请求时，会检查这个 Token 的有效性。只有带有有效 Token 的请求才能访问图片资源，这样可以有效防止盗链，因为其他未经授权的网站很难获取正确的 Token。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">应对 DDoS 和暴力攻击对图片资源的威胁</div>
<ul class="auto-hide-last-sibling-br">
<li>速率限制：
<ul class="auto-hide-last-sibling-br">
<li>设置针对图片资源访问的速率限制。例如，限制单个 IP 在一定时间内（如 1 分钟）对图片资源的访问次数。如果一个 IP 的访问次数超过设定的阈值，如 100 次 / 分钟，WAF 可以暂时阻止该 IP 的访问，或者要求进行验证码验证等额外的身份验证步骤，以防止 DDoS 攻击（分布式拒绝服务攻击）或者暴力攻击（如通过不断请求图片来寻找漏洞）。</li>
</ul>
</li>
<li>流量清洗（对于云 WAF 或高级 WAF 解决方案）：
<ul class="auto-hide-last-sibling-br">
<li>如果使用云 WAF 或具备流量清洗功能的高级 WAF，当检测到针对图片资源的 DDoS 攻击时，可以启动流量清洗功能。WAF 会自动识别并过滤掉恶意流量，只允许合法的流量访问图片资源。流量清洗通常是基于流量特征、请求频率、IP 信誉等多种因素综合判断的，能够有效地保护图片资源免受大规模攻击的影响。</li>
</ul>
</li>
</ul>
</li>
</ul>
&nbsp;

访问控制规则设置 IP 限制： 确定可信任的 IP 范围，例如公司内部网络的 IP 段或者特定合作伙伴的 IP [&#8230;]

如何利用 waf 保护网站的图片资源

<div class="message-box-content-wrapper-fgNGpz">
<div class="message-content message-box-content-xoCEoU receive-message-box-content-bNaFpa samantha-message-box-content-gWlptz" data-testid="message_content">
<div class="container-ZYIsnH flow-markdown-body theme-samantha-Nbr9UN" dir="ltr" data-testid="message_text_content" data-show-indicator="false">
<ol class="auto-hide-last-sibling-br">
<li>用户权限管理与访问控制结合 WAF 规则
<ul class="auto-hide-last-sibling-br">
<li>细粒度的权限划分：
<ul class="auto-hide-last-sibling-br">
<li>首先，对内部人员进行详细的角色划分。例如，在一个企业网站中，将员工分为普通员工、活动策划人员、系统管理员等不同角色。为每个角色分配精确的权限，如普通员工只能查看活动页面的基本信息，活动策划人员可以编辑活动详情，系统管理员可以进行更高级的配置操作。</li>
<li>根据这些权限，在 WAF 规则中设置访问控制。比如，对于活动页面的管理后台（如 “/events/admin/” 路径），只有具有 “活动策划人员” 及以上权限的用户才能访问。WAF 可以通过检查用户登录后的权限标识（如存储在会话中的角色标签）来验证请求是否来自有权限的用户。</li>
</ul>
</li>
<li>基于 IP 的访问限制（针对内部网络）：
<ul class="auto-hide-last-sibling-br">
<li>确定内部人员所在的 IP 地址范围。例如，公司内部网络的 IP 段是 192.168.1.0/24。在 WAF 中设置允许访问活动页面相关敏感功能（如活动数据修改、发布新活动等）的 IP 范围仅限于公司内部网络的这个 IP 段。这样，即使内部人员的账号密码被盗用，外部人员在尝试从其他 IP 访问这些敏感功能时也会被 WAF 拦截。</li>
</ul>
</li>
</ul>
</li>
<li>行为分析与异常检测
<ul class="auto-hide-last-sibling-br">
<li>建立正常行为基线：
<ul class="auto-hide-last-sibling-br">
<li>收集内部人员在正常情况下访问和操作活动页面的行为数据。包括访问的页面 URL、操作的类型（如查看、编辑、删除）、操作的时间和频率等。例如，活动策划人员小王通常在周一至周五的工作时间，每天会对正在筹备的活动页面进行 3 &#8211; 5 次编辑操作，访问的页面主要是 “/events/admin/[活动 ID]” 相关的页面。</li>
<li>根据这些数据，在 WAF 中建立正常行为的基线模型。可以通过机器学习算法或者简单的统计规则来实现。例如，设定一个统计规则，若同一用户在非工作时间（如凌晨 2 &#8211; 5 点）对活动页面进行超过 3 次的编辑操作，就视为异常行为。</li>
</ul>
</li>
<li>实时监测与告警：
<ul class="auto-hide-last-sibling-br">
<li>WAF 实时监测内部人员对活动页面的操作。当发现操作行为偏离正常行为基线时，立即发出告警。告警可以通过多种方式发送，如邮件通知安全管理员、在安全管理系统中生成警报事件等。例如，如果系统管理员小李在周末突然对所有活动页面进行批量删除操作，WAF 检测到这种异常行为后，会及时通知相关人员进行核实。</li>
</ul>
</li>
</ul>
</li>
<li>防止数据泄露的针对性措施
<ul class="auto-hide-last-sibling-br">
<li>数据访问规则：
<ul class="auto-hide-last-sibling-br">
<li>对于活动页面中包含的敏感数据（如用户报名信息、活动预算等），在 WAF 中设置严格的数据访问规则。规定只有具有特定权限（如数据管理员）的内部人员才能访问和下载这些数据。例如，当内部人员尝试访问活动报名用户的详细联系方式数据时，WAF 会检查该用户是否具有 “数据访问 &#8211; 报名信息” 权限，若无此权限，拦截该请求。</li>
<li>限制数据传输的方式和目的地。如果内部人员有权限下载活动数据，WAF 可以监控数据传输的协议和目标地址。例如，禁止将敏感数据通过非加密的 HTTP 协议传输到外部网络地址，只允许通过安全的 HTTPS 协议传输到经过授权的内部数据存储服务器。</li>
</ul>
</li>
<li>内容过滤与加密：
<ul class="auto-hide-last-sibling-br">
<li>在 WAF 中设置内容过滤规则，防止内部人员在活动页面的评论区、留言板等地方泄露敏感信息。例如，禁止包含公司机密关键词（如 “未发布的活动优惠码”“内部财务数据” 等）的内容发布。</li>
<li>对于活动页面传输的数据，强制使用加密技术。例如，要求所有包含活动数据的请求和响应都使用 SSL/TLS 加密。这样，即使内部人员试图截获数据，没有解密密钥也无法获取明文信息，从而降低数据泄露的风险。</li>
</ul>
</li>
</ul>
</li>
<li>审计与追溯机制
<ul class="auto-hide-last-sibling-br">
<li>操作记录审计：
<ul class="auto-hide-last-sibling-br">
<li>确保 WAF 能够完整记录内部人员对活动页面的每一次操作。记录内容包括操作时间、操作人（通过账号或 IP 等标识）、操作类型、操作的 URL 和参数等。例如，当内部人员小赵修改了一个活动的开始时间，WAF 会记录下小赵的账号、修改时间、修改的具体活动页面 URL 和新的开始时间参数等信息。</li>
<li>定期审计这些操作记录。可以通过自动化的审计工具或者人工审计的方式进行。在审计过程中，查找可能存在的恶意操作迹象，如频繁尝试访问未授权的资源、对数据进行异常修改等。</li>
</ul>
</li>
<li>追溯与问责：
<ul class="auto-hide-last-sibling-br">
<li>当发现恶意操作后，利用 WAF 记录的操作信息进行追溯。通过分析操作记录，确定恶意操作的源头（如具体的内部人员账号或被入侵的终端）。例如，如果发现有大量活动数据被非法下载，通过 WAF 的操作记录，可以追溯到是哪个内部人员账号发起的请求，在哪个终端设备上进行的操作，从而进行问责和采取进一步的安全措施。</li>
</ul>
</li>
</ul>
</li>
</ol>
</div>
</div>
</div>
<div class="answer-action-bar-wEWc6C bottom-action-bar-wrapper-qtqrci large-space-b582O0 answer-action-bar" data-testid="message_action_bar"></div>

用户权限管理与访问控制结合 WAF 规则 细粒度的权限划分： 首先，对内部人员进行详细的角色划分。例如，在一个 [&#8230;]

如何利用 waf 防范内部人员的恶意操作

<div class="message-box-content-wrapper-fgNGpz">
<div class="message-content message-box-content-xoCEoU receive-message-box-content-bNaFpa samantha-message-box-content-gWlptz" data-testid="message_content">
<div class="container-ZYIsnH flow-markdown-body theme-samantha-Nbr9UN" dir="ltr" data-testid="message_text_content" data-show-indicator="false">
<ol class="auto-hide-last-sibling-br">
<li>理解 WAF 的工作原理
<ul class="auto-hide-last-sibling-br">
<li>WAF（Web Application Firewall）是一种位于 Web 应用程序与互联网之间的安全防护系统。它通过检查和过滤 HTTP/HTTPS 流量来保护网站免受各种网络攻击。其工作方式类似于传统的网络防火墙，但更专注于应用层的安全。WAF 会分析传入的请求，包括请求头、请求体、URL 等部分，根据预设的规则来判断请求是否合法。</li>
</ul>
</li>
<li>部署 WAF
<ul class="auto-hide-last-sibling-br">
<li>选择合适的 WAF 产品：
<ul class="auto-hide-last-sibling-br">
<li>市场上有多种 WAF 产品，包括基于硬件的、基于软件的和基于云服务的。例如，像 ModSecurity 是一款流行的开源软件 WAF，而云服务提供商如阿里云、腾讯云等也提供云 WAF 服务。在选择时，需要考虑网站的规模、流量、预算和技术能力等因素。如果是小型网站，云 WAF 可能是一个方便且成本效益高的选择；对于大型企业级网站，可能需要定制化的软件或硬件 WAF 解决方案。</li>
</ul>
</li>
<li>配置 WAF：
<ul class="auto-hide-last-sibling-br">
<li>基本设置：在部署 WAF 后，首先要进行基本的配置。这包括设置监听的端口（通常是 80 和 443 端口用于 HTTP 和 HTTPS），以及指定要保护的网站域名或 IP 地址。例如，如果网站域名为<a class="link-ZNPgAX" href="https://example.com" target="_blank">example.com</a>，要确保 WAF 正确地配置为保护该域名下的所有页面，包括活动页面。</li>
<li>规则引擎配置：WAF 的核心是其规则引擎。需要根据网站的实际情况和安全需求配置规则。可以从简单的通用规则开始，如阻止常见的恶意 IP 地址范围（如一些已知的僵尸网络 IP），禁止包含特定恶意字符串（如 SQL 注入常用的 “UNION SELECT”）的请求。</li>
</ul>
</li>
</ul>
</li>
<li>针对活动页面的规则定制
<ul class="auto-hide-last-sibling-br">
<li>URL 过滤规则：
<ul class="auto-hide-last-sibling-br">
<li>确定活动页面的 URL 模式。例如，如果活动页面的 URL 都在 “/events/” 路径下，如 “/events/concert &#8211; details” 或 “/events/seminar &#8211; registration”，可以在 WAF 规则中设置只允许访问以 “/events/” 开头的 URL，并且阻止对网站后台管理等敏感区域（如 “/admin/” 路径）的访问请求，防止攻击者通过活动页面找到后台入口。</li>
<li>对活动页面 URL 中的参数进行过滤。如果活动页面有查询参数，如 “/events?event_id=123” 中的 “event_id”，要确保参数的类型和范围是合理的。可以设置规则，要求 “event_id” 参数必须是数字，并且在已知的活动 ID 范围内，避免攻击者通过修改参数来获取未授权的信息。</li>
</ul>
</li>
<li>HTTP 请求方法规则：
<ul class="auto-hide-last-sibling-br">
<li>分析活动页面正常情况下使用的 HTTP 请求方法。通常，活动页面可能主要使用 GET 方法来加载页面内容和 POST 方法来提交用户参与活动的表单数据（如报名、投票等）。可以在 WAF 中设置规则，限制只允许 GET 和 POST 方法访问活动页面，禁止其他可能有风险的请求方法，如 PUT、DELETE 等，除非在特殊的维护场景下经过授权。</li>
</ul>
</li>
</ul>
</li>
<li>防止常见的攻击类型
<ul class="auto-hide-last-sibling-br">
<li>SQL 注入防护：
<ul class="auto-hide-last-sibling-br">
<li>活动页面如果涉及数据库交互（如查询活动详情、保存用户报名信息等），很容易受到 SQL 注入攻击。WAF 可以通过检查请求中的参数是否包含 SQL 注入的特征来进行防护。例如，当用户在活动搜索框中输入内容时，WAF 会检查输入的字符串是否包含 SQL 关键字（如 SELECT、INSERT、UPDATE、DELETE）和特殊字符（如单引号、双引号、分号等）的可疑组合。如果发现可疑情况，就拦截该请求。</li>
</ul>
</li>
<li>跨站脚本攻击（XSS）防护：
<ul class="auto-hide-last-sibling-br">
<li>活动页面往往有用户生成内容（如评论区、留言板等）。WAF 要防止 XSS 攻击，需要对用户输入进行过滤和转义。当用户提交评论时，WAF 会检查评论内容是否包含脚本标签（如&lt;script&gt;）或其他可能用于执行脚本的 HTML 标签（如&lt;iframe&gt;等）。如果有，就对这些标签进行转义或者直接阻止该评论提交，确保活动页面不会执行恶意脚本，保护其他用户的安全。</li>
</ul>
</li>
<li>文件包含漏洞防护：
<ul class="auto-hide-last-sibling-br">
<li>如果活动页面需要加载文件（如活动文档、图片等），WAF 要防止文件包含漏洞。它会检查请求中是否有试图访问服务器上不允许访问的文件的迹象。例如，阻止包含 “../”（目录遍历）这样的字符串的请求，防止攻击者通过构造特殊的文件路径来访问服务器的敏感文件，如配置文件或用户密码文件。</li>
</ul>
</li>
</ul>
</li>
<li>定期更新和监控 WAF
<ul class="auto-hide-last-sibling-br">
<li>规则更新：
<ul class="auto-hide-last-sibling-br">
<li>网络攻击手段不断演变，所以需要定期更新 WAF 的规则。WAF 供应商通常会发布规则更新，以应对新出现的攻击方式。例如，当发现一种新的 SQL 注入变种时，及时更新 WAF 规则可以确保网站的活动页面能够抵御这种新的威胁。</li>
</ul>
</li>
<li>性能监控：
<ul class="auto-hide-last-sibling-br">
<li>监控 WAF 的性能，确保它不会对网站的正常访问造成过大的延迟。如果 WAF 处理请求的时间过长，可能会导致用户体验下降。可以使用性能监控工具来检查 WAF 的处理速度、资源占用等情况。同时，也要监控 WAF 的误报率，即正常的请求被错误地拦截的情况。如果误报率过高，需要调整规则来降低误报。</li>
</ul>
</li>
<li>安全事件监控：
<ul class="auto-hide-last-sibling-br">
<li>持续监控 WAF 记录的安全事件。当 WAF 拦截到可疑请求时，要详细分析这些事件。例如，如果 WAF 多次拦截来自同一个 IP 地址的异常请求，可能需要进一步调查这个 IP 是否是攻击者，或者是否是因为网站的某个功能导致的正常用户的异常行为。根据安全事件的分析结果，可以进一步优化 WAF 的规则和防护策略。</li>
</ul>
</li>
</ul>
</li>
</ol>
</div>
</div>
</div>

理解 WAF 的工作原理 WAF（Web Application Firewall）是一种位于 Web 应用程 [&#8230;]

如何利用 waf 保护网站的活动页面

<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">一、防止恶意攻击</div>
<ol class="auto-hide-last-sibling-br">
<li>SQL 注入防护
<ul class="auto-hide-last-sibling-br">
<li>在人工智能应用接口与后端数据库交互的过程中，恶意攻击者可能会尝试通过 SQL 注入来获取敏感数据或者破坏数据库。WAF 能够分析接口接收到的请求，识别出其中可能包含的 SQL 注入攻击语句。例如，攻击者可能会在输入字段中输入类似 “&#8217; OR 1=1;&#8211;” 这样的内容，试图绕过身份验证或者获取所有数据库记录。WAF 会检查请求中的 SQL 语法结构和特殊字符组合，一旦发现可疑的注入尝试，就会阻止该请求，从而保护人工智能应用接口所依赖的数据库安全。</li>
</ul>
</li>
<li>跨站脚本攻击（XSS）防护
<ul class="auto-hide-last-sibling-br">
<li>当人工智能应用接口呈现用户输入或者生成动态内容时，就可能存在 XSS 攻击风险。例如，一个聊天机器人接口，如果没有适当的防护，攻击者可以注入恶意脚本（如 JavaScript）。比如，攻击者发送一个包含&lt;script&gt;alert (&#8216; 恶意脚本 &#8216;)&lt;/script&gt;这样的消息。WAF 可以检测请求和响应中的脚本标签、事件处理程序等恶意脚本元素，防止这些恶意脚本在用户浏览器中执行，从而保护用户的隐私和系统安全。</li>
</ul>
</li>
<li>防止恶意爬虫攻击
<ul class="auto-hide-last-sibling-br">
<li>一些人工智能应用接口可能包含有价值的信息，如语言模型的训练数据或者预测结果。恶意爬虫可能会过度频繁地访问接口来窃取数据或者影响服务的正常运行。WAF 可以通过识别请求的来源、频率等特征来区分正常用户和恶意爬虫。例如，设置一个规则，限制同一 IP 地址在单位时间内的请求次数，如果超过这个限制，就会暂时封禁该 IP 或者要求进行验证码验证，从而防止接口被恶意爬取。</li>
</ul>
</li>
</ol>
&nbsp;
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">二、流量管理与异常检测</div>
<ol class="auto-hide-last-sibling-br">
<li>流量控制
<ul class="auto-hide-last-sibling-br">
<li>当人工智能应用接口受到大量的并发请求时，可能会导致服务过载。WAF 可以对流量进行监测和控制，设置请求速率限制。例如，对于一个图像识别接口，限制每秒最多接收 100 个识别请求。这样可以确保接口在设计的负载范围内正常运行，防止因为流量过大而导致的系统崩溃或者性能下降，保障服务的可用性。</li>
</ul>
</li>
<li>异常流量检测
<ul class="auto-hide-last-sibling-br">
<li>有时候攻击者会发动 DDoS（分布式拒绝服务）攻击或者其他异常流量攻击来使人工智能应用接口不可用。WAF 可以通过分析流量模式来检测异常。比如，突然出现来自大量不同 IP 地址的相同请求，或者请求的大小、频率等参数与正常情况有很大差异。一旦检测到异常流量，WAF 可以采取措施，如将可疑流量引流到专门的清洗中心，或者直接阻止这些流量，从而保障接口的稳定运行。</li>
</ul>
</li>
</ol>
&nbsp;
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">三、数据保护与隐私增强</div>
<ol class="auto-hide-last-sibling-br">
<li>数据泄露防护
<ul class="auto-hide-last-sibling-br">
<li>人工智能应用接口可能会处理大量的敏感数据，如用户的个人信息、企业的商业机密等。WAF 可以监控接口传输的数据，防止数据泄露。例如，它可以检查请求和响应中的数据是否包含敏感信息（如身份证号码、银行卡号等），如果发现这些信息在不符合安全策略的情况下被传输（如未加密传输到不可信的外部域名），就会阻止该传输行为，确保数据的保密性。</li>
</ul>
</li>
<li>隐私增强技术支持
<ul class="auto-hide-last-sibling-br">
<li>随着隐私法规的日益严格，WAF 可以辅助人工智能应用接口遵守隐私规定。例如，通过支持加密通信协议（如 TLS/SSL），确保数据在传输过程中的安全性。同时，WAF 还可以帮助实现数据匿名化或者假名化技术，在接口传输数据时，对敏感的用户身份信息进行处理，使得数据在不影响人工智能应用功能的前提下，更好地保护用户隐私。</li>
</ul>
</li>
</ol>

一、防止恶意攻击 SQL 注入防护 在人工智能应用接口与后端数据库交互的过程中，恶意攻击者可能会尝试通过 SQ [&#8230;]

WAF 对人工智能应用接口的安全保障

<div class="message-box-content-wrapper-fgNGpz">
<div class="message-content message-box-content-xoCEoU receive-message-box-content-bNaFpa samantha-message-box-content-gWlptz" data-testid="message_content">
<div class="container-ZYIsnH flow-markdown-body theme-samantha-Nbr9UN" dir="ltr" data-testid="message_text_content" data-show-indicator="false">
<ol class="auto-hide-last-sibling-br">
<li>协议验证
<ul class="auto-hide-last-sibling-br">
<li>检查信令协议合规性：
<ul class="auto-hide-last-sibling-br">
<li>WebRTC 使用信令协议（如 SIP、JSEP 等）来建立、控制和拆除连接。WAF 需要验证信令消息是否符合相应协议标准。例如，对于 SIP 信令，检查请求消息（如 INVITE、ACK 等）的格式是否正确，包括头部字段的完整性和合法性。如果攻击者篡改信令消息头部，如修改<code>From</code>或<code>To</code>字段来进行中间人攻击，WAF 可以通过检查这些字段的合法性来发现异常。</li>
<li>确保信令消息中的媒体描述（如 SDP &#8211; 会话描述协议）部分符合规范。SDP 包含了关于音频和视频流的编码格式、传输地址等关键信息。WAF 可以检查 SDP 内容，防止攻击者在其中注入恶意的 IP 地址或编码格式，以避免非法的媒体流接入或数据泄露。例如，检查 SDP 中的<code>c =</code>（连接信息）字段，确保其中的 IP 地址是合法的、在预期范围内的地址。</li>
</ul>
</li>
<li>验证媒体流协议：
<ul class="auto-hide-last-sibling-br">
<li>WebRTC 的媒体流（音频和视频）基于 RTP/RTCP 协议传输。WAF 可以检查 RTP/RTCP 数据包的头部，验证其序列号、时间戳等字段的合法性。例如，检查 RTP 头部的序列号是否按照顺序递增，防止攻击者篡改序列号来扰乱媒体流的顺序或进行重放攻击。</li>
<li>确保 RTCP（实时传输控制协议）的反馈消息（如接收报告 RR、发送报告 SR 等）是真实和合法的。这些反馈消息用于控制媒体流的质量和传输速率。如果攻击者伪造 RTCP 反馈消息，可能会导致服务质量下降或资源浪费。WAF 可以通过分析 RTCP 消息的内容和发送频率来检测异常。</li>
</ul>
</li>
</ul>
</li>
<li>访问控制和身份验证
<ul class="auto-hide-last-sibling-br">
<li>限制 IP 访问范围：
<ul class="auto-hide-last-sibling-br">
<li>确定允许访问 WebRTC 应用的合法 IP 地址范围。WAF 可以根据网站的使用场景，如只允许来自特定地区、特定网络（如企业内部网）的 IP 地址访问 WebRTC 连接。例如，对于企业内部的视频会议 WebRTC 应用，只允许企业内部网络 IP 段的用户访问，通过 WAF 规则禁止来自外部未知 IP 地址的连接尝试。</li>
</ul>
</li>
<li>加强用户身份验证：
<ul class="auto-hide-last-sibling-br">
<li>与网站的身份验证系统集成，确保只有经过认证的用户能够建立 WebRTC 连接。可以采用多种身份验证方式，如用户名 / 密码、双因素认证等。例如，在用户登录到网站后，通过验证用户的会话令牌或 JWT（JSON Web Token）来确认其身份，只有身份验证通过的用户才能发起 WebRTC 连接请求。对于高安全需求的应用，还可以使用生物识别技术（如指纹识别、面部识别）作为辅助身份验证手段。</li>
</ul>
</li>
<li>验证信令服务器和 STUN/TURN 服务器的身份：
<ul class="auto-hide-last-sibling-br">
<li>在 WebRTC 连接过程中，信令服务器和 STUN/TURN 服务器起着关键作用。WAF 可以帮助验证这些服务器的身份，防止中间人攻击。例如，通过检查服务器证书的合法性（如是否由受信任的 CA 颁发）来确保连接到的是真正的服务器，而不是攻击者伪装的服务器。</li>
</ul>
</li>
</ul>
</li>
<li>防止常见攻击类型
<ul class="auto-hide-last-sibling-br">
<li>防范 DDoS 攻击：
<ul class="auto-hide-last-sibling-br">
<li>监测和限制 WebRTC 连接的请求速率。由于 WebRTC 连接涉及信令和媒体流，攻击者可能会发起大量的连接请求来耗尽服务器资源。WAF 可以设置规则，限制单位时间内（如每秒）允许的信令请求数量和媒体流连接数量。例如，规定每个 IP 地址每秒最多只能发起一个信令请求，对于超过此限制的请求，将其视为可疑并进行拦截或限流。</li>
<li>分析流量模式，识别 DDoS 攻击的特征。DDoS 攻击可能会导致流量异常，如突然出现大量来自同一 IP 段或不同 IP 段但具有相同攻击模式（如频繁发送相同的信令请求或异常的媒体流数据包）的流量。WAF 可以通过与流量分析工具合作，检测这些异常流量模式，并采取相应的防御措施，如将攻击流量引流到清洗中心。</li>
</ul>
</li>
<li>防御跨站脚本攻击（XSS）和跨站请求伪造（CSRF）：
<ul class="auto-hide-last-sibling-br">
<li>对于 WebRTC 应用的前端页面，WAF 可以检查 HTML、JavaScript 等代码，防止 XSS 攻击。例如，在信令代码部分，检查是否存在恶意注入的 JavaScript 代码，这些代码可能会窃取用户的信令信息或控制 WebRTC 连接。可以通过对代码进行静态和动态分析，过滤掉可能导致 XSS 攻击的标签和脚本。</li>
<li>防范 CSRF 攻击，确保 WebRTC 连接请求是由用户真实意愿发起的。WAF 可以检查请求的来源，验证是否带有合法的 CSRF 令牌。例如，在用户发起 WebRTC 连接请求时，检查请求头或请求参数中是否包含与用户会话相关的 CSRF 令牌，并且验证令牌的有效性，防止攻击者通过伪造请求来建立非法的 WebRTC 连接。</li>
</ul>
</li>
</ul>
</li>
<li>安全审计和监控
<ul class="auto-hide-last-sibling-br">
<li>记录连接活动：
<ul class="auto-hide-last-sibling-br">
<li>WAF 可以详细记录 WebRTC 连接相关的活动，包括信令消息的交换、媒体流的建立和拆除时间、IP 地址信息等。这些记录可以用于后续的安全审计，例如，当出现安全问题时，通过查看这些记录来追溯攻击路径和分析攻击行为。</li>
</ul>
</li>
<li>实时监控异常行为：
<ul class="auto-hide-last-sibling-br">
<li>设置实时监控指标，如信令消息错误率、媒体流中断频率、连接建立成功率等。当这些指标超出正常范围时，WAF 可以及时发出警报。例如，如果连接建立成功率突然从正常的 90% 以上下降到 30% 以下，这可能表明存在攻击活动，如攻击者在干扰信令过程或者进行拒绝服务攻击，WAF 可以触发警报并通知管理员进行进一步的调查。</li>
</ul>
</li>
</ul>
</li>
</ol>
</div>
</div>
</div>
<div class="answer-action-bar-wEWc6C bottom-action-bar-wrapper-qtqrci large-space-b582O0 answer-action-bar" data-testid="message_action_bar"></div>

协议验证 检查信令协议合规性： WebRTC 使用信令协议（如 SIP、JSEP 等）来建立、控制和拆除连接。 [&#8230;]

如何利用 waf 保护网站的 WebRTC 连接（如果有应用）

&nbsp;
<ul>
<li>协议合规性检查
<ul class="auto-hide-last-sibling-br">
<li>验证请求方法：
<ul class="auto-hide-last-sibling-br">
<li>Server &#8211; Sent Events 接口通常使用 HTTP GET 方法来建立连接并接收事件流。WAF 可以配置规则，只允许 GET 请求访问相关的 SSE 端点。例如，如果检测到有 POST、PUT 等其他非 GET 请求尝试访问 SSE 接口，就将其拦截。这是因为这些不符合 SSE 正常使用的请求方式很可能是攻击者在尝试利用接口的潜在漏洞进行攻击，比如试图通过 POST 请求注入恶意数据。</li>
</ul>
</li>
<li>检查 HTTP 头信息：
<ul class="auto-hide-last-sibling-br">
<li>对于 SSE 连接，<code>Content - Type</code>头应该是<code>text/event - stream</code>。WAF 要严格检查这个头信息，确保请求符合 SSE 协议规范。任何其他不匹配的值都可能表示恶意请求。例如，攻击者可能试图将<code>Content - Type</code>伪装成其他类型，如<code>application/json</code>，然后发送恶意的 JSON 数据来触发服务器端的漏洞，WAF 可以通过阻止这种不符合协议的请求来防范攻击。</li>
<li>同时，检查<code>Accept</code>头，确保客户端正确表明可以接受<code>text/event - stream</code>格式的数据。这有助于防止不兼容的客户端或恶意客户端与 SSE 接口进行不适当的交互。</li>
</ul>
</li>
<li>监测事件流格式：
<ul class="auto-hide-last-sibling-br">
<li>SSE 事件流是有特定格式的，数据是以<code>data:</code>开头的文本行。WAF 可以设置规则来监测事件流中的数据格式，例如，检查是否存在不符合 SSE 格式的特殊字符序列或标签。如果攻击者试图在事件流中注入 SQL 命令（如通过在数据中添加 SQL 语句，像<code>data: ; DROP TABLE users;</code>）或者跨站脚本攻击（XSS）代码（如<code>data: &lt;script&gt;malicious_script()&lt;/script&gt;</code>），WAF 可以识别并阻止这些不符合格式的内容。</li>
</ul>
</li>
</ul>
</li>
<li>速率限制和流量控制
<ul class="auto-hide-last-sibling-br">
<li>限制连接速率：
<ul class="auto-hide-last-sibling-br">
<li>为了防止攻击者通过大量并发连接淹没 SSE 接口，WAF 可以设置每秒或每分钟允许的最大连接数。例如，限制每个 IP 地址每秒只能建立一个 SSE 连接。这样可以有效避免分布式拒绝服务（DDoS）攻击的一种变体，即攻击者通过大量的连接请求耗尽服务器资源。</li>
</ul>
</li>
<li>控制数据传输速率：
<ul class="auto-hide-last-sibling-br">
<li>对于 SSE 接口传输的数据量也可以进行控制。WAF 可以设置规则，限制单位时间内（如每秒）传输的数据字节数。如果检测到某个连接的数据传输速率异常高，比如超出正常使用场景下数据量的数倍，就可以暂时中断该连接或者对其进行限速。这有助于防止攻击者利用 SSE 接口进行数据窃取或者通过大量数据传输来影响服务器性能。</li>
</ul>
</li>
</ul>
</li>
<li>异常行为检测
<ul class="auto-hide-last-sibling-br">
<li>监测连接行为：
<ul class="auto-hide-last-sibling-br">
<li>正常的 SSE 连接通常会保持一段时间的稳定连接状态，用于接收事件流。WAF 可以监测连接的持续时间、连接中断和重连的频率等行为。如果发现某个连接频繁地中断和重连，或者连接持续时间过短（如几毫秒内就断开）且反复进行这样的操作，这可能是攻击者在进行扫描或者尝试利用连接机制漏洞，WAF 可以将其标记为可疑行为并采取相应措施，如暂时禁止该 IP 的连接。</li>
</ul>
</li>
<li>检测数据模式异常：
<ul class="auto-hide-last-sibling-br">
<li>通过分析历史的 SSE 数据模式，WAF 可以建立一个正常的数据模式基线。当出现与基线差异较大的数据模式时，例如，数据中突然出现大量重复的特定字符序列（可能是攻击者在测试缓冲区溢出漏洞）或者数据内容与正常业务逻辑无关（如出现大量乱码或加密后的恶意数据），WAF 可以触发警报并进行进一步的检查或拦截。</li>
</ul>
</li>
</ul>
</li>
<li>与安全防护系统集成
<ul class="auto-hide-last-sibling-br">
<li>与入侵检测系统（IDS）合作：
<ul class="auto-hide-last-sibling-br">
<li>WAF 可以将检测到的关于 SSE 接口的可疑行为信息发送给 IDS。IDS 可以结合网络中其他设备和系统的信息，对这些可疑行为进行更全面的分析。例如，IDS 可以检查这些可疑行为是否与网络中其他部分正在进行的攻击活动相关联，如是否是更大规模攻击的一部分，攻击者是否正在通过 SSE 接口作为突破点，然后横向移动到其他系统。</li>
</ul>
</li>
<li>与反病毒软件集成：
<ul class="auto-hide-last-sibling-br">
<li>当 WAF 检测到可能包含恶意代码（如病毒、木马或其他恶意软件相关代码）的 SSE 数据传输时，它可以触发反病毒软件进行扫描。反病毒软件可以进一步分析数据中的恶意特征，确定是否存在已知的病毒签名或者恶意软件行为模式。例如，如果 SSE 数据中包含与某种新型勒索病毒相关的代码片段，反病毒软件可以及时发现并隔离相关连接，防止病毒进一步传播。</li>
</ul>
</li>
</ul>
</li>
</ul>
&nbsp;

&#160; 协议合规性检查 验证请求方法： Server &#8211; Sent Events 接口通常使 [&#8230;]

如何利用 waf 防范针对网站 Server – Sent Events 接口的攻击

一、CNAME接入方式介绍
CNAME接入是一种同时通过域名解析服务商和云防御DNS的双重域名解析方式，生效速度快，一般10-20分钟生效（具体生效时间由域名DNS解析商处配置的原TTL时间决定），此方式接入操作简单。特别是正在被攻击需要紧急接入的网站，推荐使用此方式接入。
⚠️  注意：知道创宇创宇盾、加速乐、抗D保等产品的CNAME域名，仅可以作为知道创宇云安全CDN的调度解析使用，对于恶意使用CNAME域名的行为，知道创宇有权清退对应的域名和账号。
二、添加域名入口
登陆后进入【域名管理】-【域名列表】-【添加域名】，也可通过 <a class="external-link" href="https://defense.yunaq.com/site/list/?f=s" rel="nofollow">https://defense.yunaq.com/site/list/</a>直接进入。
<img class="alignnone wp-image-8896 size-full" src="http://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231113955-1.jpg" alt="" width="1915" height="377" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231113955-1.jpg 1915w, https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231113955-1-300x59.jpg 300w, https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231113955-1-768x151.jpg 768w, https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231113955-1-1024x202.jpg 1024w, https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231113955-1-60x12.jpg 60w, https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231113955-1-150x30.jpg 150w" sizes="(max-width: 1915px) 100vw, 1915px" />
三、接入操作步骤
1、输入根域名，选择“CNAME方式接入”，点击【添加域名】。
<img class="alignnone wp-image-8898 size-full" src="http://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231133927.png" alt="" width="1897" height="572" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231133927.png 1897w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231133927-300x90.png 300w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231133927-768x232.png 768w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231133927-1024x309.png 1024w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231133927-60x18.png 60w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231133927-150x45.png 150w" sizes="(max-width: 1897px) 100vw, 1897px" />
⚠️  注意：未备案域名无法通过审核详见<a href="https://help.yunaq.com/faq/162/index.html">使用说明</a>
<img class="alignnone size-full wp-image-8902" src="http://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231135316.jpg" alt="" width="1913" height="612" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231135316.jpg 1913w, https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231135316-300x96.jpg 300w, https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231135316-768x246.jpg 768w, https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231135316-1024x328.jpg 1024w, https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231135316-60x19.jpg 60w, https://help.yunaq.com/wp-content/uploads/2024/12/微信截图_20241231135316-150x48.jpg 150w" sizes="(max-width: 1913px) 100vw, 1913px" />
2、点击【完成向导】，进入子域名列表。点击【添加子域名】进行配置，可按需选择单个添加或批量添加方式。
<img class="alignnone size-full wp-image-8901" src="http://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231134922.png" alt="" width="1905" height="293" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231134922.png 1905w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231134922-300x46.png 300w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231134922-768x118.png 768w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231134922-1024x157.png 1024w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231134922-60x9.png 60w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231134922-150x23.png 150w" sizes="(max-width: 1905px) 100vw, 1905px" />
<img class="alignnone size-full wp-image-8903" src="http://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231135457.png" alt="" width="1914" height="462" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231135457.png 1914w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231135457-300x72.png 300w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231135457-768x185.png 768w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231135457-1024x247.png 1024w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231135457-60x14.png 60w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231135457-150x36.png 150w" sizes="(max-width: 1914px) 100vw, 1914px" />
2.1.单个添加。
在添加子域名弹窗中，填写所需信息，若对所要填写的内容有疑问，可点击”？”查看相关帮助，添加完成后可以在列表右侧的【修改】中修改填写信息。
注：a.云防御平台支持泛域名接入，即在主机名处填写*；
b.若要添加根域名，主机名需填写@。
<img class=" wp-image-8904 aligncenter" src="http://help.yunaq.com/wp-content/uploads/2024/12/微信图片_20241231140444.png" alt="" width="720" height="614" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/微信图片_20241231140444.png 668w, https://help.yunaq.com/wp-content/uploads/2024/12/微信图片_20241231140444-300x256.png 300w, https://help.yunaq.com/wp-content/uploads/2024/12/微信图片_20241231140444-60x51.png 60w, https://help.yunaq.com/wp-content/uploads/2024/12/微信图片_20241231140444-150x128.png 150w" sizes="(max-width: 720px) 100vw, 720px" />
2.2. 批量添加。
点击【批量添加】按钮进入批量添加页面，点击【选择文件】导入（若已存在子域名配置，可将现有配置导出至本地进行补充后再上传），添加完成后点击【继续导入】，则回到第一步选择文件上传，点击【域名列表】则回到域名列表页面。
<img class="alignnone size-full wp-image-8905" src="http://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231140828.png" alt="" width="1897" height="358" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231140828.png 1897w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231140828-300x57.png 300w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231140828-768x145.png 768w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231140828-1024x193.png 1024w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231140828-60x11.png 60w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231140828-150x28.png 150w" sizes="(max-width: 1897px) 100vw, 1897px" />
3、域名验证。
域名添加完成后，点击【下一步，域名验证】。
<img class="alignnone size-full wp-image-8906" src="http://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141245.png" alt="" width="1914" height="504" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141245.png 1914w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141245-300x79.png 300w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141245-768x202.png 768w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141245-1024x270.png 1024w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141245-60x16.png 60w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141245-150x39.png 150w" sizes="(max-width: 1914px) 100vw, 1914px" />
域名归属验证有两种方法，分别是【挂标验证】和【TXT验证】，任选一种方式进行验证即可。知道创宇提供了两种挂标样式，可复制代码至目标网站，挂标完成后可激活域名。具体可参考<a href="https://help.yunaq.com/faq/8636/index.html">《挂标验证操作指南》</a>
添加挂标代码后，如因网络原因超时无法获取挂标验证，请选择TXT验证方式，可以在第二排文字中【查看修改图解】。
<img class="alignnone size-full wp-image-8907" src="http://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141437.png" alt="" width="1914" height="607" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141437.png 1914w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141437-300x95.png 300w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141437-768x244.png 768w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141437-1024x325.png 1024w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141437-60x19.png 60w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141437-150x48.png 150w" sizes="(max-width: 1914px) 100vw, 1914px" />
<img class="alignnone size-full wp-image-8908" src="http://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141829.png" alt="" width="1888" height="469" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141829.png 1888w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141829-300x75.png 300w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141829-768x191.png 768w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141829-1024x254.png 1024w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141829-60x15.png 60w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231141829-150x37.png 150w" sizes="(max-width: 1888px) 100vw, 1888px" />
4、修改DNS解析。
域名验证完成后点击【立即接入】完成域名接入，子域名列表中将显示CNAME别名地址用于修改解析记录。此时需登陆域名解析服务商管理页面将对应子域名通过CNAME方式解析到生成的别名地址。
腾讯云修改DNS解析可参考：<a href="https://help.yunaq.com/faq/2755/index.html">https://help.yunaq.com/faq/2755/index.html</a>
阿里云修改DNS解析可参考： <a href="https://help.yunaq.com/faq/2744/index.html">https://help.yunaq.com/faq/2744/</a><a href="https://help.yunaq.com/faq/2761/index.html">index.html</a>
其他厂商建议参考官方指导配置：【<a href="http://www.xinnet.com/service/cjwt/domain/guanli/1164.html">新华xinnet</a>】、【<a href="https://www.godaddy.com/zh-sg/help/add-a-cname-record-19236">Godaddy</a>】、【<a href="https://help.now.cn/domain/">时代互联</a>】、【<a href="https://www.22.cn/service_20.html">爱名网</a>】、【<a href="http://www.com.top/productfaq/post/90.html">中国数据</a>】、【<a href="https://help.zzy.cn/">中资源</a>】、【<a href="https://www.west.cn/customercenter/">西部数码</a>】、【<a href="https://www.bizcn.com/show/faq/index.do">商务中国</a>】、【<a href="https://help.ename.cn/">易名</a>】。
5、切换至云端模式即可试用免费版功能，验证域名是否接入成功可参考： <a href="https://help.yunaq.com/faq/2780/index.html">https://help.yunaq.com/faq/2780/</a>
<img class="alignnone size-full wp-image-8910" src="http://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231144454.png" alt="" width="1886" height="523" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231144454.png 1886w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231144454-300x83.png 300w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231144454-768x213.png 768w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231144454-1024x284.png 1024w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231144454-60x17.png 60w, https://help.yunaq.com/wp-content/uploads/2024/12/企业微信截图_20241231144454-150x42.png 150w" sizes="(max-width: 1886px) 100vw, 1886px" />
注：免费版功能参数如下图
<img class="alignnone size-full wp-image-8936" src="http://help.yunaq.com/wp-content/uploads/2024/12/QQ截图20250103144436.png" alt="" width="553" height="1396" srcset="https://help.yunaq.com/wp-content/uploads/2024/12/QQ截图20250103144436.png 553w, https://help.yunaq.com/wp-content/uploads/2024/12/QQ截图20250103144436-119x300.png 119w, https://help.yunaq.com/wp-content/uploads/2024/12/QQ截图20250103144436-406x1024.png 406w, https://help.yunaq.com/wp-content/uploads/2024/12/QQ截图20250103144436-24x60.png 24w, https://help.yunaq.com/wp-content/uploads/2024/12/QQ截图20250103144436-59x150.png 59w" sizes="(max-width: 553px) 100vw, 553px" />

一、CNAME接入方式介绍 CNAME接入是一种同时通过域名解析服务商和云防御DNS的双重域名解析方式，生效速 [&#8230;]

知道创宇云防御CNAME方式接入操作指导

&nbsp;
<ul>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">输入验证规则设置</div>
<ul class="auto-hide-last-sibling-br">
<li>数据格式检查
<ul class="auto-hide-last-sibling-br">
<li>对于订阅功能中的常见输入项，如电子邮件地址、手机号码等，WAF 应设置严格的数据格式验证规则。例如，通过正则表达式来验证电子邮件地址是否符合标准格式（如包含 “@” 符号和域名部分）。如果用户输入不符合预期的数据格式，WAF 可以直接拦截该请求，防止攻击者利用格式错误输入来绕过安全防护或注入恶意代码。</li>
<li>对于订阅数量、订阅期限等数字类型的输入，WAF 可以检查其范围是否合理。例如，订阅期限不能是负数，订阅数量应该在合理的业务范围内（如不超过某个最大订阅数限制）。</li>
</ul>
</li>
<li>长度限制
<ul class="auto-hide-last-sibling-br">
<li>对所有输入字段设置合理的长度限制。这可以防止攻击者输入过长的字符串，以避免缓冲区溢出攻击或隐藏恶意脚本。例如，将订阅用户姓名的长度限制在一定范围内（如不超过 50 个字符），对于评论或备注字段（如果订阅功能包含这些），也根据实际业务需求设置适当的长度限制，同时对超长的输入进行拦截。</li>
</ul>
</li>
<li>特殊字符过滤
<ul class="auto-hide-last-sibling-br">
<li>仔细审查并过滤可能用于攻击的特殊字符。对于 SQL 注入攻击，过滤掉单引号（&#8217;）、双引号（&#8221;）、分号（;）等 SQL 语句中常用的特殊字符，特别是在输入可能会用于数据库查询的字段中。对于 XSS 攻击，过滤掉<code>&lt;script&gt;</code>、<code>javascript:</code>等可能用于嵌入脚本的关键字符组合。不过，要注意不能过度过滤，以免影响正常用户的输入，例如，某些业务场景可能需要用户输入包含部分特殊字符的内容，此时需要根据具体情况进行区分。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">防止 SQL 注入攻击</div>
<ul class="auto-hide-last-sibling-br">
<li>查询参数化检查
<ul class="auto-hide-last-sibling-br">
<li>WAF 可以检查网站后端代码是否对订阅相关的数据库查询使用了参数化查询。在订阅过程中，如将用户的订阅信息插入数据库或根据订阅条件查询数据库时，参数化查询可以将用户输入与 SQL 语句的结构分离，防止攻击者将恶意 SQL 代码注入到查询中。如果 WAF 发现后端代码没有使用参数化查询，应该发出警告并考虑拦截相关请求，直到问题得到解决。</li>
<li>对于一些复杂的数据库操作，如存储过程调用，WAF 可以检查其参数传递是否安全。确保存储过程中的参数不会被外部输入恶意篡改，并且存储过程本身的代码不存在 SQL 注入漏洞。</li>
</ul>
</li>
<li>SQL 关键字检测与阻断
<ul class="auto-hide-last-sibling-br">
<li>配置 WAF 规则，使其能够识别并阻断包含 SQL 注入相关关键字（如 SELECT、INSERT、UPDATE、DELETE、UNION 等）的请求，特别是当这些关键字出现在不适当的位置时。但是，要注意区分合法的业务逻辑中使用这些关键字（如网站后台管理系统中的数据查询功能）和恶意注入的情况。可以结合请求的上下文，如请求的 URL 路径、提交的表单名称等来进行判断。</li>
</ul>
</li>
<li>数据库错误信息隐藏
<ul class="auto-hide-last-sibling-br">
<li>确保网站配置正确，不会将数据库错误信息直接暴露给用户。WAF 可以监控网站的响应内容，当发现有数据库错误信息（如包含 “SQL syntax error” 等字样）泄露时，及时进行拦截或提醒管理员进行修复。因为数据库错误信息可能会泄露数据库结构等敏感信息，被攻击者利用来进一步实施 SQL 注入攻击。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">防范 XSS 攻击</div>
<ul class="auto-hide-last-sibling-br">
<li>输入输出编码
<ul class="auto-hide-last-sibling-br">
<li>在订阅功能的输入点，WAF 应确保网站对用户输入进行了适当的编码，以防止 XSS 攻击。例如，对于用户输入的订阅名称、备注等可能在页面上显示的内容，进行 HTML 实体编码。这样，即使攻击者输入了恶意脚本，如<code>&lt;script&gt;alert('XSS');&lt;/script&gt;</code>，在页面上显示时也会被编码为<code>&amp;lt;script&amp;gt;alert('XSS');&amp;lt;/script&amp;gt;</code>，不会被浏览器执行。</li>
<li>在输出订阅信息的地方，如用户查看自己的订阅列表或管理员查看订阅用户信息时，同样要进行输出编码。这可以防止存储在数据库中的恶意脚本在页面展示过程中被执行，确保只有安全的、经过编码的内容呈现给用户。</li>
</ul>
</li>
<li>内容安全策略（CSP）实施检查
<ul class="auto-hide-last-sibling-br">
<li>WAF 可以检查网站是否实施了内容安全策略。CSP 是一种浏览器安全机制，通过定义哪些来源的脚本、样式表等资源是可以被加载的，来防止 XSS 攻击。WAF 可以帮助确保网站设置了合理的 CSP 头信息，如限制脚本只能从特定的、受信任的域名加载，禁止内联脚本等。如果发现网站没有正确设置 CSP 或者存在不符合安全策略的资源加载请求，WAF 可以进行拦截或提醒管理员进行调整。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">应对暴力攻击和恶意自动化脚本</div>
<ul class="auto-hide-last-sibling-br">
<li>请求频率限制
<ul class="auto-hide-last-sibling-br">
<li>针对订阅功能的关键操作，如订阅提交、验证码验证等，WAF 可以设置请求频率限制。例如，限制同一 IP 地址在一分钟内最多只能提交 5 次订阅请求。当检测到超过这个频率的请求时，WAF 可以将其视为潜在的暴力攻击或恶意自动化脚本行为，并进行拦截。同时，可以对频繁触发限制的 IP 地址进行暂时封禁或者要求进行额外的验证（如输入更复杂的验证码）。</li>
</ul>
</li>
<li>验证码机制检查
<ul class="auto-hide-last-sibling-br">
<li>如果订阅功能使用了验证码来防止自动化攻击，WAF 可以检查验证码的有效性。包括验证码的生成方式是否安全（如是否具有足够的随机性、复杂度），验证过程是否存在漏洞（如是否可以通过简单的方式绕过验证码验证）。对于验证码验证失败次数过多的情况，WAF 可以触发更严格的安全措施，如暂时禁止该 IP 地址的请求或者要求用户重新获取验证码。</li>
</ul>
</li>
<li>用户行为分析
<ul class="auto-hide-last-sibling-br">
<li>通过分析用户在订阅功能中的行为模式，WAF 可以识别异常行为。例如，正常用户在订阅时通常会先浏览订阅选项，然后填写信息并提交。如果发现某个用户直接频繁地提交订阅请求，而没有正常的浏览行为，WAF 可以将其视为可疑行为并进行拦截。这可以通过分析请求的顺序、时间间隔等因素来实现。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">持续监控与更新规则</div>
<ul class="auto-hide-last-sibling-br">
<li>订阅功能相关日志分析
<ul class="auto-hide-last-sibling-br">
<li>定期分析 WAF 日志中与订阅功能相关的部分。查看被拦截的请求的特征，如请求的 URL、参数、来源 IP 地址等，判断是否有新的攻击模式出现。同时，关注误报情况，即正常的订阅请求被错误地拦截。根据日志分析的结果，及时调整 WAF 规则，以提高防护的准确性和有效性。</li>
</ul>
</li>
<li>安全威胁情报更新
<ul class="auto-hide-last-sibling-br">
<li>关注安全威胁情报，了解最新的针对网站订阅功能的攻击技术和趋势。将这些情报融入到 WAF 规则的更新中，确保 WAF 能够应对新出现的威胁。例如，如果发现有新的 XSS 攻击向量通过某种特殊的 HTML 属性注入恶意脚本，及时更新 WAF 的输入输出编码规则和 XSS 检测规则，以防范这种新的攻击方式。</li>
</ul>
</li>
</ul>
</li>
</ul>
&nbsp;

&#160; 输入验证规则设置 数据格式检查 对于订阅功能中的常见输入项，如电子邮件地址、手机号码等，WAF  [&#8230;]

如何利用 waf 防范针对网站订阅功能的攻击

&nbsp;
<ul>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">WAF 对用户登录体验的影响</div>
<ul class="auto-hide-last-sibling-br">
<li>增加登录延迟
<ul class="auto-hide-last-sibling-br">
<li>当用户尝试登录时，WAF 会对登录请求进行检查。这一过程涉及到对请求中的各种参数（如用户名、密码、验证码等）进行安全检测，包括检查是否存在 SQL 注入、XSS 攻击等风险。这种深度检测会增加请求处理的时间，导致用户登录过程出现延迟。例如，如果 WAF 规则较为复杂，且服务器性能有限，可能会使登录响应时间从正常的 1 &#8211; 2 秒增加到 3 &#8211; 5 秒。</li>
</ul>
</li>
<li>可能导致登录失败
<ul class="auto-hide-last-sibling-br">
<li>由于 WAF 的严格规则，一些正常的登录请求可能会被误拦截。例如，某些用户可能会在用户名或密码中使用特殊字符，这些字符如果与 WAF 的检测规则冲突，就可能导致登录请求被判定为恶意而被阻止。另外，若 WAF 对登录请求频率设置了较低的阈值，当用户在短时间内多次尝试登录（如因忘记密码而反复尝试），可能会触发 WAF 的防护机制，导致用户被暂时封禁，无法正常登录。</li>
</ul>
</li>
<li>引发验证码机制频繁触发
<ul class="auto-hide-last-sibling-br">
<li>为了增强安全性，WAF 可能会在检测到某些可疑的登录行为（如来自陌生 IP 地址的首次登录请求或请求参数出现轻微异常）时，要求用户输入验证码。如果这种情况频繁发生，会给用户带来不便。例如，一个经常出差的用户，在不同地区登录时可能每次都需要输入验证码，增加了登录的步骤和时间。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">优化措施</div>
<ul class="auto-hide-last-sibling-br">
<li>规则优化与白名单设置
<ul class="auto-hide-last-sibling-br">
<li>精准规则定制：根据用户登录功能的特点，定制更为精准的 WAF 规则。分析登录请求的常见模式和参数格式，排除那些对登录功能没有实际安全威胁的规则。例如，对于用户名和密码字段，重点关注 SQL 注入和暴力破解相关的检测，而对于一些不会造成安全问题的 HTML 标签（如果允许在用户名或密码中包含少量 HTML 标签用于特殊格式）可以适当放宽规则。</li>
<li>建立白名单机制：将已知的安全的用户 IP 地址、设备信息或用户代理（User &#8211; Agent）添加到 WAF 的白名单中。例如，对于企业内部员工常用的办公设备 IP 范围，可以添加到白名单，这样这些用户在登录时，WAF 可以减少对他们的严格检查，从而加快登录速度。同时，对于长期合作的客户登录 IP，如果经过验证是安全的，也可以考虑添加到白名单。</li>
</ul>
</li>
<li>性能优化
<ul class="auto-hide-last-sibling-br">
<li>硬件升级与资源分配：如果服务器性能有限导致 WAF 检查登录请求时出现明显延迟，可以考虑升级服务器硬件，如增加 CPU 核心数、内存容量等。同时，合理分配服务器资源，确保 WAF 有足够的资源来快速处理登录请求。例如，为 WAF 分配专用的 CPU 核心和内存，避免与其他应用程序争夺资源。</li>
<li>缓存策略应用：采用缓存策略来减少 WAF 对重复请求的检查。对于已经检查过且确定为安全的登录请求参数（如常见的用户名格式、密码加密方式等）进行缓存。当后续有相同的请求时，WAF 可以直接从缓存中获取检查结果，而无需再次进行复杂的检测。不过，要注意缓存的时效性和安全性，定期更新缓存内容，防止缓存被恶意利用。</li>
</ul>
</li>
<li>用户反馈与调整机制
<ul class="auto-hide-last-sibling-br">
<li>建立反馈渠道：为用户提供一个方便的反馈渠道，让他们能够报告在登录过程中遇到的 WAF 相关问题。可以通过在登录页面设置反馈按钮，或者在客服渠道中专门设立 WAF 问题反馈分类。收集用户反馈的信息，如登录失败的原因、验证码频繁出现的情况等，以便及时调整 WAF 的设置。</li>
<li>动态调整策略：根据用户反馈和实际的业务情况，动态调整 WAF 策略。如果发现大量用户反馈因 WAF 规则导致登录问题，及时对规则进行审查和修改。例如，若发现某个地区的用户频繁触发验证码机制，可以考虑调整该地区 IP 地址的登录检测策略，或者进一步核实是否存在异常攻击行为针对该地区的用户。</li>
</ul>
</li>
</ul>
</li>
</ul>
&nbsp;

&#160; WAF 对用户登录体验的影响 增加登录延迟 当用户尝试登录时，WAF 会对登录请求进行检查。这一 [&#8230;]

waf 对用户登录体验的影响及优化

&nbsp;
<ul>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">培训内容设计</div>
<ul class="auto-hide-last-sibling-br">
<li>基础知识讲解
<ul class="auto-hide-last-sibling-br">
<li>WAF 工作原理：以通俗易懂的方式向员工介绍 WAF（Web 应用防火墙）是什么，它在网络安全防护中起到的作用，如 WAF 如何检测和阻止常见的网络攻击，像 SQL 注入、跨站脚本攻击（XSS）等。可以使用简单的比喻，例如将 WAF 比作网络大门的智能守卫，能够检查每一个进入网站的 “访客”（请求）是否带有恶意意图。</li>
<li>WAF 绕过攻击的概念：详细解释什么是 WAF 绕过攻击，让员工了解攻击者试图绕过 WAF 的目的是为了获取未经授权的访问权限、窃取敏感信息或破坏系统。通过实际案例展示绕过攻击可能导致的严重后果，如企业数据泄露引发的财务损失、声誉受损等。</li>
</ul>
</li>
<li>常见绕过技术介绍
<ul class="auto-hide-last-sibling-br">
<li>输入验证绕过：讲解攻击者如何利用输入字段来绕过 WAF。例如，在用户登录界面，攻击者可能会尝试通过在用户名或密码字段中输入特殊字符、SQL 语句或脚本代码，来欺骗后端系统，使其绕过 WAF 的检测并执行恶意操作。展示一些常见的被利用的输入字段，如搜索框、评论区等，并强调对输入内容进行合法性验证的重要性。</li>
<li>编码和加密绕过：介绍攻击者利用编码（如 URL 编码、Base64 编码等）和加密技术来隐藏恶意内容，使其能够避开 WAF 的检测规则。例如，攻击者可能会将 SQL 注入语句进行编码后发送，而 WAF 如果没有正确处理这种编码，就可能让恶意请求通过。同时，也要说明并不是所有的编码和加密都是恶意的，正常的业务场景中也会用到这些技术，关键是要学会识别异常情况。</li>
<li>协议和端口利用：解释攻击者如何通过利用非标准协议或端口来绕过 WAF 的防护。例如，WAF 通常会重点关注常见的 HTTP/HTTPS 端口（80 和 443），攻击者可能会尝试使用其他端口或协议来传输恶意数据。培训中要让员工明白，任何不符合正常业务使用的协议或端口访问都可能存在风险。</li>
</ul>
</li>
<li>员工角色相关的防范方法
<ul class="auto-hide-last-sibling-br">
<li>开发人员：针对开发人员，重点培训安全编码实践。强调在编写代码时，要对用户输入进行严格的验证和过滤，使用参数化查询来防止 SQL 注入，对输出内容进行编码以防止 XSS 攻击。例如，在开发一个网页表单时，要使用后端编程语言提供的输入验证函数，确保用户输入的内容符合预期的格式，如电子邮件地址格式、电话号码格式等。</li>
<li>运维人员：对于运维人员，培训内容包括正确配置 WAF，如定期更新规则库、监控 WAF 的运行状态和性能指标。他们需要了解如何查看 WAF 的日志，通过分析日志来发现潜在的绕过攻击迹象，如异常的请求频率、来自可疑 IP 地址的请求等。同时，要掌握如何在发现攻击迹象时及时采取措施，如暂时封禁可疑 IP、调整 WAF 规则等。</li>
<li>普通员工（非技术人员）：对于普通员工，主要培训安全意识方面的内容。教育他们如何识别可疑的链接、邮件附件和网站。例如，提醒员工不要随意点击来自陌生来源的链接，特别是那些看起来很奇怪或者承诺不切实际利益的链接。同时，要告知员工如果在工作中发现任何可疑的网络行为，如网站出现异常提示、无法正常登录等情况，应该及时向相关部门报告。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">培训方式选择</div>
<ul class="auto-hide-last-sibling-br">
<li>面对面培训课程：组织定期的面对面培训课程，由专业的网络安全培训师或企业内部的安全专家进行讲解。这种方式可以进行实时的互动和答疑，员工能够更直观地理解培训内容。在培训过程中，可以结合实际的演示，如模拟 WAF 的工作过程和绕过攻击的场景，让员工更有身临其境的感觉。</li>
<li>在线培训平台：利用在线培训平台提供丰富的学习资源，包括视频教程、图文并茂的文档和在线测试等。员工可以根据自己的时间和进度进行学习，这种方式比较灵活，适合员工在工作之余进行自主学习。在线平台还可以记录员工的学习进度和测试成绩，方便企业进行培训效果的跟踪和评估。</li>
<li>模拟演练：开展模拟的 WAF 绕过攻击演练，通过模拟真实的攻击场景，让员工在实践中学习如何应对。例如，组织一次内部的 “安全攻防演练”，一部分员工扮演攻击者，尝试使用各种绕过技术攻击企业的测试系统，另一部分员工（包括开发人员、运维人员和普通员工）则需要根据自己所学的知识，发现并阻止这些攻击。演练结束后，对整个过程进行复盘和总结，分析成功和失败的原因，进一步加深员工的理解。</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">培训效果评估与强化</div>
<ul class="auto-hide-last-sibling-br">
<li>知识测试：在培训结束后，通过知识测试来评估员工对培训内容的掌握程度。测试内容可以包括选择题、填空题、简答题等多种形式，涵盖 WAF 绕过攻击的概念、常见技术和防范方法等方面。根据测试结果，针对员工薄弱的环节进行有针对性的强化培训。</li>
<li>实际操作考核：对于开发人员和运维人员，可以进行实际操作考核。例如，要求开发人员编写一段安全的代码，包含正确的输入验证和输出编码；要求运维人员在模拟的攻击场景下，正确地配置 WAF 并采取有效的应对措施。通过实际操作考核，能够更真实地反映员工的技能水平和培训效果。</li>
<li>持续培训与更新：网络安全威胁是不断变化的，WAF 绕过攻击的技术也在不断发展。因此，要建立持续培训的机制，定期更新培训内容，让员工了解最新的攻击技术和防范方法。例如，当出现一种新的 WAF 绕过技术被广泛报道时，及时组织培训，让员工掌握应对这种新技术的方法。</li>
</ul>
</li>
</ul>
&nbsp;

&#160; 培训内容设计 基础知识讲解 WAF 工作原理：以通俗易懂的方式向员工介绍 WAF（Web 应用防 [&#8230;]

帮助中心