概述 — 保护 AEM 网站

Last update: Sat Dec 13 2025 00:00:00 GMT+0000 (Coordinated Universal Time)

适用对象：
Experience Manager as a Cloud Service

主题：

创建对象：

中级
管理员
开发人员

了解如何在 AEM as a Cloud Service 中使用流量过滤规则（包含其子类别 Web 应用程序防火墙（WAF）规则）来保护您的 AEM 网站，防御拒绝服务攻击（DoS）、分布式拒绝服务攻击（DDoS）、恶意流量以及其他更复杂的攻击。

您还将了解标准流量过滤规则与 WAF 流量过滤规则之间的差异、各自的适用场景，以及如何开始使用 Adobe 推荐的规则。

IMPORTANT

使用 WAF 流量过滤规则需要额外的 WAF-DDoS 防护或 增强安全性（Enhanced Security） 许可证。Sites 和 Forms 客户可默认使用标准流量过滤规则。

https://video.tv.adobe.com/v/3469394/?quality=12&learn=on

AEM as a Cloud Service 流量安全简介

AEM as a Cloud Service 通过集成的 CDN 层来保护并优化您网站的内容分发。CDN 层最关键的一个组件是定义并强制执行流量规则。这些规则充当防护屏障，有助于防止滥用、误用及各类攻击，同时不影响站点性能。

流量安全对于保障网站可用性、保护敏感数据以及为合法用户提供顺畅体验至关重要。AEM 提供两类安全规则：

标准流量过滤规则
Web 应用程序防火墙（WAF）流量过滤规则

这些规则集可帮助客户防御常见和复杂的 Web 威胁，减少来自恶意或异常客户端的干扰，并通过记录请求、阻止机制和模式识别提升整体可观测性。

标准流量过滤规则与 WAF 流量过滤规则之间的区别

功能

标准流量过滤规则

WAF 流量过滤规则

用途

用于防止滥用行为，例如 DoS、DDoS 攻击、数据抓取或机器人攻击活动

检测并响应复杂攻击模式（例如 OWASP Top 10），同时防御机器人攻击

示例

速率限制、地理封锁、用户代理过滤

SQL 注入、跨站脚本（XSS）、已知攻击 IP

灵活性

通过 YAML 高度灵活地配置

通过 YAML 和预定义的 WAF 标志可以非常灵活地进行配置

推荐模式

建议先使用 log 模式，然后再切换为 block 模式

建议为 ATTACK-FROM-BAD-IP WAF 标志使用 block 模式，为 ATTACK WAF 标志使用 log 模式，然后统一切换为 block 模式

部署

在 YAML 中定义，通过 Cloud Manager 配置管道部署

通过 wafFlags 在 YAML 中定义，通过 Cloud Manager 配置管道部署

授予许可

包含在 Sites 和 Forms 许可证中

需要 WAF-DDoS 防护或增强安全许可证

标准流量过滤规则适用于执行业务特定的策略，例如设置速率限制、阻止来自特定地区的访问，或根据请求属性和请求头（如 IP 地址、路径或用户代理）阻止特定流量。相比之下，WAF 流量过滤规则提供针对已知 Web 漏洞和攻击向量的全面主动防护，并具备先进的智能机制以减少误报（即误拦合法流量）。
要定义这两类规则，均需使用 YAML 语法，详见流量过滤规则语法说明。

何时以及为何使用这些规则

在以下情况下使用标准流量过滤规则：

需要采用组织特定的限制策略，例如 IP 速率限制。
已知需要过滤的特定模式（例如恶意 IP 地址、特定地区、请求头信息等）。

在以下情况下使用 WAF 流量过滤规则：

您希望获得全面且主动的防护，防御广泛传播的已知攻击模式（例如注入攻击、协议滥用）以及来源于专业威胁情报数据源的已知恶意 IP。
您希望在拦截恶意请求的同时，最大限度地降低误拦合法流量的风险。
您希望采用简单的配置规则，在减少防御工作的同时有效应对常见和复杂的安全威胁。

这些规则共同构建起一个纵深防御策略，使 AEM as a Cloud Service 客户能够采取主动与被动相结合的安全措施来保护其数字资产。

Adobe 推荐的规则

Adobe 推荐标准流量过滤规则和 WAF 流量过滤规则，帮助您快速保护 AEM 站点的安全。

标准流量过滤规则 （默认提供）：用于应对常见的滥用场景，例如针对 CDN 边缘或源端的 DoS、DDoS 攻击，以及来自受限国家/地区的流量。
示例包括：
- 对 在 CDN 边缘 每秒发起超过 500 次请求的 IP 进行速率限制
- 对 在源端 每秒发起超过 100 次请求的 IP 进行速率限制
- 阻止来自美国财政部外国资产控制办公室（OFAC）所列国家/地区的流量
WAF 流量过滤规则（需额外许可证）：提供针对复杂威胁的增强防护，包括 OWASP Top Ten 所列的安全风险，如 SQL 注入、跨站点脚本（XSS）以及其他 Web 应用程序攻击。示例包括：
- 阻止来自已知恶意 IP 地址的请求
- 记录或阻止被标记为攻击行为的可疑请求