Web應用程式防火牆(WAF)

雲端基礎結構上適用於Adobe Commerce的網頁應用程式防火牆(WAF)服務採用Fastly技術,可偵測、記錄並封鎖惡意要求流量,以免損害您的網站或網路。 WAF服務僅適用於生產環境。

WAF服務提供下列優點:

  • 符合PCI規範—WAF啟用可確保生產環境中的Adobe Commerce店面符合PCI DSS 6.6安全性需求。

  • 預設WAF原則 — 由Fastly設定並維護的預設WAF原則,提供量身打造的安全性規則集合,可保護您的Adobe Commerce Web應用程式免受各種攻擊,包括插入攻擊、惡意輸入、跨網站指令碼、資料匯出、HTTP通訊協定違規,以及其他OWASP前十名的安全性威脅。

  • WAF上線與啟用 — 在布建完成後的2到3週內,Adobe在您的生產環境中部署與啟用預設WAF原則。

  • 操作與維護支援

    • Adobe和Fastly設定並管理您的WAF服務日誌和警示。
    • Adobe會分類與WAF服務問題相關的客戶支援票證,這些問題會封鎖優先順序1問題的合法流量。
    • 自動升級至WAF服務版本,確保可立即涵蓋新的或不斷發展的漏洞利用。 請參閱WAF維護與升級
TIP
如需在雲端基礎結構存放區維護Adobe Commerce PCI法規遵循的其他資訊,請參閱PCI法規遵循

啟用WAF

Adobe可在布建完成後的2至3週內,於新帳戶上啟用WAF服務。 WAF是透過Fastly CDN服務實作。 您不需要安裝或維護任何硬體或軟體。

NOTE
在使用WAF服務之前,您必須在雲端基礎結構專案上傳送到Adobe Commerce的所有外部流量必須透過Fastly服務路由。 檢視設定Fastly

運作方式

WAF服務與Fastly整合,並使用Fastly CDN服務中的快取邏輯來篩選Fastly全域節點的流量。 我們在您的生產環境中啟用WAF服務,預設的WAF原則是以Trustwave SpiderLabs🔗的ModSecurity規則和OWASP十大安全性威脅為基礎。

WAF服務會針對WAF規則集篩選HTTP和HTTPS流量(GET和POST要求),並封鎖惡意流量或不遵守特定規則的流量。 此服務只會篩選嘗試重新整理快取的原始繫結流量。 因此,我們會在Fastly快取中停止大多數的攻擊流量,保護原始流量免受惡意攻擊。 若只處理原始流量,WAF服務會保留快取效能,只對每個非快取要求引入估計為1.5毫秒至20毫秒的延遲。

疑難排解封鎖的請求

WAF服務啟用時,會根據WAF規則篩選所有網頁和管理程式流量,並封鎖觸發規則的任何網頁請求。 當要求遭到封鎖時,要求者會看到預設403 Forbidden錯誤頁面,其中包含封鎖事件的參考ID。

WAF錯誤頁面

您可以從管理員自訂此錯誤回應頁面。 請參閱自訂WAF回應頁面

如果您的Adobe Commerce管理頁面或店面傳回403 Forbidden錯誤頁面以回應合法的URL請求,請提交Adobe Commerce支援票證。 從錯誤回應頁面複製參考ID,並將其貼到票證說明中。

WAF維護和更新

Fastly會根據商業第三方、Fastly研究和開放來源的規則更新來維護和更新WAF規則集。 Fastly會視需要或當可從其各自的來源取得規則變更時,將發佈的規則更新為原則。 此外,Fastly可以在啟用WAF服務後,將符合規則發佈類別的規則新增到任何服務的WAF執行個體中。 這些更新可確保即時涵蓋新的或不斷演變的利用漏洞。

Adobe和Fastly管理更新流程,以確保新的或修改的WAF規則在您的生產環境中有效運作,然後再以封鎖模式部署更新。

限制

由Fastly支援的標準WAF服務不支援下列功能:

  • 防止惡意程式碼或機器人降低 — 請考慮使用存取控制清單或協力廠商服務。
  • 速率限制 — 請參閱Fastly檔案中的速率限制,或參閱​ Commerce Web API ​安全性章節中的速率限制
  • 正在設定客戶的記錄端點 — 請參閱PrivateLink服務作為替代方法。

雖然WAF服務不允許您根據IP位址封鎖或允許流量,但您可以新增存取控制清單(ACL)和自訂VCL片段到Fastly服務,以指定IP位址和VCL邏輯來封鎖或允許流量。 請參閱自訂Fastly VCL片段

WAF服務不支援篩選TCP、UDP或ICMP要求。 但是,此功能由Fastly CDN服務隨附的內建DDoS保護提供。 請參閱DDoS保護

recommendation-more-help
05f2f56e-ac5d-4931-8cdb-764e60e16f26