Ten artykuł dotyczy funkcji WAF (Web Application Firewall) i Combo Rules w WEDOS Protection. Regułom opartym na jednym kryterium poświęcony jest artykuł filtry i GeoIP.
Z tego artykułu dowiedzą się Państwo:
- Jak działają WAF i Combo Rules w WEDOS Protection
- Jak skonfigurować:
- Przykłady zastosowania Combo Rules
- Najczęściej zadawane pytania
WAF i Combo Rules
Web Application Firewall (WAF) w WEDOS Protection sprawdza przychodzące żądania HTTP/HTTPS na poziomie proxy i blokuje te, które odpowiadają znanym wzorcom ataków (SQL injection, XSS, RCE, path traversal i inne zagrożenia klasy OWASP), zanim dotrą na Państwa serwer źródłowy. WAF działa wspólnie z funkcjami filtry i GeoIPoraz z ochroną AI Mode , która działa w całej sieci WEDOS Protection.
Combo Rules działają nadrzędnie wobec WAF i pozwalają definiować zaawansowane, łączone reguły L3–L7 dla poszczególnych domen. Każda reguła porównuje wiele warunków jednocześnie (IP/ASN, Geo, Path, User-Agent, JA4, JA4H, metoda HTTP, wersja HTTP), a zastosowanie ma pierwsza pasująca reguła. Combo Rules przydają się, gdy jeden filtr nie jest wystarczająco precyzyjny — na przykład gdy chcą Państwo zezwolić na ruch z ASN znanego crawlera tylko na określonej ścieżce albo zablokować konkretny odcisk TLS pochodzący z jednego kraju.
WAF i Combo Rules uzupełniają, ale nie zastępują filtry i GeoIP. Filters i GeoIP służą do ochrony według jednego kryterium, natomiast Combo Rules są przeznaczone do bardziej złożonych scenariuszy. Ponadto AI Mode działa cały czas równolegle i nie można go wyłączyć.
Konfiguracja WAF i Combo Rules
W taryfach Start i Zaawansowane WAF działa wyłącznie w trybie AI Mode a Combo Rules nie są dostępne. Aby uzyskać dostęp do wyboru WAF Mode i do Combo Rules, prosimy przejść na taryfę Expert .
Aby przejść do ustawień, prosimy wykonać następujące kroki:
- Prosimy zalogować się do administracji WEDOS Global ⧉.
- Prosimy wybrać domenę (lub szablon), który chcą Państwo skonfigurować.
- W lewym menu prosimy kliknąć WAF.
Tryb WAF
Przełącznik Tryb WAF określa zestaw reguł, z którego Web Application Firewall korzysta dla wybranej domeny. Dostępne są trzy tryby:
- Advanced WAF (pełny zestaw reguł) — domyślnie: Stosuje kompletny zestaw reguł WAF wraz z ochroną podstawową i rozszerzonymi sygnaturami ataków w warstwie aplikacji. Zalecane dla większości stron i aplikacji.
- Basic WAF (tylko reguły podstawowe): Stosuje wyłącznie podstawowy zestaw reguł. Przydaje się, gdy pełny zestaw powoduje fałszywe alarmy przy legalnej, lecz nietypowej aplikacji i potrzebny jest mniejszy, bardziej zachowawczy zestaw sygnatur.
- Wyłączone: Całkowicie wyłącza sprawdzanie reguł WAF. AI Mode, Filters, GeoIP i Combo Rules pozostają aktywne.
Ustawienie WAF Mode na Wyłączone wyłącza wyłącznie reguły WAF. AI Mode, Filters, GeoIP ani Combo Rules nie zostają przez to wyłączone. WAF prosimy wyłączać tylko wtedy, gdy mają Państwo ku temu konkretny powód — na przykład podczas rozwiązywania fałszywych alarmów.
Combo Rules
Combo Rules to zaawansowane, łączone reguły L3–L7. Każda reguła porównuje wiele warunków, przy czym zastosowanie ma pierwsza pasująca reguła. Reguły prosimy układać od najbardziej szczegółowych do najbardziej ogólnych — na przykład najpierw reguły zezwalające dla znanych, pożądanych crawlerów, a na samym dole zbiorczą regułę blokującą.
Combo Rules działają równolegle z AUTO AI, która zawsze analizuje ruch w tle. Funkcji AUTO AI nie można wyłączyć.
Akcje
Gdy reguła Combo Rule pasuje, stosowana jest jedna z następujących akcji:
- Zezwolenie na dostęp / Whitelist: Pomija wszystkie warstwy ochrony i przekazuje żądanie bezpośrednio na serwer źródłowy. Prosimy stosować wyłącznie dla zaufanego, dobrze zidentyfikowanego ruchu (np. zweryfikowanego wewnętrznego systemu monitoringu).
- Weryfikacja CAPTCHA (Proof of Work): Przed przepuszczeniem żądania wyświetla weryfikację Proof of Work / test na boty.
- Blokuj ze stroną błędu (HTTP 456): Blokuje żądanie i zwraca konfigurowalną stronę błędu ze statusem HTTP 456.
- Blokuj po cichu (drop ruchu): Po cichu odrzuca żądanie. Klient nie otrzymuje żadnej odpowiedzi. Przydaje się przeciwko ruchowi atakującemu, gdy nie chcą Państwo potwierdzać, że żądanie dotarło do serwera.
Pola dopasowania
Każda reguła Combo Rule może porównywać maksymalnie dziewięć pól. Dowolne pole można pozostawić puste — działa wtedy jak symbol wieloznaczny — a dowolne pole można zanegować (za pomocą przedrostka ! tam, gdzie jest to obsługiwane, na przykład !as55789). Aby reguła zadziałała, muszą pasować wszystkie wypełnione pola.
- IP/ASN: Źródłowy adres IP, zakres CIDR lub numer systemu autonomicznego. Kilka wartości można podać jako listę rozdzieloną przecinkami (np.
1.2.3.0/24, as12345, !as55789). - Geo: Kod kraju lub kontynentu, taki sam jak stosowany przez GeoIP.
- Ścieżka: Ścieżka URL w domenie (np.
/admin/login). Obsługuje dopasowanie dokładne oraz dopasowanie po prefiksie, zależnie od wybranego ustawienia Tryb. - User-Agent: Wartość nagłówka
User-Agentprotokołu HTTP (np.googlebot). Obsługuje dopasowanie dokładne oraz dopasowanie fragmentu tekstu, zależnie od wybranego ustawienia Tryb. - JA4: Odcisk JA4 TLS klienta. Przydaje się do rozpoznania konkretnej implementacji TLS klienta, niezależnie od deklarowanego przez niego User-Agent.
- JA4H: Odcisk JA4H HTTP klienta. Przydaje się do wykrywania botów, które w warstwie TLS udają przeglądarkę, ale zdradzają się w warstwie HTTP.
- Metoda: Jedna lub więcej metod HTTP rozdzielonych przecinkami (np.
GET, POST). - Wersja HTTP: Wersja protokołu HTTP żądania (np. HTTP/1.1, HTTP/2, HTTP/3).
Dodanie reguły Combo Rule
Aby dodać nową regułę Combo Rule, prosimy wykonać następujące kroki:
- Prosimy upewnić się, że przełącznik Custom Combo Rules jest włączony.
- Prosimy kliknąć przycisk Add Combo Rule .
- Prosimy wybrać akcję Action , która zostanie zastosowana, gdy reguła pasuje.
- Prosimy wypełnić tylko potrzebne pola. Pozostałe prosimy zostawić puste — będą działać jak symbole wieloznaczne.
- Prosimy upewnić się, że przełącznik Active jest włączony, a następnie kliknąć Wyślij.
Każdą regułę na liście można edytować lub usunąć w kolumnie akcji. Za pomocą wskaźnika Active mogą Państwo włączać i wyłączać poszczególne reguły bez ich usuwania.
Combo Rules są sprawdzane po kolei, a zastosowanie ma pierwsza pasująca reguła. Reguły bardziej szczegółowe (np. zezwolenie dla konkretnego ASN na konkretnej ścieżce) prosimy umieszczać nad bardziej ogólnymi (np. blokadą całego kraju).
Przykłady zastosowania Combo Rules
Combo Rules przydają się najbardziej tam, gdzie żaden pojedynczy filtr nie jest wystarczająco precyzyjny. Kilka typowych scenariuszy:
Zezwolenie dla znanego crawlera na podstawie ASN
Cel: Przepuszczać ruch Googlebota bez weryfikacji, nawet jeśli inne reguły by go zablokowały.
Konfiguracja: Action Allow / Whitelist, IP/ASN as15169, User-Agent googlebot. Tę regułę prosimy umieścić nad wszystkimi regułami blokującymi.
Ograniczenie endpointu wyłącznie do POST
Cel: Endpoint API ma przyjmować wyłącznie żądania POST, wszystko inne jest niepożądane.
Konfiguracja: Action Blokuj ze stroną błędu (HTTP 456), Path /api/submit, Method GET, PUT, DELETE, PATCH, HEAD, OPTIONS. Żądania metodą POST nie pasują do reguły i przechodzą w zwykły sposób.
Weryfikacja odwiedzających z jednego kraju na wrażliwej ścieżce
Cel: Zezwolić na zwykłe przeglądanie strony z danego kraju, ale wymagać weryfikacji przy każdej próbie wejścia do administracji.
Konfiguracja: Action Weryfikacja CAPTCHA (Proof of Work), Geo cz, Path /admin/login.
Ciche odrzucanie znanego odcisku ataku
Cel: Odrzucać ruch odpowiadający odciskowi JA4 zaobserwowanemu podczas wcześniejszego ataku, bez przekazywania atakującemu jakiejkolwiek informacji zwrotnej.
Konfiguracja: Action Blokuj po cichu (drop ruchu), JA4 t13d1516h2_8daaf6152771_....
Najczęściej zadawane pytania
Co się stanie, gdy wyłączę WAF?
Wyłączony zostaje wyłącznie zestaw reguł WAF. AI Mode, Filtry, GeoIP i Combo Rules działają dalej. Państwa domena jest nadal chroniona, ale bez reguł sygnaturowych dla warstwy aplikacji — dlatego zalecamy wyłączanie WAF tylko tymczasowo, na przykład podczas rozwiązywania fałszywego alarmu.
Kiedy użyć Basic WAF zamiast Advanced WAF?
Basic WAF prosimy stosować tylko wtedy, gdy zestaw Advanced powoduje fałszywe alarmy przy legalnej aplikacji, której nie mogą Państwo zmienić u źródła. Zestaw podstawowy jest bardziej zachowawczy i stosuje wyłącznie reguły podstawowe. Dla większości stron i API właściwym wyborem jest domyślny Advanced WAF.
Jak działa kolejność reguł?
Combo Rules są sprawdzane od góry do dołu, przy czym zastosowanie ma pierwsza pasująca reguła. Reguły szczegółowe (na przykład zezwolenia dla znanych, pożądanych crawlerów lub zaufanych adresów IP) prosimy umieszczać na początku listy, a reguły ogólniejsze (na przykład blokady całych krajów lub zbiorcze odmowy) poniżej nich.
Czy muszę wypełnić każde pole w regule Combo Rule?
Nie. Każde puste pole działa jak symbol wieloznaczny. Reguła, w której ustawiono wyłącznie Geo = cz odpowiada całemu ruchowi z Czech, niezależnie od IP, ścieżki, user agenta, metody czy wersji. Aby reguła zadziałała, muszą się zgadzać wszystkie wypełnione pola.
Czy mogę zanegować wartość w regule Combo Rule?
Tak. Pola przyjmujące listy rozdzielone przecinkami (na przykład IP/ASN) obsługują negację za pomocą przedrostka ! — na przykład as12345, !as55789 pasuje do AS12345, ale wyraźnie wyklucza AS55789.
Czym Combo Rules różnią się od Filters?
Filtry porównują zawsze tylko jedno kryterium (jedną listę adresów IP, jedną listę ASN, jedną listę User-Agent i tak dalej). Combo Rules łączą wiele kryteriów w jedną regułę, dzięki czemu mogą Państwo wyrazić warunki takie jak „tylko to ASN, tylko na tej ścieżce, tylko z tą metodą” , których pojedynczy filtr nie jest w stanie wyrazić.
Czy można wyłączyć AUTO AI dla Combo Rules?
Nie. AUTO AI jest zawsze włączone i działa równolegle z Państwa regułami Custom Combo Rules. Własne reguły mogą Państwo dodawać w trybie Custom, ale AI nie można wyłączyć.