边缘安全

概述
DDoS 防护
- DDoS 防护概述
- 使用独立 DDoS 防护
- 配置独立 DDoS 防护策略
  - 调整 DDoS 防护等级
  - 独立 DDoS 攻击流量告警
  - 配置 IP 黑白名单
  - 配置区域封禁
  - 配置端口过滤
  - 配置特征过滤
  - 配置协议封禁
  - 配置连接类攻击防护
  - 相关参考
    - 处置方式
    - 相关概念介绍
Web 防护
- 概述
- 配置Web防护策略
- 托管规则
- CC 攻击防护
- 带宽滥用防护
- 自定义规则
- 自定义速率限制规则
- 防护例外规则
- 托管定制规则
- Web 安全监控告警
- 相关参考
  - Web 防护请求处理顺序
  - 处置方式
  - 匹配条件
Bot 管理
- 概述
- Bot 智能分析
- Bot 基础特征管理
- 客户端画像分析
- 主动特征识别
- 自定义 Bot 规则
- Bot 管理例外规则
- 相关参考
  - 处置方式
策略模板
IP 和网段分组
源站防护
自定义响应页面
告警通知推送
SSL/TLS
- 概述
- 部署/更新 SSL 托管证书至 EdgeOne 域名
- 使用免费证书部署至 EdgeOne 域名
- 双向认证
- HTTPS 配置
  - 强制 HTTPS 访问
  - 启用 HSTS
  - SSL/TLS 安全配置
    - 配置 SSL/TLS 安全等级
    - TLS 版本及密码套件说明
  - 开启 OCSP 装订
- 引用
  - 使用OpenSSL生成自签名证书
  - 证书格式要求
- 使用无密钥证书

处置方式

Bot 管理模块提供多种处置方式。不同处置方式的处理规则如下：
处置方式
用途
处置方式描述
后续动作
拦截
用于阻断请求访问站点（包括缓存或非缓存内容）。
响应拦截页面和拦截状态码。
不再匹配其他策略。
放行
用于跳过当前安全模块其余规则。
当前模块中，其余规则不再匹配该请求。
继续匹配其他生效的规则。
观察
用于评估或灰度安全策略。
仅记录日志，不进行处置。
继续匹配其他规则。
JavaScript 挑战
用于识别不支持 JavaScript 的工具客户端注1，常见于 DDoS 攻击源、扫描工具等。
响应重定向（HTTP 302）页面，页面携带 JavaScript 代码验证客户端浏览器行为，仅通过校验的访客可以继续访问。
通过挑战的请求继续匹配其他规则。
托管挑战
用于 Bot 对抗， 首先进行 JavaScript 挑战校验，对通过校验的请求再进行 CAPTCHA 人机校验。
首先进行 JavaScript 挑战；对通过校验的客户端，响应重定向（HTTP 302）页面，携带验证码校验，用户通过交互操作完成校验。两次校验都通过的访客才可以继续访问。
通过挑战的请求继续匹配其他规则。
静默
属于强度较大的 Bot 对抗机制，通过消耗 Bot 网络连接数来限制 Bot 并发能力
保持 TCP 连接，但不再响应任何 HTTP 数据。
不再匹配其他策略。
（短时间）等待后响应
主要用于限制Bot 并发能力，具备混淆特点注2。
随机等待1-5秒后响应。
不再匹配其他策略。
（长时间）等待后响应
主要用于限制Bot 并发能力，具备混淆特点注2。
随机等待8-10秒后响应。
不再匹配其他策略。
说明：
﻿注1：
支持 JavaScript 的浏览器客户端可以正常通过 JavaScript 挑战校验，而不支持 JavaScript 的客户端（如：cURL 等）则无法通过校验。
﻿注2：
通常来说，当察觉到 Bot 被管控策略限制时，Bot 的运营者可能会调整 Bot 特性绕过 Bot 策略，从而增加 Bot 识别难度。因此，长期运营的 Bot 对抗机制通常具备混淆特点，即：Bot 运营方较难直观判断，其 Bot 是否受到 Bot 管理策略限制。具备混淆特点的对抗机制，可以在不增加 Bot 识别难度的前提下，减少 Bot 运营者的成本和难度。
支持多种处置方式随机执行
多种处置方式随机执行，可以帮助您的 Bot 管理策略达到更高的混淆强度，使 Bot 管理策略更难被 Bot 运营者察觉。自定义 Bot 规则支持使用多个方式组合处置请求，您可以配置多个处置方式和对应的权重。当规则匹配请求时，将根据权重配置，随机选取其中一种处置方式对请求进行处理。
说明：
该能力仅限于 Bot 自定义规则内配置。
﻿

处置方式	用途	处置方式描述	后续动作
拦截	用于阻断请求访问站点（包括缓存或非缓存内容）。	响应拦截页面和拦截状态码。	不再匹配其他策略。
放行	用于跳过当前安全模块其余规则。	当前模块中，其余规则不再匹配该请求。	继续匹配其他生效的规则。
观察	用于评估或灰度安全策略。	仅记录日志，不进行处置。	继续匹配其他规则。
JavaScript 挑战	用于识别不支持 JavaScript 的工具客户端注1，常见于 DDoS 攻击源、扫描工具等。	响应重定向（HTTP 302）页面，页面携带 JavaScript 代码验证客户端浏览器行为，仅通过校验的访客可以继续访问。	通过挑战的请求继续匹配其他规则。
托管挑战	用于 Bot 对抗，首先进行 JavaScript 挑战校验，对通过校验的请求再进行 CAPTCHA 人机校验。	首先进行 JavaScript 挑战；对通过校验的客户端，响应重定向（HTTP 302）页面，携带验证码校验，用户通过交互操作完成校验。两次校验都通过的访客才可以继续访问。	通过挑战的请求继续匹配其他规则。
静默	属于强度较大的 Bot 对抗机制，通过消耗 Bot 网络连接数来限制 Bot 并发能力	保持 TCP 连接，但不再响应任何 HTTP 数据。	不再匹配其他策略。
（短时间）等待后响应	主要用于限制Bot 并发能力，具备混淆特点注2。	随机等待1-5秒后响应。	不再匹配其他策略。
（长时间）等待后响应	主要用于限制Bot 并发能力，具备混淆特点注2。	随机等待8-10秒后响应。	不再匹配其他策略。