功能介绍

支持配置撞库防护、暴力破解防护、批量注册防护等策略以全方位保障用户的账户安全。

注意：目前控制台尚未开放批量注册防护的功能，如有防护需求请通过提交工单给天翼云客服，由其人工操作开启。

背景介绍

在网络环境中，账户安全是保障用户权益的重要一环。黑客能够通过撞库、暴力破解等各种手段获取用户对平台的访问权限，然后利用这些权限来窃取用户的账号密码和敏感数据，从而进行一系列违法获益的行为，严重损害了用户的数据安全甚至财产安全。

撞库是什么？

撞库是恶意攻击者通过收集互联网已泄露或者暗网黑客交易的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登录的用户。很多用户在不同网站使用的是相同的帐号密码，因此黑客可以通过获取用户在A网站的账户密码从而尝试登录B网址，这就可以理解为撞库攻击。撞库还可以从弱密码的角度出发，通过碰撞用户名得到账号密码信息。

撞库的防护原理

边缘云WAF针对撞库的防护方式主要是以下三种：

• 频率限速：由于猜解需要不断访问登录接口，因此可以通过异常速率来限制撞库；
• 用户登录信息与泄露信息库比对：将用户信息与实时更新的泄露信息库做相关数据对比，查看用户是否正在使用已暴露的密码，根据结果采取对应措施；
• 用户敏感信息脆弱性分析：通过脆弱性算法分析当前密码的暴露风险层级与易猜解程度，对暴露较多区块的密码以及极易猜解的密码引导到客户配置的处理方式上比如京东的密码为jd.wxy.com，苹果的密码为apple.wxy.com，如果jd.wxy.com已泄露则苹果的密码根据算法会判定为易猜解，则会进入相应处理动作。

暴力破解是什么？

暴力破解是指攻击者通过脚本等方式实现原有的尝试登录流程，不断重复尝试登录的一个过程，从理论上来看只要时间足够，所有的账号都有被暴力破解找到口令的可能，对普通用户爆破可以造成个人的财产损失，对网站管理员的账号爆破则可以危害公司资产。

暴力破解的防护原理

边缘云WAF主要通过爆破行为监控来防护。

批量注册是什么？

批量注册是指通过脚本实现原有的正式注册流程，不断重复执行注册的一个过程，可以短时间内得到目标大量的新用户，用作于ddos攻击、业务利用等非法行为。

批量注册的防护原理

• 注册行为监控。由于批量注册需要不断访问注册接口，因此可以通过一些基本粒度（如ip等）去统计访问行为并设置对应触发值。
• 注册行为挑战。通过交互方式挑战达到防护纯机器注册的效果（如验证码、行为挑战）。

前提条件

• 已开通Web应用防火墙（边缘云版）
• 已新增域名并成功接入WAF，具体操作请见WAF接入
• 开通套餐为基础版及以上版本，支持账户安全防护相关功能

操作步骤

• 登录Web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【域名管理】—【域名列表】，单击域名列表操作【安全防护】进入高级防护页面；
• 进入【账号安全防护】页面；
• 进入新增撞库防护/暴力破解防护规则页面；
• 撞库防护配置说明

  • 配置项	说明
    开关	可以选择开启或者关闭撞库防护策略
    处理动作	设置触发撞库策略的处理动作，可以选择拦截或告警
    登录页URL	设置登录页面的URL
    登录页数据请求URL	先单击键盘f12或者抓包，点击登录按钮，获取登录数据请求的url地址。（所获地址与登录页面URL可能是同一个，但是一般情况下动静态页面是分离的，所以大概率是不同的页面）
    登录post包	（1）用户key：一般是username，具体看您的网站是怎么定义key； 加解密方式：不加密/base64/md5; 值的加密方式，用以解密 （2）密码Key: 一般是password，具体看您的网站是怎么定义key； 加解密方式：不加密/base64/md5; 值的加密方式，用来解密用
    触发条件	在【统计周期】内的【作用域】的请求数，请求次数超过【拦截阈值】次数，则执行【处理动作】；其中，作用域支持CI、IP+UA、IP （1）CI：客户端ID，订购扩展服务BOT管理后支持该作用域； （2）IP+UA：客户端IP与客户端UA； （3）IP：客户端IP
    密码有泄露风险	判断密码存在泄露的处理方式,日志告警/重置密码/正常访问
    请求内容类型	支持选择”application/x-www-form-urlencoded"或"application/json"；指正常post包的请求方式
    白名单	针对误拦设置白名单，可选粒度：URI、支持配置多条，多个粒度为“且”的逻辑，多个范围为“或”的关系；

• 暴力破解防护配置说明

  • 配置项	说明
    开关	可以选择开启或者关闭暴力破解防护策略
    处理动作	设置触发暴力破解策略的处理动作，可以选择拦截或告警
    登录页URL	设置登录页面的URL
    登录页数据请求URL	先单击键盘f12或者抓包，点击登录按钮，获取登录数据请求的url地址。（所获地址与登录页面URL可能是同一个，但是一般情况下动静态页面是分离的，所以大概率是不同的页面）
    登录失败跳转URI	设置登录失败后需要跳转的uri
    触发条件	在【防护统计频率】内的【作用域】的请求数，请求次数超过【拦截阈值】次数，则执行【处理动作】，处理动作持续时间【拦截时间】；其中，作用域支持CI、IP+UA、IP； （1）CI:客户端ID，订购扩展服务BOT管理后支持该作用域； （2）IP+UA：客户端IP与客户端UA； （3）IP：客户端IP；
    白名单	针对误拦设置白名单，可选粒度：客户端IP、支持配置多条，多个粒度为“且”的逻辑，多个范围为“或”的关系