1. 启用基础防护规则
在阿里云WAF控制台的「安全防护」-「基础防护」页面，开启默认防护策略，如SQL注入防护、XSS防护等。这些规则可以帮助防御常见的Web攻击。同时，支持根据业务需求调整规则动作（观察/拦截）。
TG：@yunlaoda360
2. 配置CC防护
针对高频访问攻击，设置CC防护阈值和人机验证策略，有效缓解服务器压力。例如，可以通过“自定义防护策略”限制高频IP，配置请求次数和时间窗口来实现IP限流或封禁。
3. 使用HTTPS加密
如果网站使用HTTPS协议，需要在添加域名后上传正确、有效的HTTPS证书，保证WAF正常处理HTTPS协议流量。
4. 放行WAF回源IP段
网站接入WAF后，使用特定的回源IP段，将经过防护引擎检测后的正常流量转发回网站域名的源站服务器。为避免WAF将该IP段认定为攻击IP，导致回源IP段被拉黑，需要将回源IP段添加到源站安全软件的白名单中，放行该回源IP段。
5. 设置源站保护
在CNAME接入方式下，源站存在直接被攻击的风险，需要设置源站保护。可以通过配置安全组规则或使用其他安全服务来增强源站的安全性。
6. 监控与优化
通过「安全报表」查看攻击拦截详情，定期分析日志优化防护规则，实现动态防御。建议根据业务高峰期调整防护规则，例如在促销季临时放宽访问频率限制。
7. 配置地理位置访问控制
根据业务需求，配置地理位置访问控制规则，拦截或放行特定区域的请求，避免来自高风险地区的攻击。
8. 网页防篡改
配置网页防篡改规则，避免静态网页被篡改，确保网站内容的完整性和可信度。
9. 防敏感信息泄露
配置防敏感信息泄露规则，避免敏感信息在传输或存储过程中被泄露。
10. 定期更新防护规则库
定期通过控制台更新防护规则库，结合技术支持，针对新型攻击（如0day漏洞）快速响应。
