Cloud Firewall cuenta con un motor de amenazas integrado que bloquea el tráfico malicioso de internet, defiende contra ataques comunes en tiempo real y ofrece parches virtuales precisos. Usted puede configurar el modo del motor y gestionar módulos como Threat Intelligence, Basic Protection, Intelligent Defense y Virtual Patching para identificar y bloquear posibles intrusiones con mayor exactitud. Este tema explica cómo configurar las funciones del sistema de prevención de intrusiones (IPS).
Capacidades de IPS para el perímetro de internet
Modo del motor de amenazas
Cuando se habilita Cloud Firewall, su motor de amenazas se establece de forma predeterminada en modo de bloqueo y selecciona automáticamente un nivel de rigurosidad según su tráfico. Las funciones Block Mode y Block Mode bloquean amenazas únicamente cuando Block Mode está habilitado. Si Block Mode está deshabilitado, la función de prevención de intrusiones solo supervisa las amenazas y el tráfico malicioso.
Para obtener más información sobre el modo del motor, consulte Overview of IPS capabilities.
Inicie sesión en la consola de Cloud Firewall. En el panel de navegación izquierdo, elija .
-
En la pestaña Internet Border, configure Threat Engine Mode en el extremo derecho.
Puede seleccionar uno de los siguientes modos del motor:
Monitor: en este modo, Cloud Firewall registra los ataques y genera alertas sin bloquearlos. Las acciones de protección de Threat Intelligence, Basic Protection y Virtual Patching se establecen en Monitor.
-
Block: en este modo, Cloud Firewall bloquea el tráfico malicioso y detiene las actividades de intrusión.
Elija un modo de bloqueo con un nivel de rigurosidad distinto según sus necesidades de seguridad:
Block - Loose: proporciona una protección general y utiliza reglas con una tasa baja de falsos positivos. Este modo es ideal para servicios sensibles a los falsos positivos.
Block - Medium: equilibra los modos Loose y Strict con alta precisión. Resulta adecuado para las operaciones diarias.
Block - Strict: ofrece una protección detallada con un conjunto integral de reglas. Puede generar una tasa de falsos positivos mayor que el modo Medium, pero es ideal para escenarios que requieren una tasa baja de falsos negativos.
Funciones
La configuración de IPS para el perímetro de internet incluye funciones como Basic Protection, Virtual Patching, Threat Intelligence, Intelligent Defense, Data Loss Prevention y Traffic Traceability. Utilice los interruptores de la izquierda para habilitar o deshabilitar estas funciones.
Protección básica
El interruptor Basic Protection está habilitado de forma predeterminada. Cloud Firewall activa reglas de detección para algunas amenazas comunes. Basic Protection ofrece una prevención de intrusiones fundamental, lo que incluye bloquear vulnerabilidades de ejecución de comandos y conexiones desde dispositivos comprometidos hacia servidores de comando y control (C&C). Esta función brinda protección esencial para sus activos. Se recomienda mantener Basic Protection habilitado para mejorar la seguridad.
Modificar una regla de protección: en la columna Current Action, cambie la acción de una regla. Las reglas modificadas se marcan como reglas personalizadas.
Restaurar las reglas de protección predeterminadas: haga clic en Restore to Default IPS Rules y luego haga clic en OK.
-
Habilitar o deshabilitar una regla: haga clic en el interruptor de la columna Status.
Enabled: la regla está activa. Las reglas de protección personalizadas tienen mayor prioridad que las reglas predeterminadas.
Disabled: la regla está inactiva.
Parches virtuales
El interruptor Virtual Patching está habilitado de forma predeterminada. Cloud Firewall protege en tiempo real contra vulnerabilidades críticas y de emergencia frecuentes. Virtual Patching aplica parches temporales en la capa de red para bloquear intentos de explotación. De esta manera, evita las interrupciones del servicio que pueden ocurrir al aplicar parches en los hosts. No es necesario instalar ningún parche en sus servidores. Si deshabilita esta función, dejará de recibir actualizaciones en tiempo real. Se recomienda mantener todos los parches virtuales habilitados.
Modificar una regla de protección: en la columna Current Action, cambie la acción de una regla. Las reglas modificadas se marcan como reglas personalizadas.
Restaurar las reglas de protección predeterminadas: haga clic en Restore to Default IPS Rules y luego haga clic en OK.
-
Habilitar o deshabilitar una regla: haga clic en el interruptor de la columna Status.
Enabled: la regla está activa. Las reglas de protección personalizadas tienen mayor prioridad que las reglas predeterminadas.
Disabled: la regla está inactiva.
Inteligencia de amenazas
El interruptor Threat Intelligence está habilitado de forma predeterminada. Cloud Firewall busca amenazas con base en fuentes de inteligencia y le permite establecer la acción en Monitor o Block. Esta función sincroniza con su instancia de Cloud Firewall las direcciones IP maliciosas detectadas en toda la red de Alibaba Cloud. Entre ellas se incluyen orígenes de acceso malicioso, orígenes de escaneo y orígenes de ataques de fuerza bruta. Esto le permite defenderse de manera proactiva contra amenazas de red. Se recomienda habilitar Threat Intelligence.
Threat Intelligence detecta y bloquea direcciones IP maliciosas de forma independiente mediante el motor de IPS. Las direcciones IP maliciosas identificadas por Threat Intelligence no se sincronizan automáticamente con la libreta de direcciones IP que usan las políticas de control de acceso. Son dos mecanismos independientes: Threat Intelligence genera alertas o bloquea las direcciones IP maliciosas detectadas, mientras que la libreta de direcciones IP de las políticas de control de acceso se gestiona manualmente.
Defensa inteligente
El interruptor Intelligent Defense está habilitado de forma predeterminada. Cloud Firewall aprende de los datos de ataques en toda la nube para mejorar la precisión en la detección de amenazas y ataques. Actualmente, Intelligent Defense solo es compatible cuando el motor de amenazas se configura en modo de supervisión.
Para habilitar Intelligent Defense, primero debe habilitar Basic Protection.
El panel de Intelligent Defense incluye un acceso a Allowlist en la esquina superior derecha. Además, muestra la versión actual de la base de datos de reglas en la esquina inferior derecha, por ejemplo, IPS-2502-01.
Prevención de pérdida de datos
Cloud Firewall inspecciona el tráfico saliente de sus activos hacia internet para identificar posibles filtraciones de datos confidenciales.
Primero debe habilitar la detección de fugas de datos para sus activos.
En la lista General Industry Template, consulte los tipos de datos que Cloud Firewall puede identificar. Habilite la detección de tipos de datos específicos según sus necesidades comerciales.
Haga clic en Apply to Assets, localice el activo público de destino y, en la columna Actions, haga clic en Enable Data Leak Detection.
En la página Data Loss Prevention, puede consultar una descripción general de los eventos de fuga de datos detectados por Cloud Firewall. Esta página proporciona detalles sobre los activos afectados, los eventos de fuga y las cargas útiles de riesgo. Para obtener más información, consulte Data Loss Prevention.
Trazabilidad del tráfico
Cuando la dirección IP real de un servicio está oculta, por ejemplo, detrás de una puerta de enlace NAT o un load balancer, resulta difícil localizar la instancia específica bajo ataque, como una instancia ECS o un servidor. La función Private IP Traceback automatiza el rastreo del origen del ataque mediante la correlación del registro de sesión NAT para revelar la dirección IP privada. Así, usted identifica rápidamente el activo en riesgo.
Esta función solo es compatible con activos públicos de puertas de enlace NAT.
Habilitar la trazabilidad del tráfico no genera cargos adicionales en Cloud Firewall. Sin embargo, el sistema crea un índice para su NAT session log y ejecuta consultas sobre él, lo cual genera costos de Log Service (SLS). Para obtener más información sobre la facturación de SLS, consulte Billing of SLS.
Si la trazabilidad del tráfico está habilitada, pero el índice del registro de sesión NAT no está habilitado o le faltan campos obligatorios, el sistema crea automáticamente un índice nuevo o agrega los campos necesarios.
-
La página Private IP Traceback enumera los activos públicos compatibles con el rastreo. Para la NAT Gateway correspondiente, primero debe habilitar Internet Firewall Status y NAT Gateway Session Logs para que Cloud Firewall pueda ejecutar el rastreo de IP privada. Al hacer clic en el interruptor de la columna Actions, aparece un mensaje con enlaces que lo guían durante la configuración. También puede consultar los siguientes documentos para obtener instrucciones detalladas:
Habilitar Internet Firewall Protection: Enable the firewall
Habilitar el NAT session log: Procedure for configuring NAT session logs
NotaEl registro de sesión NAT no es obligatorio para configuraciones exclusivas de DNAT.
Una vez que haya habilitado tanto Internet Firewall Protection como el NAT session log, haga clic en OK para habilitar Private IP Traceback. Cuando Private IP Traceback muestre Enabled, la función de rastreo estará activa para el activo público.
NotaLa función de trazabilidad del tráfico funciona junto con el registro de sesión NAT. Debido a la latencia de datos al capturar y entregar los registros de la puerta de enlace NAT, los resultados del rastreo de IP privada pueden retrasarse aproximadamente 20 minutos.
Lista de permitidos
Si necesita permitir tráfico bidireccional de confianza hacia o desde direcciones IP de origen o destino IPv4 e IPv6 específicas, puede agregarlas a una lista de permitidos. El tráfico proveniente de direcciones IP incluidas en esta lista no se bloquea mediante las reglas de Basic Protection, Intelligent Defense ni Virtual Patching. Puede agregar hasta 50 direcciones IP tanto a la lista de permitidos de IP de destino como a la de IP de origen.
En el lado derecho de la página, haga clic en Allowlist para configurar los ajustes.
La lista de permitidos solo aplica a Basic Protection, Intelligent Defense y Virtual Patching.
Capacidades de IPS para el perímetro de VPC
Debe habilitar un VPC Firewall antes de configurar las capacidades de IPS para el perímetro de VPC.
Reglas de protección básica
Basic Protection ofrece una prevención de intrusiones fundamental, lo que incluye bloquear vulnerabilidades de ejecución de comandos y conexiones desde dispositivos comprometidos hacia servidores C&C. Esta función brinda protección esencial para sus activos.
Haga clic en .
-
En el panel Basic Protection, configure Current Action y Status para cada regla.
Modificar una regla de protección: en la columna Current Action, cambie la acción de una regla. Las reglas modificadas se marcan como reglas personalizadas.
Restaurar las reglas de protección predeterminadas: haga clic en Restore All IPS Rules of VPC Firewall y luego haga clic en OK.
-
Habilitar o deshabilitar una regla: haga clic en el interruptor de la columna Status.
Enabled: la regla está activa. Las reglas de protección personalizadas tienen mayor prioridad que las reglas predeterminadas.
Disabled: la regla está inactiva.
Las reglas de protección habilitadas aplican a todos los VPC Firewalls de sus servicios.
Reglas de parches virtuales
Cloud Firewall protege en tiempo real contra vulnerabilidades críticas y de emergencia frecuentes. Virtual Patching aplica parches temporales en la capa de red para bloquear intentos de explotación. De esta manera, evita las interrupciones del servicio que pueden ocurrir al aplicar parches en los hosts. No es necesario instalar parches virtuales en sus servidores. Si deshabilita esta función, dejará de recibir actualizaciones en tiempo real.
Haga clic en View Virtual Patching Policies.
-
En el panel Virtual Patching, configure Current Action y Status para cada regla.
Modificar una regla de protección: en la columna Current Action, cambie la acción de una regla. Las reglas modificadas se marcan como reglas personalizadas.
Restaurar las reglas de protección predeterminadas: haga clic en Restore All IPS Rules of VPC Firewall y luego haga clic en OK.
-
Habilitar o deshabilitar una regla: haga clic en el interruptor de la columna Status.
Enabled: la regla está activa. Las reglas de protección personalizadas tienen mayor prioridad que las reglas predeterminadas.
Disabled: la regla está inactiva.
Las reglas de Virtual Patching habilitadas aplican a todos los VPC Firewalls de sus servicios.
Modo de IPS
Haga clic en Configure IPS Mode.
-
En el cuadro de diálogo Configure IPS Mode, seleccione un modo y haga clic en OK.
Puede seleccionar uno de los siguientes modos de IPS:
monitor mode: en este modo, Cloud Firewall supervisa el tráfico malicioso y genera alertas.
-
block mode: en este modo, Cloud Firewall bloquea el tráfico malicioso y detiene las actividades de intrusión. Seleccione distintos niveles de modo de bloqueo según sus requisitos de protección.
Loose: blocks attacks in a loose manner by using rules that prevent a high rate of false positives. This level is suitable for business that requires the false positive rate to be minimized.
Medium: blocks attacks in a standard manner by using common rules. This level is suitable for daily O&M.
Strict: blocks attacks in a strict manner by using all rules. This level is suitable for business that requires the false negative rate to be minimized, such as major events or cybersecurity protection activities launched by public service sectors. The activities are rehearsals for network attack and defense. This level may cause a higher false positive rate than the Medium level.
Capacidades de IPS
Usted puede configurar Basic Protection y Virtual Patching. Una vez completada la configuración, Cloud Firewall inspecciona el tráfico con base en las reglas habilitadas de Basic Protection y Virtual Patching.
Localice la instancia de Cloud Enterprise Network (CEN) o el firewall de Express Connect de destino. En la columna Actions, haga clic en Configure IPS Capabilities para configurar los ajustes.
Lista de permitidos de IPS
Si necesita permitir tráfico de confianza hacia o desde direcciones IP de origen o destino específicas, puede agregarlas a una lista de permitidos. El tráfico proveniente de direcciones IP incluidas en esta lista no se bloquea mediante las reglas de Basic Protection, Intelligent Defense ni Virtual Patching. Puede agregar hasta 50 direcciones IP tanto a la lista de permitidos de IP de destino como a la de IP de origen.
Localice la instancia de Cloud Enterprise Network (CEN) o el firewall de Express Connect de destino. En la columna Actions, haga clic en Configure IPS Whitelist para configurar los ajustes.
La lista de permitidos se puede configurar de tres maneras: Not configured, Custom y Reference address book. Si selecciona Custom, introduzca bloques CIDR, como 100.100.100.100/32, y separe varios bloques con comas. Si selecciona Reference address book, primero debe gestionar sus libretas de direcciones en Access Control. Esta configuración aplica a todas las VPC dentro de la misma instancia de CEN.
Temas relacionados
Después de habilitar Basic Protection, puede consultar el tráfico anómalo entre internet y sus VPC, así como entre VPC, que Cloud Firewall bloqueó en la página Intrusion Prevention.
Después de habilitar Cloud Firewall, puede consultar las vulnerabilidades explotables por red en la página Vulnerability Prevention. Security Center detecta estas vulnerabilidades automáticamente y las sincroniza con Cloud Firewall. La página también muestra las capacidades de prevención de ataques de Cloud Firewall.
Después de habilitar Cloud Firewall, puede consultar detalles sobre las actividades de intrusión detectadas por el motor de amenazas en la página Breach Detection.
-
Preguntas frecuentes: