Edge Security Acceleration:Security rules

Evaluación de amenazas

La detección de amenazas de ESA se basa en la biblioteca de inteligencia de amenazas de Alibaba Cloud, que agrega datos globales de amenazas cibernéticas en tiempo real.

• Fuentes de inteligencia: direcciones IP maliciosas conocidas, orígenes de ataque, botnets y servicios de proxy.

• Dimensiones de detección: el sistema evalúa la reputación de IP, la ubicación geográfica, los patrones de acceso y los atributos de solicitud, como User-Agent; luego genera una puntuación de amenaza dinámica para determinar el nivel de seguridad.

Niveles de seguridad personalizables

Los niveles de seguridad controlan la sensibilidad de la detección de amenazas y la rigurosidad de las contramedidas. Los niveles más altos ofrecen una protección más fuerte, pero aumentan el riesgo de falsos positivos.

Cree una regla de seguridad

1. En la consola de ESA, vaya a Websites y haga clic en el sitio web de destino en la columna Website.

2. En el panel de navegación izquierdo, elija Rules > Security Rules.

3. Haga clic en Create Rule e introduzca un Rule Name.

4. En la sección If requests match..., configure request attributes para la coincidencia y, en la sección Then execute..., seleccione un nivel de seguridad. Por ejemplo: For requests with the hostname www.example.com, set the security level to Medium.

   

   Importante

   Si elige un nivel de seguridad más alto, aumenta el riesgo de falsos positivos. Equilibre la seguridad con la experiencia del usuario.

5. (Opcional) Para cambiar la precedencia de la regla, arrastre el icono en la columna Order o haga clic en Move to en la columna Actions.

   

Compruebe el efecto de la regla

La regla surte efecto de inmediato. Cuando una solicitud que coincide con las condiciones de la regla llega a www.example.com, el visitante recibe una página de desafío.

Una vez superado el desafío, la página se carga con normalidad. Los parámetros u_atoken y u_asession se agregan a la URL de la solicitud para identificar a los usuarios verificados.

Gestione los falsos positivos y optimice las reglas

Las direcciones IP de usuarios legítimos o los clientes de API pueden generar falsos positivos. Considere el escenario que se describe a continuación:

• Método 1: Agregar una regla de lista de permitidos

  Agregue una whitelist rule de WAF para las direcciones IP conocidas y asegúrese de que el tráfico empresarial crítico no se interrumpa.

  1. En la página Security Rules, copie el Rule ID correspondiente.

  2. En el panel de navegación izquierdo, elija Security > WAF. Seleccione la pestaña Whitelist Rules y, a continuación, haga clic en Create Rule.

  3. Configure los ajustes como se muestra a continuación y haga clic en OK:

     • Rule Name: introduzca un nombre de regla personalizado, como rule-allow-test-ip.

     • If requests match...: en la lista desplegable del campo de coincidencia, seleccione Client IP. En la lista desplegable del operador, seleccione is in. En el cuadro de texto, introduzca 1.2.3.4.

     • Rule: seleccione Specific Rule Category/ID.

     • Rule Category: en la lista desplegable, seleccione Security Level.

     • Rule ID: introduzca el Rule ID del paso 1.

     

• Método 2: Ajustar la precedencia de reglas

  Dado que ESA evalúa las reglas secuencialmente, puede crear una regla de menor seguridad para el tráfico de prueba y colocarla antes de la regla de bloqueo para que surta efecto primero.

  1. En el panel de navegación izquierdo, elija Rules > Security Rules y, a continuación, haga clic en Create Rule.

  2. Configure los ajustes como se muestra a continuación y haga clic en OK: en la sección If requests match..., cree una condición que coincida con la dirección IP, el User-Agent o la ruta de solicitud afectados. Luego, en la sección Then execute..., establezca Security Level en Essentially Off u Off (Available in Enterprise Plans) para omitir las comprobaciones de seguridad.

     • Rule Name: introduzca un nombre de regla personalizado, como rule-allow-test-ip.

     • Apply to: Filtered Requests está seleccionado de forma predeterminada. Para el campo de coincidencia, seleccione Client IP. Para el operador, seleccione is in. En el cuadro de entrada, introduzca 1.2.3.4.

     • Security Level: seleccione Essentially Off u Off (Available in Enterprise Plans) para omitir las comprobaciones de seguridad.

     

  3. En la página Security Rules, arrastre el icono para ajustar el orden de ejecución de las reglas. Coloque la regla rule-allow-test-ip antes de la regla original.