El agente de Runtime Application Self Protection (RASP) supervisa su aplicación durante la ejecución. Utiliza análisis semántico y comprobaciones de línea base de comportamiento para detectar amenazas con una tasa baja de falsos positivos. La mayoría de las alertas que genera indican ataques reales. En este tema se explica cómo revisar la evidencia de una alerta y determinar si es un verdadero positivo. También se describe cómo suprimir los falsos positivos mediante reglas de lista blanca.
Requisitos previos
Antes de empezar, asegúrese de contar con lo siguiente:
Application Protection habilitado en Security Center.
Acceso a la consola de Security Center.
(Opcional) El agente de RASP en la versión 0.5.2 o posterior. Esta versión es obligatoria para configurar reglas de lista blanca basadas en características maliciosas o parámetros de entrada. Reinicie la aplicación protegida para actualizar automáticamente a la versión más reciente.
Revisar una alerta y responder
A continuación se muestra un ejemplo de una alerta generada por la carga de un archivo malicioso.
Inicie sesión en la consola de Security Center. En la barra de navegación superior, seleccione la región de los recursos que desea gestionar: China u Outside China.
En el panel de navegación izquierdo, elija Protection Configuration > Application Protection.
En la pestaña Attack Alerts, busque la alerta y haga clic en Details dentro de la columna Actions.
En la página de detalles de la alerta, examine la evidencia y determine si se trata de un verdadero positivo.
Comprender la evidencia de la alerta
La página de detalles se organiza en cuatro secciones. Revise cada una para determinar si la alerta corresponde a un ataque real o a un falso positivo.
|
Sección |
Campo |
Información que proporciona |
Cómo utilizarla |
|
Basic alert |
Attacker IP address |
La dirección IP de origen que accedió a su aplicación. |
Compruebe si esta IP pertenece a un sistema interno conocido, a un usuario de confianza o a una herramienta de escaneo de seguridad. Las direcciones IP externas inesperadas requieren una investigación adicional. |
|
Basic alert |
Vulnerability name |
La vulnerabilidad que aprovechó el atacante, si aplica. |
Haga clic en el identificador de la vulnerabilidad para consultar los detalles. Aplique el parche correspondiente para reducir la superficie de ataque. |
|
Advanced alert |
Malicious characteristics |
Los datos maliciosos enviados a su aplicación. En este ejemplo: una solicitud para cargar |
Determine si esta solicitud corresponde a un comportamiento esperado. Si es así, agréguela a una lista blanca. De lo contrario, trátela como un ataque real. |
|
Advanced alert |
Trigger function |
La función sensible desde el punto de vista de seguridad que generó la alerta dentro de la aplicación. |
Identifique qué función interna estuvo involucrada. |
|
Advanced alert |
Specified parameters |
Un objeto JSON que muestra el comportamiento y los registros de eventos generados cuando la aplicación procesó la solicitud. |
Examine los pares clave-valor en busca de patrones sospechosos. |
|
Advanced alert |
Stack calling |
La pila de llamadas en el momento del evento, que registra la secuencia de invocaciones de funciones. |
Siga la ruta de ejecución para comprender cómo el atacante llegó al código vulnerable. |
|
More information |
Request URL |
Información sobre la solicitud HTTP que accedió a la aplicación. |
Compruebe si la solicitud provino de una fuente legítima. Si no es así, aplique control de acceso o bloquee las solicitudes de ese origen. |
Consulte el resumen generado por inteligencia artificial en la sección Alert Analysis para obtener un indicador adicional sobre si la alerta es un verdadero positivo.
Responder según su evaluación
Después de revisar la evidencia, actúe según si la alerta corresponde a un ataque real y el modo de protección activo:
|
Escenario |
Monitor mode |
Block mode |
|
Ataque real |
La solicitud no se bloqueó. Localice y elimine de inmediato cualquier archivo malicioso. |
El ataque se bloqueó y el archivo no se escribió en el servidor. No se requiere limpieza inmediata. |
|
Falso positivo |
Agregue la alerta a una lista blanca para suprimir alertas similares. |
Agregue la alerta a una lista blanca para suprimir alertas similares. |
Suprimir falsos positivos con reglas de lista blanca
Si una alerta se genera por una solicitud legítima, agréguela a una lista blanca. La página de detalles de la alerta rellena previamente los campos de la lista blanca con los valores de la alerta. Esto le permite actuar directamente sin ingresar los datos de forma manual.
Para crear reglas de lista blanca basadas en Malicious characteristics o Specified parameters, actualice el agente de RASP a la versión 0.5.2 o posterior. Para consultar las instrucciones de actualización, consulte View the version of the RASP agent.
Agregar una alerta a una lista blanca
Inicie sesión en la consola de Security Center. En la barra de navegación superior, seleccione la región de los recursos que desea gestionar: China u Outside China.
En el panel de navegación izquierdo, elija Protection Configuration > Application Protection.
En la pestaña Attack Alerts, busque la alerta y elija Handle > Create Protection Whitelist dentro de la columna Actions.
-
En el panel Create Protection Whitelist, configure las reglas de lista blanca y haga clic en OK.
El sistema rellena previamente los campos de la regla con base en los detalles de la alerta. Estos valores generan reglas precisas que apuntan al patrón específico de la solicitud.
Para ampliar el alcance, por ejemplo, para suprimir todas las alertas de un directorio completo en lugar de un solo archivo, ajuste los campos Match Mode y Content to Match.
Ejemplo: la alerta se generó por
/usr/local/tomcat/webapps/upload/1.jsp. Si todas las solicitudes al directorio/upload/son legítimas, cambie Match Mode a Prefix Match y establezca Content to Match en/usr/local/tomcat/webapps/upload/.
Modos de coincidencia:
|
Modo de coincidencia |
Condición para no generar alerta |
|
Exact Match |
El contenido transmitido coincide exactamente con el valor de Content to Match. |
|
Partial Match |
El contenido transmitido contiene la cadena indicada en Content to Match. |
|
Prefix Match |
El contenido transmitido comienza con la cadena indicada en Content to Match. |
|
Suffix Match |
El contenido transmitido termina con la cadena indicada en Content to Match. |
Después de guardar, consulte y gestione la regla en la página Whitelists.
Gestionar reglas de lista blanca
Consultar reglas de lista blanca
Inicie sesión en la consola de Security Center. En la barra de navegación superior, seleccione la región de los recursos que desea gestionar: China u Outside China.
En el panel de navegación izquierdo, elija Protection Configuration > Application Protection.
En la pestaña Attack Alerts, haga clic en Whitelists.
-
En la página Whitelists, consulte y gestione las reglas mediante las siguientes acciones:
Habilitar o deshabilitar una regla: active o desactive el interruptor en la columna Rule Switch.
Editar una regla: haga clic en Edit dentro de la columna Actions.
Eliminar una regla: haga clic en Delete dentro de la columna Actions.
Crear una regla: haga clic en Create Protection Whitelist. Para más información, consulte Crear reglas de lista blanca.
Crear reglas de lista blanca
Crear una regla de lista blanca desde la página Whitelists le permite aplicar una misma regla a varios grupos de aplicaciones y tipos de amenaza de forma simultánea. Este método resulta más eficiente que agregar las alertas una por una.
Inicie sesión en la consola de Security Center. En la barra de navegación superior, seleccione la región de los recursos que desea gestionar: China u Outside China.
En el panel de navegación izquierdo, elija Protection Configuration > Application Protection.
En la pestaña Attack Alerts, haga clic en Whitelists.
En la página Whitelists, haga clic en Create Protection Whitelist.
-
En el panel Create Protection Whitelist, configure los parámetros de la regla y haga clic en OK.
Parámetro
Descripción
Rule Name
Un nombre descriptivo para la regla de lista blanca.
Allowlist Mode
La base de la lista blanca: Malicious Characteristics, Specified Parameters o Request URL.
Threat Type
El tipo de amenaza que se va a suprimir. Haga clic en Select para elegir una opción en el panel Threat Type.
Match Mode
La forma en que el contenido transmitido se compara con Content to Match. Consulte la tabla de modos de coincidencia anterior.
Content to Match
El valor que se debe coincidir, basado en Malicious Characteristics, Specified Parameters o Request URL de los detalles de la alerta.
Destination Application Groups
Los grupos de aplicaciones a los que se aplica la regla. Haga clic en Select para elegir una opción en el panel Destination Application Groups.
Pasos siguientes
Habilite la función de prevención de webshells en memoria para mejorar sus capacidades generales de detección. Para más información, consulte Use the in-memory webshell prevention feature.