Este tema ofrece recomendaciones para proteger las interfaces relacionadas con cuentas frente a diversos ataques en distintos escenarios de negocio.
Información de contexto
Web Application Firewall (WAF) es compatible con la detección de seguridad de cuentas. Además de proteger contra ataques web, esta función le ayuda a identificar riesgos de seguridad en las interfaces de negocio vinculadas a sus cuentas, como las de registro e inicio de sesión. Entre estos riesgos se incluyen el relleno de credenciales, los ataques por fuerza bruta, el registro de spam, la obtención de contraseñas débiles y el uso indebido de interfaces SMS. Una vez que configure la detección de seguridad de cuentas en WAF, consulte los resultados en los informes de seguridad de WAF. Para obtener más información, consulte Configure account security.
Uso de CAPTCHA en páginas web y H5
Un CAPTCHA es una de las formas más sencillas y eficaces de proteger interfaces críticas en páginas web de PC o H5. Integrar un servicio de CAPTCHA suele requerir cambios mínimos en el código de su aplicación y toma entre uno y dos días hábiles.
Un CAPTCHA básico bloquea de manera eficaz las llamadas directas a API provenientes de herramientas y scripts sencillos. Sin embargo, conforme evolucionan los métodos y las herramientas de ataque, resulta más fácil evadir estos CAPTCHA básicos. Para una protección más robusta, utilice un servicio profesional de CAPTCHA .
Uso de firma con SDK
Para aplicaciones nativas donde un CAPTCHA no es adecuado, Alibaba Cloud proporciona una solución basada en SDK. El SDK recopila información del hardware y del entorno del dispositivo móvil para firmar y validar las solicitudes. Este proceso reenvía al servidor de origen únicamente las solicitudes de aplicaciones oficiales legítimas. Además, bloquea las solicitudes de scripts, programas automatizados, emuladores u otras fuentes no autorizadas.
Para usar la solución de SDK, debe habilitar el módulo App Protection en WAF. Para obtener más información, consulte App Protection descripción general.
Limitación de velocidad multidimensional
En ataques donde las solicitudes comparten una característica frecuente común, como una dirección IP, sesión, cookie, parámetro o encabezado, utilice la limitación de velocidad multidimensional para bloquear el origen. Por ejemplo, si un atacante emplea muchas direcciones IP de proxy pero reutiliza la misma cookie de sesión, como uid, aplique el límite por cookie. Así, la protección deja de enfocarse en las direcciones IP y pasa a una dimensión de "cuenta" vinculada a su lógica de negocio.
Configure Rate Limiting dentro de una Custom Protection Policy. A continuación se muestra un ejemplo de configuración. Para consultar las instrucciones detalladas, consulte Configure a Custom Protection Policy.
Solo las instancias de WAF de edición Enterprise admiten el uso de campos de objeto estadístico personalizados distintos de IP y Session en Rate Limiting, como cookies, encabezados y parámetros personalizados.
Ejemplo de configuración: establezca Rule Name en test y Match Condition en URL Prefix Match /login.php. Habilite frequency settings, defina el statistical object como Custom Cookie e introduzca el nombre de la cookie uid. Configure Statistical Duration en 60 segundos y Threshold en 10. Para action, seleccione slider CAPTCHA con un Timeout de 1,800 segundos y defina Protection Type como CC attack protection.
Análisis de características anómalas en las solicitudes
En la mayoría de los ataques, una observación cuidadosa revela diferencias entre las solicitudes maliciosas y el tráfico de usuarios legítimos. A continuación se presentan algunas características anómalas comunes en las solicitudes.
Encabezados HTTP incompletos. Por ejemplo, las solicitudes podrían carecer de campos como referer, cookie o content-type.
Valores anómalos de User-Agent. Un volumen alto de solicitudes hacia un sitio web estándar podría presentar cadenas User-Agent típicas de clientes Java o Python. También pueden aparecer solicitudes a un mini programa de WeChat con cadenas User-Agent propias de navegadores de escritorio.
Cookies incompletas. Una aplicación habitual utiliza varias cookies con significados específicos del negocio, como SessionID, userid, deviceid y lastvisit. Sin embargo, un bot podría enviar solo una o dos cookies necesarias para obtener un resultado y omitir las demás que forman parte de una sesión normal de usuario.
Las solicitudes podrían contener parámetros faltantes o repetidos que no afectan el resultado.
Datos anómalos en los campos de negocio. Las direcciones de correo electrónico, los números de teléfono o la información de la cuenta podrían incluir palabras clave inusuales o ilógicas.
Utilice WAF Log Service para consultar los registros. Esto le permite analizar rápidamente las características de las solicitudes; por ejemplo, ordenar por las principales direcciones IP o determinar el porcentaje de tráfico que comparte una característica específica.
Debe habilitar el módulo Log Service en su instancia de Web Application Firewall antes de usar el servicio de registros. Para obtener más información, consulte Get started with WAF Log Service.
Relleno de credenciales e inteligencia de amenazas de bots
El módulo Bot Management de WAF emplea algoritmos para identificar direcciones IP maliciosas asociadas con el relleno de credenciales en toda la red de Alibaba Cloud. Estos datos conforman una base de datos de inteligencia de IP sobre relleno de credenciales que se actualiza de forma dinámica. Utilice la función Bot Threat Intelligence del módulo Bot Management para habilitar la detección de IP de relleno de credenciales. Configure la regla en modo Monitor o defina una acción, como Block o slider CAPTCHA, para las direcciones IP coincidentes. Para obtener más información, consulte Set up Bot Threat Intelligence rules.
Debe habilitar el módulo Bot Management en su instancia de Web Application Firewall antes de usar la función Bot Threat Intelligence.