Web Application Firewall:Configurar la seguridad de cuentas

Requisitos previos

• Compró una instancia de Web Application Firewall (WAF) de tipo Pro o superior.

• Agregó su sitio web a WAF. Para obtener más información, consulte Tutorials.

Contexto

Antes de configurar la protección de seguridad de cuentas, identifique los endpoints relevantes de su aplicación. Esto incluye el nombre de dominio, la URL donde se envían las credenciales de la cuenta y los nombres de parámetro de los campos de usuario y contraseña. Cada instancia de WAF protege un máximo de tres endpoints.

Agregar un endpoint protegido

1. Inicie sesión en la consola de Web Application Firewall.

2. En la barra de menú superior, seleccione el resource group y la región de su instancia de Web Application Firewall (Chinese Mainland o Outside Chinese Mainland).

3. En el panel de navegación izquierdo, elija Scenario-specific Protection > Account Security.

4. En la página Account Security, haga clic en Add Endpoint.

   Si es la primera vez que accede a la página Account Security, omita este paso.

   Nota

   Cada instancia de WAF protege un máximo de tres endpoints. Si ya agregó tres endpoints, el botón Add Endpoint se deshabilita.

5. En el cuadro de diálogo Add Endpoint, configure los parámetros del endpoint, establezca Protective Action en Report o Block y, a continuación, haga clic en Save. Los parámetros incluyen la dirección Endpoint to be Detected (por ejemplo, /login.do), Request Method, Account Parameter Name (por ejemplo, username) y Password Parameter Name (por ejemplo, pwd).

   Parámetro	Descripción
   Endpoint	Seleccione el dominio que desea proteger e introduzca el URI del endpoint donde se envían las credenciales de la cuenta. El endpoint no es la dirección de la página de inicio de sesión (por ejemplo, /login.html), sino la API que recibe las credenciales enviadas. Nota Si habilitó la detección de activos, WAF completa automáticamente todos los endpoints del dominio agregado. Seleccione en la lista el endpoint que desea proteger. Para obtener más información, consulte asset discovery.
   Request Method	Seleccione el método de solicitud del endpoint. Valores válidos: POST, GET, PUT y DELETE.
   Account Parameter Name	Especifique el nombre de parámetro del campo de cuenta.
   Password Parameter Name	Especifique el nombre de parámetro del campo de contraseña. Si el endpoint no requiere contraseña, deje este parámetro vacío.
   Action	Seleccione una acción para las solicitudes identificadas como riesgos de seguridad de cuentas. Valores válidos: Alert Block

   Ejemplos de configuración:

   • Escenario 1: si el endpoint de inicio de sesión es /login.do y el cuerpo de la solicitud POST es username=Jammy&pwd=123456, establezca Account Parameter Name en username y Password Parameter Name en pwd.

   • Escenario 2: si las credenciales de inicio de sesión están en la URL de una solicitud GET, como /login.do?username=Jammy&pwd=123456, establezca Request Method en GET. El resto de los ajustes son iguales a los del escenario 1.

   • Escenario 3: si el endpoint no requiere contraseña, como ocurre en un endpoint de registro de usuarios, solo necesita especificar Account Parameter Name. Deje Password Parameter Name vacío.

   • Escenario 4: si el endpoint utiliza un número de celular como credencial de usuario, trate dicho número como el parámetro de cuenta. Por ejemplo, si la solicitud es /sendsms.do?mobile=1381111****, establezca Endpoint en /sendsms.do y Account Parameter Name en mobile. Deje Password Parameter Name vacío.

   Después de agregar el endpoint protegido, WAF inicia una tarea de detección. Si el tráfico hacia el endpoint coincide con la lógica de detección, se generan eventos de seguridad de cuentas en unas pocas horas.

   Nota

   De forma predeterminada, cuando habilita la seguridad de cuentas, WAF comprueba todas las solicitudes dirigidas a su sitio web con las reglas de seguridad de cuentas. Configure una lista blanca de seguridad de datos para permitir que las solicitudes que cumplan condiciones específicas omitan estas comprobaciones. Para obtener más información, consulte Configure a data security whitelist.

Consultar los informes de seguridad de cuentas

En la página Account Security, haga clic en View Report en la columna Actions de un endpoint para consultar su informe. También puede consultar los informes de seguridad de cuentas en la página Security Report de WAF.

A continuación se describe el procedimiento para consultar el informe de seguridad de cuentas desde la página Security Report.

1. Inicie sesión en la consola de Web Application Firewall.

2. En la barra de menú superior, seleccione el resource group y la región de su instancia de Web Application Firewall (Chinese Mainland o Outside Chinese Mainland).

3. En el panel de navegación izquierdo, elija Security Operations > Security Reports.

4. En la pestaña Web Security, haga clic en Account Security. Seleccione el dominio, el endpoint y el intervalo de tiempo (Yesterday, Today, 7 Days o 30 Days) para consultar los eventos de riesgo de seguridad de cuentas correspondientes.

   A continuación se describen los campos del informe de seguridad de cuentas.

   Campo	Descripción
   Endpoint	El URI del endpoint donde se detectaron eventos de seguridad de cuentas.
   Domain Name	El dominio al que pertenece el endpoint.
   Time Frame of Malicious Requests	El periodo durante el cual se detectaron los eventos de seguridad de cuentas.
   Blocked requests	El número de solicitudes dirigidas al endpoint que bloquearon las políticas de protección de WAF durante el intervalo de tiempo especificado en Time Frame of Malicious Requests. Estas políticas incluyen todas las reglas de protección efectivas, como las reglas de protección contra ataques web, la política de protección personalizada (ACL), la protección contra inundación HTTP y la lista negra de regiones. Este recuento indica qué tan eficaz es la mitigación del riesgo de cuentas para el endpoint.
   Total Requests	El número total de solicitudes enviadas al endpoint durante el intervalo de tiempo especificado en Time Frame of Malicious Requests.
   Alert Cause	El motivo por el que se activó la alerta. Algunos ejemplos son: La solicitud coincide con el modelo de comportamiento de un ataque de diccionario o de fuerza bruta. La línea base de tráfico del endpoint presentó anomalías durante el periodo especificado. Un gran número de solicitudes dirigidas al endpoint coincidieron con entradas de la base de datos de inteligencia de amenazas durante el periodo especificado. Un gran número de solicitudes dirigidas al endpoint contenían una contraseña débil durante el periodo especificado, lo que indica un riesgo de ataque de fuerza bruta o de diccionario.

Más información

La función de seguridad de cuentas de WAF sirve únicamente para la detección. Dado que la seguridad de cuentas implica lógica de negocio y escenarios técnicos complejos, seleccione una estrategia de protección según sus necesidades específicas. Para obtener más información, consulte Account security best practices.