Web Application Firewall:Configurar reglas de inteligencia de amenazas de bots

Requisitos previos

Antes de empezar, compruebe que cuenta con lo siguiente:

• Compró una instancia de WAF en una región fuera de China continental y el módulo Bot Management está habilitado para dicha instancia.

• Una instancia de WAF con la función Bot Manager habilitada.

• Su sitio web agregado a WAF (consulte Tutorial).

Antes de habilitar una biblioteca

Revise a continuación notas antes de activar cualquier biblioteca de inteligencia:

• Se inspecciona todo el tráfico. Una vez que habilite la inteligencia de amenazas de bots, se revisará cada solicitud dirigida a su sitio web. Para eximir solicitudes específicas, configure una lista de permitidos de administración de bots. Consulte Configure a whitelist for Bot Management.

• Fake Crawler Blacklist requiere primero una lista de permitidos. Esta biblioteca bloquea las solicitudes que utilizan el User-Agent de motores de búsqueda autorizados (como BaiduSpider) para suplantar rastreadores legítimos. Sin una lista de permitidos de rastreadores, es posible que se bloquee el tráfico legítimo de los motores de búsqueda. Consulte Configure the allowed crawlers function.

• Malicious Crawler Blacklist presenta un riesgo escalonado de falsos positivos. Los niveles de gravedad más altos incluyen más direcciones IP y generan una mayor tasa de falsos positivos. Para la biblioteca de alta gravedad, utilice tanto CAPTCHA como la validación de JavaScript para desafiar las solicitudes en lugar de bloquearlas de inmediato. Si la verificación mediante desafíos no es viable, habilite únicamente la biblioteca de baja gravedad.

• El CAPTCHA deslizante solo admite solicitudes síncronas. Las acciones Captcha y Strict Captcha utilizan un CAPTCHA deslizante. No se admiten solicitudes Ajax ni otras peticiones asíncronas. Para verificar el tráfico asíncrono, comuníquese con el equipo de seguridad de Alibaba Cloud o pruebe con una política de protección personalizada. Consulte Configure a custom protection policy.

Habilitar reglas de inteligencia de amenazas de bots

1. Inicie sesión en la consola de WAF.

2. En la barra de navegación superior, seleccione el resource group y la región donde se desplegó su instancia de WAF. Puede elegir Chinese Mainland o Outside Chinese Mainland.

3. En el panel de navegación izquierdo, elija Protection Configurations > Website Protection.

4. En la parte superior de la página Website Protection, seleccione el nombre de dominio que desea proteger en la lista desplegable Switch Domain Name.

5. Haga clic en la pestaña Bot Management, busque la sección Bot Threat Intelligence, active Status y haga clic en Settings.

6. En la lista de reglas de Bot Threat Intelligence, busque la biblioteca que desea activar y encienda el interruptor en la columna Status. A continuación se describe cada biblioteca de inteligencia. Después de habilitar una biblioteca, WAF aplica la acción Monitor a las solicitudes coincidentes; esto permite el paso del tráfico mientras lo registra en los registros.

   Biblioteca de inteligencia	Cobertura	Acción predeterminada
   Malicious Scanner Fingerprint Blacklist	Características de decenas de miles de escáneres, basadas en el análisis de tráfico.	Monitor
   Malicious Scanner IP Blacklist	Direcciones IP de las fuentes de ataques de escaneo, actualizadas dinámicamente a partir del tráfico de Alibaba Cloud.	Monitor
   Credential Stuffing IP Blacklist	Cientos de miles de direcciones IP asociadas con ataques de relleno de credenciales y fuerza bruta.	Monitor
   Fake Crawler Blacklist	Rastreadores que utilizan el User-Agent de motores de búsqueda autorizados (como BaiduSpider) para suplantar programas legítimos. Importante Configure una lista de permitidos de rastreadores antes de habilitar esta biblioteca para evitar falsos positivos.	Monitor
   Malicious Crawler Blacklist	Millones de direcciones IP maliciosas, actualizadas dinámicamente a partir de las fuentes de ataque de rastreadores en Alibaba Cloud. Hay tres niveles de gravedad disponibles: bajo, medio y alto. Un nivel de gravedad mayor incluye más direcciones IP, pero también incrementa la tasa de falsos positivos.	Monitor
   IDC IP Lists	Direcciones IP de nubes públicas y centros de datos locales, incluidas las de Alibaba Cloud, Tencent Cloud, Meituan Open Services y 21Vianet. Los atacantes suelen enrutar rastreadores a través de estas redes, mientras que los usuarios comunes rara vez acceden a sitios web desde ellas.	Monitor

7. (Opcional) Personalice la ruta protegida o la acción de una regla. Las reglas predeterminadas se aplican a todos los directorios (/) del nombre de dominio. Para restringir la protección a rutas específicas o cambiar la acción de respuesta, haga clic en Edit dentro de la columna Actions de la regla que desea modificar. En el cuadro de diálogo Edit Intelligence, configure los siguientes parámetros:

   Parámetro	Descripción
   Protected Path	La ruta de URL que se va a proteger, como /login o /api. Utilice / para abarcar todos los directorios. Para cada ruta, seleccione un modo de coincidencia: Precise Match (solo la URL exacta), Prefix Match (la URL comienza con la ruta especificada) o Regular Expression Match (la URL coincide con una expresión regular). Haga clic en Add Protected URL para agregar más rutas. Se admiten hasta 10 rutas.
   Action	La acción que se ejecutará cuando una solicitud coincida con la regla. Opciones: Monitor (permite y registra), Block (deniega la solicitud), JavaScript Validation (desafía al cliente con una comprobación de JavaScript antes de permitir la solicitud), Captcha (desafía al cliente con un CAPTCHA deslizante antes de permitir la solicitud) o Strict Captcha (igual que Captcha, pero con un estándar de verificación de identidad más estricto).

   Haga clic en OK para guardar.

Pasos siguientes

• Para eximir solicitudes específicas de las comprobaciones de inteligencia de amenazas de bots, consulte Configure a whitelist for Bot Management.

• Para permitir rastreadores legítimos conocidos, consulte Configure the allowed crawlers function.

• Para probar reglas basadas en CAPTCHA con tráfico asíncrono, consulte Configure a custom protection policy.