Web Application Firewall:Configurar la prevención de fuga de datos

Una vez que un sitio web se integra en Web Application Firewall (WAF), puede habilitar la función de prevención de fuga de datos. Esta función filtra información confidencial de las respuestas del servidor, como números de identificación, números de teléfono, números de tarjetas bancarias y palabras sensibles. El filtrado aplica a elementos como páginas de error o palabras clave. Después, la función ofusca los datos para su visualización o devuelve una página de error predeterminada.

Contexto

La función de prevención de fuga de datos en WAF es una solución de seguridad que protege la información personal y cumple con las normativas de seguridad de datos. Ofrece ofuscación y alertas para los datos confidenciales detectados en el sitio web, como números de celular, números de identificación y números de tarjetas de crédito. También permite bloquear respuestas según códigos de estado HTTP específicos.

Funciones

Las causas comunes de fuga de datos incluyen el acceso no autorizado a URL, las vulnerabilidades de escalada de privilegios y la extracción maliciosa de contenido web. Para mitigar estos riesgos, la función de prevención de fuga de datos ofrece las siguientes capacidades:

• Detecta datos personales confidenciales en las páginas web, como números de identificación, números de celular y números de tarjetas de crédito. Además, proporciona medidas de protección como alertas y ofuscación de datos para evitar brechas de seguridad.

  Importante

  La función de prevención de fuga de datos admite actualmente los formatos de datos utilizados en China continental, como números de identificación, números de celular y números de tarjetas de crédito. No es compatible con los formatos de estos tipos de datos provenientes de fuera de China continental.

• Evita la exposición de información confidencial del servidor, como el tipo y la versión del software de la aplicación web y del sistema operativo, mediante el bloqueo de dichas respuestas.

• Utiliza una biblioteca integrada de palabras clave confidenciales para detectar su presencia en las páginas web. También ejecuta acciones de protección como alertas y ofuscación de palabras clave.

Funcionamiento

La prevención de fuga de datos inspecciona las páginas de respuesta en busca de información confidencial, como números de identificación, números de celular y números de tarjetas de crédito. Esta inspección se basa en las reglas que usted configura. Cuando WAF encuentra una coincidencia, ejecuta la acción especificada, que puede ser generar una alerta o filtrar la información confidencial. La acción de filtrado ofusca los datos al reemplazar partes de ellos con asteriscos (*).

Esta función admite Content-Types como text/*, image/* y application/*, lo cual abarca aplicaciones web, aplicaciones móviles e interfaces API.

Procedimiento

1. Inicie sesión en la consola de Web Application Firewall (WAF). En la barra de menú superior, seleccione el resource group y la región de su instancia de WAF: Chinese Mainland o Outside Chinese Mainland.

2. En el panel de navegación izquierdo, elija Protection Config > Protected Objects. En la lista Protected Objects, busque el nombre de dominio de destino y haga clic en Settings en la columna Actions.

3. Haga clic en la pestaña Web Security, busque la sección Data Leakage Prevention, active el interruptor Status y luego haga clic en Configure Now.

   Importante

   • Debe habilitar la prevención de fuga de datos antes de crear reglas de protección.

   • Después de habilitar esta función, WAF inspecciona de forma predeterminada todas las solicitudes dirigidas al sitio web. Puede configurar una lista de permitidos de seguridad de datos para que las solicitudes que cumplan condiciones específicas omitan esta inspección. Para obtener más información, consulte Configure a data security whitelist.

4. Cree una regla de prevención de fuga de datos.

   1. En la página Data Leakage Prevention, haga clic en Create Rule.

   2. En el cuadro de diálogo Create Rule, configure los siguientes parámetros.

      Parámetro	Descripción
      Rule Name	Introduzca un nombre para la regla.
      Match Condition	Defina el tipo de información confidencial que se detectará en la respuesta. Valores válidos: Status Code: 400, 401, 402, 403, 404, 500, 501, 502, 503, 504, 405-499 y 505-599 Sensitive Information: ID Card Number, Credit Card Number, Mobile Phone Number y Default Sensitive Word Importante La función de prevención de fuga de datos admite actualmente los formatos de datos utilizados en China continental, como números de identificación, números de celular y números de tarjetas de crédito. No es compatible con los formatos de estos tipos de datos provenientes de fuera de China continental. Puede seleccionar uno o varios tipos para Status Code y Sensitive Info. Si selecciona AND, también puede especificar una URL para limitar la detección a una página específica.
      Action	Defina la acción que se ejecutará cuando se encuentre una coincidencia en la respuesta. Si Status Code es Status Code, están disponibles las siguientes acciones: Alert: genera una alerta. Block: bloquea la respuesta y devuelve una página de bloqueo. Si Sensitive Information es Sensitive Information, están disponibles las siguientes acciones: Alert: genera una alerta. Filter Sensitive Information: ofusca la información confidencial.

      Ejemplos de configuración de reglas

      • Ofuscar información confidencial: para ofuscar datos confidenciales como números de celular y números de identificación, cree una regla con la siguiente configuración:

        • Match Condition: Sensitive Info contiene ID Card Number y Mobile Phone Number.

        • Action: Filter Sensitive Information.

        Una vez aplicada esta regla, todos los números de celular y de identificación del sitio web se ofuscan automáticamente.

        Importante

        Esta regla también podría ofuscar números de teléfono visibles públicamente, como los de consultas comerciales o líneas de soporte.

      • Bloquear por código de estado: para bloquear o generar alertas ante códigos de estado HTTP específicos y así evitar fugas de información del servidor, cree una regla con la siguiente configuración. Este ejemplo bloquea las respuestas con el código de estado HTTP 404.

        • Match Condition: Status Code contiene 404.

        • Action: Block.

        Tras aplicar esta regla, si un usuario solicita una página inexistente en el sitio web, WAF devuelve una página de bloqueo.

      • Filtrar información confidencial en una URL específica: para filtrar datos confidenciales como números de identificación en una página concreta, cree una regla con la siguiente configuración. Este ejemplo filtra los números de identificación en la página admin.php.

        • Match Condition: Sensitive Info contiene ID Card Number y URL contiene admin.php.

        • Action: Filter Sensitive Information.

        Después de aplicar esta regla, solo se ofuscan automáticamente los números de identificación presentes en la página admin.php.

   3. Haga clic en OK.

      Cuando se crea una regla, se activa automáticamente. Puede consultarla, editarla o eliminarla desde la lista de reglas.

A continuación

Después de habilitar la prevención de fuga de datos, vaya a la página Security Report para consultar los registros de las solicitudes filtradas o bloqueadas. Estos se encuentran en el informe Web Security > Data Leakage Prevention. Para obtener más información, consulte WAF security reports.