Web Application Firewall:Configurar la protección contra escaneos

Requisitos previos

• Ya activó una instancia de Web Application Firewall y su edición es Pro o superior.

  Importante

  Las instancias de la edición Pro solo admiten la política predeterminada de protección contra escaneos y no son compatibles con políticas personalizadas. Para crear políticas de protección personalizadas para High-frequency Web Attack Blocking y Directory Traversal Prevention, su instancia debe ser de edición Enterprise o superior.

• Ya agregó su sitio web a WAF. Para obtener más información, consulte Tutorials.

Contexto

La función de protección contra escaneos incluye las siguientes políticas de protección:

• High-frequency Web Attack Blocking: bloquea automáticamente las direcciones IP de clientes que lanzan varios ataques web en un periodo corto. Permite personalizar las reglas de protección y desbloquear direcciones IP de forma manual.

• Directory Traversal Prevention: bloquea automáticamente las direcciones IP de clientes que lanzan varios ataques de recorrido de directorios en un periodo corto. Permite personalizar las reglas de protección y desbloquear direcciones IP de forma manual.

• Scanner Blocking: bloquea automáticamente las solicitudes de acceso provenientes de direcciones IP asociadas con escáneres. Los escáneres compatibles incluyen Sqlmap, AWVS, Nessus, Appscan, Webinspect, Netsparker, Nikto y Rsas.

• Collaborative Protection: bloquea automáticamente las solicitudes de acceso provenientes de direcciones IP incluidas en la base de datos global de direcciones IP maliciosas de Alibaba Cloud.

Procedimiento

1. Inicie sesión en la consola de Web Application Firewall.

2. En la barra de menús superior, seleccione el resource group y la región de su instancia de Web Application Firewall (Chinese Mainland o Outside Chinese Mainland).

3. En el panel de navegación izquierdo, elija Protection Config > Website Protection.

4. En la página Website Protection, cambie al nombre de dominio que desea configurar.

5. Haga clic en la pestaña Access Control/Throttling y ubique la sección Scan Protection. Esta sección ofrece interruptores para cuatro funciones: Blocking IPs Initiating High-frequency Web Attacks, Directory Traversal Prevention, Scanning Tool Blocking y Collaborative Defense. Para Blocking IPs Initiating High-frequency Web Attacks y Directory Traversal Prevention, puede hacer clic en Settings para personalizar las reglas y en Unblock IP Address para quitar los bloqueos de direcciones IP. Para completar la configuración de protección contra escaneos, habilite las funciones que necesite.

   Nota

   Cuando se habilita cualquier función de protección contra escaneos, esta inspecciona de forma predeterminada todas las solicitudes dirigidas a su sitio web. Puede configurar una lista blanca para Access Control/Throttling y permitir que las solicitudes válidas omitan la protección contra escaneos. Para obtener más información, consulte Configure a whitelist for Access Control/Throttling.

   • High-frequency Web Attack Blocking: habilite o deshabilite esta función.

     Para configurar la política de protección, siga estos pasos:

     1. Active el interruptor de Blocking IPs Initiating High-frequency Web Attacks.

     2. Haga clic en Configure Now.

     3. En el cuadro de diálogo Rule Settings, configure los siguientes parámetros: Time Range (segundos), Minimum Attacks (veces) y Blocking Duration (segundos). En el cuadro de diálogo Rule Setting, los valores predeterminados son 60 segundos para Inspection Time Range, 20 veces para The number of attacks exceeds y 1800 segundos para Blocked IP Addresses.

        Descripción de la regla: si la cantidad de ataques web desde una dirección IP de cliente dentro del Time Range especificado supera el valor establecido en Minimum Attacks, se bloquean las solicitudes de acceso de esa dirección IP durante el tiempo definido en Blocking Duration.

        Nota

        Se recomienda usar la configuración de Mode. Puede seleccionar un modo predefinido (Loose, Strict o Normal) y luego ajustar los parámetros según los requisitos de su negocio.

     4. Haga clic en OK.

     Para desbloquear las direcciones IP bloqueadas actualmente, haga clic en Unblock IP Address.

   • Directory Traversal Prevention: habilite o deshabilite esta función.

     Para configurar la política de protección, siga estos pasos:

     1. Active el interruptor de Directory Traversal Prevention.

     2. Haga clic en Configure Now.

     3. En el cuadro de diálogo Rule Settings, configure los siguientes parámetros: Time Range (en segundos), Minimum Requests (cantidad), Minimum Percentage of 404 Status Code (%), Blocking Duration (en segundos) y Directories. En el cuadro de diálogo Rule Setting, los valores predeterminados son: Inspection Time Range 10 segundos, The total requests exceed 50, And the percentage of responses with 404 exceeds 70%, Blocked IP Addresses 1800 segundos y Directory number 20.

        Esta regla indica lo siguiente: si una dirección IP de cliente, dentro del Time Range especificado, envía solicitudes donde Minimum Requests alcanza cierta cantidad y Minimum Percentage of 404 Status Code alcanza cierto porcentaje, se bloquean las solicitudes de acceso de esa IP. El bloqueo ocurre cuando la cantidad de Directories accedidos supera el valor indicado dentro del Time Range definido. Las solicitudes permanecen bloqueadas durante el tiempo especificado en Blocking Duration.

        Nota

        Se recomienda usar la configuración de Mode. Puede seleccionar un modo predefinido (Loose, Strict o Normal) y luego ajustar los parámetros según los requisitos de su negocio.

     4. Haga clic en OK.

     Para desbloquear las direcciones IP bloqueadas actualmente, haga clic en Unblock IP Address.

   • Scanner Blocking: habilite o deshabilite esta función.

     Cuando está habilitada, esta función identifica de manera inteligente las solicitudes provenientes de escáneres. Si una solicitud coincide con una firma de escaneo conocida, WAF la bloquea. Cuando está deshabilitada, WAF deja de interceptar este tipo de solicitudes.

   • Collaborative Protection: habilite o deshabilite esta función.

     Cuando está habilitada, esta función bloquea automáticamente las solicitudes provenientes de direcciones IP incluidas en la base de datos global de direcciones IP maliciosas de Alibaba Cloud.