Web Application Firewall:Web core protection rules

Crear una plantilla de protección detallada

Después de agregar sus servicios a WAF, el sistema aplica automáticamente la plantilla de protección predeterminada a todos los objetos protegidos y habilita la protección. Si sus servicios no tienen requisitos especiales de protección, no necesita crear una plantilla de protección. Siga estos pasos únicamente si necesita configurar reglas distintas para diferentes objetos protegidos.

Si solo necesita manejar falsos positivos o falsos negativos de WAF, consulte Handling false positives and false negatives.

1. Acceder a la consola:

   Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de navegación superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de su instancia de WAF. En el panel de navegación izquierdo, elija Protection Config > Core Web Protection. En la sección Core Protection Rule, haga clic en Create Template.

2. Configurar Template Information:

   • Template Name: introduzca un nombre fácil de identificar.

   • Save as Default Template: el sistema proporciona una plantilla de protección predeterminada inicial, y solo puede existir una para el módulo de reglas de protección principales. Por lo tanto, si la plantilla predeterminada inicial existe, no puede establecer esta opción en "Yes".

     • Yes: no necesita configurar Configure Effective Scope. Una vez creada, la plantilla se aplica automáticamente a los objetos protegidos y grupos de objetos que no están asociados con una plantilla de protección personalizada. También se aplica a los objetos recién agregados. Puede excluir objetos específicos de forma manual si establece su estado en "Not applied".

     • No: debe configurar Configure Effective Scope y especificar manualmente los objetos protegidos o grupos de objetos a los que se aplica.

3. Engine Configuration:

   • Automatic Update of Detection Engine: esta función está habilitada de forma predeterminada.

     • Enabled: las actualizaciones de reglas del equipo de seguridad de Alibaba Cloud se sincronizan automáticamente con su motor de detección. WAF aplica las nuevas reglas de forma automática. El Status de la regla se establece en "Enabled" o "Disabled", y la Action de la regla se establece en "Monitor" o "Block".

     • Disabled: las reglas se siguen sincronizando, pero su Status se establece en "Disabled" y la Action se establece en "Monitor".

   • Configure Engine: haga clic en Configure Engine en la esquina superior derecha, o bien haga clic en Configure en la columna Actions de un Detection Modules específico más abajo para configurar las reglas de protección. Para consultar la lista de módulos de detección compatibles, consulte Appendix.

     System Protection Rules

     Las reglas de protección del sistema se basan en los módulos de detección integrados de Alibaba Cloud y están disponibles en cuatro niveles de rigurosidad: Super Strict, Strict, Medium y Loose. De forma predeterminada, las reglas de los niveles Medium y Loose están habilitadas, mientras que las de los niveles Super Strict y Strict están deshabilitadas.

     Puede configurar los siguientes ajustes para las reglas de protección del sistema:

     • Action: seleccione una acción para las solicitudes que coincidan con la regla.

       • Block: bloquea las solicitudes coincidentes y devuelve una página de bloqueo al cliente.

       • Monitor: permite y registra las solicitudes coincidentes. Al probar una regla, primero utilice el modo Monitor y analice los registros de WAF para comprobar que no se generen falsos positivos.

     • Status: puede habilitar o deshabilitar la regla. Si la deshabilita, la regla no se aplica a las solicitudes.

     Nota

     Puede consultar los detalles de coincidencias de diversas reglas de protección en Security Reports.

     Custom Protection Rules (solo en modo de nube híbrida)

     Las reglas de protección personalizadas se aplican únicamente a los objetos protegidos que se agregan a WAF en modo de nube híbrida. Para agregar reglas de protección personalizadas y utilizarlas en una plantilla de protección, consulte Rule Library Management.

   • Adaptive Engine: la función Intelligent Whitelist Engine está deshabilitada de forma predeterminada. Cuando se habilita, WAF utiliza inteligencia artificial para aprender del tráfico histórico e identificar las reglas que causan falsos positivos a nivel de URL. Después crea automáticamente reglas de lista blanca para reducirlos.

     La plantilla de lista blanca que se crea automáticamente se llama AutoTemplate. Para obtener más información, consulte Whitelist.

     Nota

     Esta función solo está disponible para instancias pay-as-you-go, suscripción Enterprise Edition y suscripción Ultimate Edition.

4. Configurar Configure Effective Scope:

   Seleccione los protected objects and protected object groups a los que desea aplicar esta plantilla. El alcance efectivo de la plantilla depende de la configuración del paso 2:

   • Uso de la plantilla predeterminada creada por el sistema o establecimiento como predeterminada: no necesita definir el alcance efectivo. Una vez creada, la plantilla se aplica automáticamente a los objetos protegidos y grupos de objetos que no están asociados con una plantilla de protección personalizada, así como a los objetos recién agregados. Puede excluir objetos específicos de forma manual si establece su estado en "Not applied".

   • No establecida como predeterminada: debe especificar manualmente los objetos protegidos y grupos de objetos a los que se aplica la plantilla.

     Nota

     Puede ajustar manualmente el estado efectivo de los objetos protegidos o grupos de objetos durante y después de la creación de la plantilla.

Manejo de falsos positivos y falsos negativos

Cuando WAF bloquea tráfico legítimo (falso positivo) o no logra bloquear un ataque (falso negativo), siga estos pasos para identificar la causa y ajustar su configuración.