Configure HTTP flood protection - Web Application Firewall - Centro de documentación de Alibaba Cloud

La protección contra inundaciones HTTP en Web Application Firewall (WAF) defiende contra los ataques de inundación HTTP (CC) en la capa de aplicación. Elija un modo de protección integrado para la defensa habitual o para responder ante emergencias y garantizar la continuidad del servicio.

Conceptos clave

Protección contra inundaciones HTTP: módulo dentro de Core Web Protection. Para habilitar esta función, cree una o varias plantillas de protección.

Plantilla de protección: define las reglas de protección y su alcance. Una plantilla consta de Template Information, Rule Configuration y Apply To.

Template Information: define el tipo de plantilla. Este tipo no se puede cambiar después de crear la plantilla. WAF admite los dos tipos de plantilla a continuación:

Tipo de plantilla	Descripción	Casos de uso
Plantilla de protección predeterminada	Se proporciona una plantilla de protección predeterminada inicial para las suscripciones de WAF Pro Edition, WAF Enterprise Edition y WAF Ultimate Edition. Al crearse, la plantilla se aplica automáticamente a los objetos protegidos y a los grupos de objetos que no están asociados con una plantilla de protección personalizada. Los objetos nuevos también se protegen de forma automática. Excluya manualmente objetos específicos si establece su estado en Not Applied. Solo se puede crear una plantilla de protección predeterminada para el módulo de protección contra inundaciones HTTP. Cuando se quita un objeto protegido de una plantilla personalizada, se vuelve a agregar automáticamente a la plantilla predeterminada.	Despliegue reglas de protección generales que deban aplicarse de manera global.
Plantilla de protección personalizada	Especifique manualmente los objetos protegidos o los grupos de objetos a los que se aplica la plantilla. Cuando se agrega un objeto protegido a una plantilla personalizada, este se quita automáticamente de la plantilla predeterminada.	Despliegue reglas de protección detalladas para servicios específicos.

Rule Configuration: reglas de detección integradas basadas en una base de datos de firmas de ataque. Seleccione un Protection Mode y una Action de respuesta; no es necesario escribir reglas personalizadas.
Apply To: los objetos protegidos o los grupos de objetos a los que se aplican las reglas de protección. Cada objeto protegido o grupo de objetos solo se puede asociar con una plantilla de protección.
- Objeto protegido: se crea automáticamente cuando se agrega un nombre de dominio o una instancia de servicio en la nube a WAF.
- Grupo de objetos: agregue varios objetos protegidos a un grupo de objetos para gestionarlos de forma centralizada.

Procedimiento

Nota

Requisitos previos: antes de empezar, asegúrese de haber agregado su servicio web a WAF para crear un objeto protegido. Si aún no lo ha agregado, consulte Add a service.
Configuración inicial: estos pasos explican cómo crear una nueva plantilla de protección contra inundaciones HTTP. Esto resulta útil si no existen plantillas o si necesita configuraciones independientes para distintos objetos. En las suscripciones de WAF Pro Edition, WAF Enterprise Edition y WAF Ultimate Edition, el sistema proporciona una plantilla de protección predeterminada que cubre las necesidades habituales. Si la protección predeterminada no es eficaz, consulte Handle false positives and false negatives.

Vaya a la consola de WAF:

Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de navegación superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de su instancia de WAF. Luego, en el panel de navegación izquierdo, vaya a Protection Config > Core Web Protection y haga clic en Create Template en la sección HTTP Flood Protection.
Configure Template Information:
- Template Name: introduzca un nombre descriptivo para la plantilla.
- Save as Default Template: el sistema proporciona una plantilla de protección predeterminada inicial para las suscripciones de WAF Pro Edition, WAF Enterprise Edition y WAF Ultimate Edition. Solo se puede crear una plantilla de protección predeterminada para el módulo de protección contra inundaciones HTTP. Si ya existe la plantilla predeterminada inicial, no podrá establecer este parámetro en Yes.
  - Yes: no necesita especificar Apply To. Al crear la plantilla, esta se aplica automáticamente a los objetos protegidos y a los grupos de objetos que no están asociados con una plantilla de protección personalizada. Los objetos nuevos también se protegen de forma automática. Excluya manualmente objetos específicos si establece su estado en Not Applied.
  - No: especifique manualmente Apply To o los grupos de objetos a los que se aplica la plantilla.
Rule Configuration:
- Protection Mode: seleccione Standard Mode o Strict Mode. Cada modo contiene varias reglas de protección integradas.
  - Standard Mode: bloquea únicamente las solicitudes con firmas de ataque evidentes. Este modo tiene una tasa baja de falsos positivos y es adecuado para operaciones habituales y escenarios de tráfico estable.
  - Strict Mode: utiliza algoritmos de detección de alta intensidad para bloquear ataques de inundación HTTP, pero genera una tasa mayor de falsos positivos. Habilite este modo solo cuando Normal mode no sea eficaz y observe degradación del servicio, como retrasos en las respuestas o un consumo elevado de CPU o memoria.
    
    Nota
    Strict Mode solo es adecuado para páginas web, incluidas las páginas HTML5. No lo utilice para API ni aplicaciones nativas, ya que generaría una gran cantidad de falsos positivos. Para escenarios de API o aplicaciones nativas, use una plantilla de protección custom rule.
- Action: la acción que se ejecuta sobre las solicitudes que coinciden con una regla de protección.
  - JavaScript Validation: envía un desafío de validación JavaScript al cliente. Más indicado para escenarios de protección general.
  - Monitor: registra el evento sin bloquear la solicitud. Diseñado para escenarios de validación de políticas, pruebas de servicio o ejecuciones de prueba.
Seleccione Apply To:

Seleccione los protected objects and object groups para esta plantilla. Los objetos protegidos de la plantilla dependen de la configuración del paso 2:
- Si utiliza la plantilla de protección predeterminada creada por el sistema o establece la nueva plantilla como predeterminada: no necesita seleccionar objetos protegidos. La plantilla se aplica automáticamente a todos los objetos protegidos y grupos de objetos que no estén asociados con una plantilla personalizada, incluidos los recién agregados. Excluya manualmente objetos específicos si establece su estado en Not Applied.
- Si la plantilla no se establece como predeterminada: seleccione manualmente los objetos protegidos y los grupos de objetos a los que se aplica la plantilla.
  
  Nota
  Ajuste el estado de aplicación de los objetos protegidos o de los grupos de objetos durante o después de la creación de la plantilla.

Gestionar falsos positivos y falsos negativos

Si la plantilla de protección no logra bloquear los ataques de inundación HTTP o bloquea tráfico legítimo por error, siga estos pasos para diagnosticar y resolver el problema.

En Standard Mode, el ataque no se bloquea

Si WAF no logra bloquear las solicitudes de ataque, compruebe las causas comunes y soluciones a continuación.

WAF no procesa las solicitudes
- Causa: el certificado SSL o el puerto de escucha configurado en WAF no coincide con la configuración del servidor de origen.
- Causa: en el modo de registro CNAME, el registro DNS no se modificó correctamente para dirigir el tráfico hacia WAF.
- Causa: en el modo de registro CNAME, los atacantes evaden WAF al acceder directamente a la dirección IP del servidor de origen.
  
  Recomendación: configure el security group de su servidor de origen para permitir únicamente el tráfico proveniente de los bloques CIDR de retorno al origen de WAF.
- Causa: al agregar un servicio en la nube, la instancia añadida para la protección de WAF no es aquella a la que realmente resuelve el nombre de dominio.
  
  Recomendación: asegúrese de que la instancia correcta del servicio en la nube esté agregada a WAF.
WAF procesa las solicitudes, pero estas no coinciden con ninguna regla

Si la plantilla de protección contra inundaciones HTTP en Standard Mode sigue sin ser eficaz, aplique las siguientes medidas:
- Habilite Strict Mode: este modo es adecuado para recuperar el servicio de emergencia tras un ataque de inundación HTTP y solo se aplica a servicios web y HTML5. Para evitar una gran cantidad de falsos positivos, agregue los usuarios legítimos a un whitelist mediante análisis de agrupamiento.
- Utilice el módulo custom rule**: WAF le permite crear políticas de protección basadas en campos como la dirección IP del cliente, el URI, User-Agent y la región, para defenderse con precisión de firmas de ataque específicas. Sin embargo, esto requiere analizar los registros de acceso para identificar los patrones de ataque.
- Use Anti-DDoS Proxy: los ataques de inundación HTTP de gran volumen pueden generar picos de tráfico que superen el blackhole threshold de Anti-DDoS Basic. Cuando esto ocurre, el tráfico de WAF se envía a un blackhole y deja de ser accesible. En tal caso, utilice Anti-DDoS Proxy. Para obtener más información, consulte Configure HTTP flood protection.

En Strict Mode, los servicios normales se bloquean por error

Si la plantilla de protección contra inundaciones HTTP en Strict Mode genera demasiados falsos positivos, aplique las siguientes medidas:

Incluya el tráfico normal en la lista de permitidos: agregue los usuarios legítimos al whitelist según las características de agrupamiento.
Cambie a Standard Mode y utilice el módulo de protección custom rule: WAF le permite definir políticas de protección basadas en campos como la IP del cliente, el URI de acceso, User-Agent y la región, para defenderse con precisión de patrones de ataque específicos. No obstante, primero debe analizar los registros de acceso para identificar dichos patrones.
Use Anti-DDoS Pro: durante los ataques de inundación HTTP de alta frecuencia, el pico de tráfico puede superar el blackhole threshold of Anti-DDoS Origin. Si se excede este umbral, el tráfico hacia WAF se envía a un blackhole y su servicio deja de ser accesible. En tal caso, utilice Anti-DDoS Pro para protegerlo. Para obtener más información, consulte Configure HTTP flood attack protection.

Mantenimiento habitual

Las nuevas plantillas de protección contra inundaciones HTTP se habilitan de forma predeterminada. En la lista de plantillas de protección puede ejecutar las siguientes acciones:

Consultar una plantilla de protección: haga clic en el icono , ubicado a la izquierda del nombre de la plantilla, para consultar las reglas que contiene.
Habilitar o deshabilitar una plantilla de protección: utilice Status para habilitar o deshabilitar la plantilla.
Editar una plantilla de protección: en la columna Actions de la plantilla, haga clic en Edit para modificar ajustes como Template Information, Rule Configuration y Apply To.
Eliminar una plantilla de protección: cuando ya no necesite una plantilla, haga clic en Delete en la columna Actions correspondiente. En el cuadro de diálogo que aparece, haga clic en Delete para completar la acción.
Importante
- Si se elimina la plantilla de protección personalizada de un objeto protegido, este se agrega automáticamente a la plantilla de protección predeterminada.
- Si se elimina la plantilla de protección predeterminada mientras contiene objetos protegidos, estos dejarán de estar protegidos por las reglas contra inundaciones HTTP.

Preguntas frecuentes

¿Por qué mi servidor o base de datos presenta un consumo elevado de CPU, mayor carga y tiempos de respuesta lentos?

Esto puede ocurrir durante un ataque CC de baja frecuencia. Este tipo de ataque simula el comportamiento real de los usuarios al acceder de forma persistente a interfaces que consumen muchos recursos, como el inicio de sesión, las búsquedas y la creación de pedidos, con una frecuencia de solicitudes baja. Esta actividad aumenta la carga de CPU del servidor, agota el pool de conexiones de la base de datos y provoca respuestas más lentas.

Los síntomas comunes incluyen:

Un aumento anómalo del tráfico del servicio o de las consultas por segundo (QPS) en un periodo corto.
El porcentaje de solicitudes hacia un URI específico es significativamente mayor de lo normal.
Una distribución anómala de las direcciones IP de origen, por ejemplo, una gran cantidad provenientes de fuera de China, de pools de IP de proxy o de varios segmentos de IP nuevos en un periodo corto.
El porcentaje de tráfico de una dirección IP individual aumenta de forma repentina.

Medidas de mitigación:

Opción 1: mitigación sin WAF

Actualice los recursos en la nube, como las especificaciones de la instancia de ECS y el ancho de banda, para manejar el tráfico del ataque. Como alternativa, identifique las direcciones IP de origen anómalas y agréguelas a un security group de ECS o a la lista negra del firewall del sistema. Sin embargo, dado que las direcciones IP de origen de los ataques suelen ser dinámicas, mantener una lista negra de forma manual resulta ineficiente.
Opción 2: conexión a WAF (recomendada)

Conecte sus activos a WAF y configure las reglas de protección CC descritas en este tema para obtener protección con un solo clic. Si el tráfico del ataque tiene características fijas, también puede utilizar la limitación de velocidad Custom rules o Region blocking rules para bloquearlo con precisión. Aunque las direcciones IP de origen de los ataques suelen ser dinámicas, el URI, User-Agent o la región de origen de las solicitudes maliciosas podrían ser fijos.

¿Cuáles son las diferencias entre Bot Management, Custom Rules y la protección contra inundaciones HTTP de WAF?

Los módulos de protección contra inundaciones HTTP, Custom Rules y Bot Management de WAF ayudan a mitigar los ataques de inundación HTTP de las siguientes maneras:

Protección contra inundaciones HTTP: detecta automáticamente el tráfico de ataque y utiliza la verificación por CAPTCHA basada en algoritmos integrados. Habilite esta función con un solo clic para facilitar la configuración. Sin embargo, no admite ajustes personalizados detallados.
Custom Rules: le permite definir condiciones de coincidencia, tipos de protección y acciones. Sus reglas de limitación de velocidad mitigan con precisión los ataques de inundación HTTP. No obstante, debe conocer bien la línea base de sus solicitudes normales y otro contexto del negocio.
Bot Management: se centra en detectar y gestionar el tráfico de programas automatizados (bots). Utiliza métodos como la verificación por CAPTCHA para distinguir a los usuarios reales de los scripts maliciosos.

¿Cuál es la diferencia entre la limitación de velocidad de ALB y WAF para mitigar ataques de inundación HTTP?

Limitación de velocidad de ALB: controla el tráfico únicamente con base en umbrales de frecuencia de solicitudes, como las consultas globales por segundo (QPS) o las QPS por IP de origen. No puede validar el contenido de las solicitudes y podría bloquear ráfagas de tráfico legítimo. Cuando se activa, devuelve un código de estado 503 de forma predeterminada y no admite otras acciones, como la verificación por CAPTCHA.
WAF: admite la detección en múltiples dimensiones, como el URI de la solicitud, los parámetros, los campos de encabezado, el comportamiento de acceso y las características de bot. Esto permite una protección detallada para URL e interfaces específicas, o frente a patrones de comportamiento anómalos.

¿WAF bloquea las solicitudes de acceso de alta frecuencia de forma predeterminada?

WAF no bloquea las solicitudes de acceso de alta frecuencia de forma predeterminada. Para bloquearlas, configure la limitación de velocidad Custom rules.

¿Configurar varias reglas o plantillas de mitigación en WAF afecta el costo?

Que la cantidad de reglas o plantillas de mitigación de WAF afecte su costo depende del método de facturación de su instancia:

Suscripción: no se cobran tarifas adicionales. Agregue configuraciones hasta alcanzar los límites de plantillas y reglas sin generar costos extra.
Pay-as-you-go: se aplican tarifas adicionales. El costo se relaciona directamente con la cantidad de reglas que configure. A mayor número de reglas, mayor será el costo.