Configure IP blacklist rules to block specific IP addresses - Web Application Firewall

Cuando su aplicación web recibe ataques desde direcciones IP específicas, utilice el módulo de lista negra de IP de WAF para bloquear dichas IP y proteger sus servicios.

Escenarios aplicables

El módulo de lista negra de IP de WAF está diseñado para escenarios donde se requiere bloquear con precisión direcciones IP maliciosas conocidas o rangos de IP específicos.

Escenarios recomendados
- Bloqueo de fuentes de ataque conocidas: si el análisis de registros o los ejercicios de seguridad confirman que una IP específica corresponde a un escáner, rastreador, herramienta de fuerza bruta o nodo de botnet, agréguela a la lista negra para bloquear el tráfico directamente.
- Bloqueo temporal de emergencia: ante un ataque repentino proveniente de pocas IP fijas, cree rápidamente una regla de lista negra como medida defensiva inicial mientras lleva a cabo un análisis más profundo.
- Restricciones de cumplimiento o regionales: si su organización debe cumplir requisitos de soberanía de datos o aplicar restricciones de acceso por región, y solo necesita bloquear rangos de IP específicos, utilice el módulo de lista negra de IP.
Escenarios no recomendados
- Atacantes que usan IP dinámicas: una lista negra de IP resulta ineficaz contra ataques originados desde fuentes dinámicas, como IP de clientes no fijas, grupos de IP dinámicas, proxy públicos (como en escenarios de ataque CC) o funciones en la nube. Se recomienda utilizar también los módulos CC Protection o Custom Rules - Rate Limiting.
- Diferenciación del comportamiento de usuarios según detalles de la solicitud: si necesita procesar las solicitudes de forma distinta según rutas, parámetros o encabezados, el módulo de lista negra de IP no cubre este requerimiento. Utilice el módulo custom rule.

Conceptos clave

IP Address Blacklist: módulo de protección dentro de Web Core Protection. Antes de habilitar este módulo, debe crear una plantilla de protección. El sistema admite varias plantillas de protección.

Plantilla de protección: conjunto de reglas de protección que define una lógica y un alcance específicos. Una plantilla de protección consta de tres partes: tipo de plantilla, reglas de protección y objetos efectivos.

Tipo de plantilla: debe especificar un tipo de plantilla al crearla. Este tipo no se puede modificar después de la creación. Existen dos tipos de plantilla:

Tipo de plantilla	Descripción	Escenario aplicable
Plantilla de protección predeterminada	Una plantilla predeterminada se aplica automáticamente a todos los objetos de protección. Consulte Conceptos clave para obtener más detalles. Puede excluir manualmente objetos específicos (establecerlos como "Not Effective"). Solo se puede crear una plantilla de protección predeterminada para el módulo de lista negra de IP.	Despliegue de reglas de protección generales que deben aplicarse de forma global.
Plantilla de protección personalizada	Debe especificar manualmente los objetos o grupos de objetos de protección para que la plantilla surta efecto.	Despliegue de reglas de protección detalladas para servicios específicos (como API de inicio de sesión o de pago).

Regla de protección: define una lógica de detección y acciones de respuesta específicas. Una plantilla de protección puede contener varias reglas de protección. Cada regla consta de dos partes:
- Lista negra de direcciones IP: especifica las direcciones IP de cliente o los rangos de IP que se van a bloquear o monitorear.
- Rule Action: define la acción que se ejecutará cuando una solicitud coincida con la regla. Admite Block y Monitor.
Objetos efectivos: especifica los destinos a los que se aplica la plantilla de protección. Mediante la configuración de objetos efectivos, las reglas de protección se aplican a objetos o grupos de objetos de protección específicos. Un mismo objeto o grupo de objetos de protección se puede asociar con varias plantillas de protección.
- Objeto de protección: cada nombre de dominio o instancia de servicio en la nube conectada a WAF genera automáticamente un objeto de protección.
- Grupo de objetos de protección: permite agregar varios objetos de protección a un grupo para gestionarlos de forma centralizada.

Procedimiento

Nota

Antes de empezar, asegúrese de que existan objetos de protección (es decir, que sus servicios web estén conectados a WAF). Si aún no ha conectado sus servicios, consulte Connect web services to WAF.

Inicie sesión en la consola de WAF 3.0. En la barra de navegación superior, seleccione el resource group y la región de su instancia de WAF (Chinese Mainland o Outside Chinese Mainland). En el panel de navegación izquierdo, elija Protection Config > Core Web Protection.

Paso 1: Configurar el tipo de plantilla de protección

En la página Core Web Protection, vaya a la sección IP Address Blacklist y haga clic en Create Template. A continuación, configure los siguientes parámetros.

Template Name: introduzca un nombre para la plantilla.
Save as Default Template: el módulo de lista negra de IP permite únicamente una plantilla de protección predeterminada, la cual solo se puede establecer al crear una plantilla nueva.
- Yes: no es necesario configurar Apply To. Una plantilla predeterminada se aplica automáticamente a todos los objetos de protección. Consulte Conceptos clave para obtener más detalles.
- No: debe configurar Apply To para especificar manualmente los objetos o grupos de objetos de protección donde la plantilla surtirá efecto.

Paso 2: Agregar reglas de protección a la plantilla

En la sección Rule Configuration, haga clic en Create Rule y configure los siguientes parámetros.

Rule Name: introduzca un nombre para la regla.
IP Address Blacklist: especifique las direcciones IP de cliente o los rangos de IP que se van a bloquear o monitorear. Siga estas indicaciones:
- Admite direcciones IPv4 e IPv6 (por ejemplo, 1.1.XX.XX y 2001:XXXX:ffff:ffff:ffff:ffff:ffff:ffff).
- Admite bloques CIDR tanto de IPv4 como de IPv6 (por ejemplo, 1.1.XX.XX/16 y 2001:XXXX:XXXX:XXXX::/64).
- Presione Enter después de introducir cada dirección IP.
- Una sola regla de protección admite hasta 200 direcciones IP. Para agregar más, cree varias reglas de protección.
Rule Action: seleccione la acción que se ejecutará cuando una solicitud coincida con la regla.
- Block: bloquea la solicitud y devuelve una página de bloqueo al cliente.
  
  Nota
  De forma predeterminada, WAF utiliza una página de respuesta de bloqueo unificada. También puede usar la función custom response para definir su propia página de respuesta de bloqueo.
- Log: no bloquea la solicitud, pero registra la coincidencia. Al probar una regla, utilice primero el modo Log para analizar los registros de WAF y comprobar que no se generen falsos positivos; después cambie a otra acción.

Paso 3: Establecer los objetos efectivos de la plantilla

En la sección Apply To, seleccione los protection objects and protection object groups a los que se aplicará la plantilla.

La forma en que la plantilla surte efecto depende de la configuración realizada en Step 1:

Establecida como plantilla de protección predeterminada: una plantilla predeterminada se aplica automáticamente a todos los objetos de protección. Consulte Conceptos clave para obtener más detalles.
No establecida como plantilla de protección predeterminada: debe configurar manualmente los objetos y grupos de objetos de protección efectivos.

Nota

Puede ajustar manualmente el estado efectivo de los objetos o grupos de objetos de protección durante la creación de la plantilla y también después de crearla.

Paso 4: Comprobar la configuración

Para comprobar que la regla funciona correctamente, envíe una solicitud de prueba desde una dirección IP incluida en la lista negra y confirme que la solicitud se bloquea. También puede revisar los registros de WAF para buscar los registros de coincidencias.

Gestión habitual

Gestionar plantillas de protección

Las plantillas de protección recién creadas se habilitan de forma predeterminada. En la lista de plantillas de protección puede realizar las siguientes operaciones:

Consulte la cantidad de elementos en Protected Object/Group asociados con la plantilla.
Habilite o deshabilite la plantilla mediante el interruptor Status.
Agregue reglas con Create Rule a la plantilla.
Utilice Edit, Delete o Copy para editar, eliminar o copiar la plantilla de protección.
Haga clic en el icono , ubicado a la izquierda del nombre de la plantilla, para consultar las reglas que contiene.

Gestionar reglas de protección

Las reglas recién creadas se habilitan de forma predeterminada. En la lista de reglas puede realizar las siguientes operaciones:

Consulte información como Rule ID y Rule Condition.
Habilite o deshabilite la regla mediante el interruptor Status.
Utilice Edit o Delete para editar o eliminar una regla.

Preguntas frecuentes

¿Por qué la regla de lista negra de IP configurada no surte efecto?

Si ya configuró una plantilla de lista negra de IP pero la protección no funciona, siga estos pasos para solucionar el problema:

Compruebe el estado de la plantilla y los objetos efectivos. Asegúrese de que tanto la plantilla de lista negra de IP como sus reglas tengan el estado "Enabled", y de que los objetos efectivos estén configurados correctamente y activos.
Revise las configuraciones de la lista blanca. La función IP whitelist tiene prioridad sobre la lista negra. Compruebe si alguna regla de lista blanca coincide con el tráfico actual. Si el tráfico coincide con una regla de lista blanca, WAF omite la verificación de la lista negra de IP.
Verifique las configuraciones del proxy de capa 7. Si hay un proxy de capa 7, como una CDN, desplegado delante de WAF, asegúrese de que la opción Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF esté establecida en Yes dentro de la configuración de acceso. Una configuración incorrecta impide que WAF obtenga la dirección IP real del cliente, lo que provoca que las reglas de lista negra basadas en IP fallen. Para obtener más detalles sobre la configuración, consulte Real client information.
Compruebe la protección de WAF en todos los puertos.

Asegúrese de que todos los puertos de servicio estén agregados a WAF. Por ejemplo, si una instancia de ECS agregada en modo nativo de la nube usa el puerto HTTP 80 y el puerto HTTPS 443, debe agregar ambos puertos a WAF. Esto es obligatorio incluso si el servidor de origen tiene configurada una regla de redireccionamiento forzado. De lo contrario, el tráfico dirigido al puerto no agregado omitirá WAF y llegará directamente al servidor de origen.

¿Configurar una regla de lista negra de IP en un WAF pay-as-you-go reduce las tarifas de tráfico?

Configurar una regla de lista negra de IP no reduce las tarifas de tráfico de WAF. Las solicitudes bloqueadas por una lista negra de IP siguen siendo procesadas por WAF y contribuyen a sus consultas por segundo (QPS), lo que genera costos de procesamiento. Sin embargo, estas solicitudes no se reenvían al servidor de origen. Agregar direcciones IP maliciosas conocidas a la lista negra es una forma eficaz de reducir la carga en el servidor de origen.

¿Cuál es la diferencia entre una lista negra de IP y las reglas personalizadas?

A continuación se describen las principales diferencias entre las listas negras de IP y las reglas personalizadas:

1. Diferencias en las condiciones de coincidencia

Lista negra de IP: admite coincidencias basadas en una sola condición, que es la dirección IP de origen o el segmento de dirección IP del cliente.
Reglas personalizadas: admiten coincidencias con múltiples condiciones basadas en diversos campos HTTP, como la IP de origen, la URL, los encabezados de solicitud (como User-Agent y Referer) y los parámetros de solicitud. También admiten límites de frecuencia de acceso.

2. Acciones

Lista negra de IP: cuando una regla coincide, solo se admiten las acciones Block y Log.
Reglas personalizadas: admiten diversas acciones. Además de Block y Log, las reglas personalizadas admiten otras acciones, como validación Captcha y JavaScript.

3. Escenarios

Lista negra de IP: se utiliza para bloquear de forma global direcciones IP maliciosas conocidas o direcciones IP de regiones específicas.
Reglas personalizadas: se utilizan para una protección precisa y un control de acceso detallado dirigido a rutas de URL específicas, características de solicitud o comportamientos de acceso de alta frecuencia.

¿Puedo consultar los registros de los ataques que coinciden con una regla de lista negra de IP?

Sí. Por cada solicitud que coincide con la regla, el sistema genera un registro de ataque correspondiente y lo muestra en la ubicación indicada en Security reports.