Web Application Firewall:Scan protection

Contexto

Tipos de plantilla

Requisitos previos

• Cuenta con un servicio activo de Pay-as-you-go WAF 3.0.

• Agregó sus servicios web a WAF 3.0 como protected objects and protected object groups.

Crear una plantilla de protección contra escaneos

WAF incluye una plantilla de protección inicial habilitada de forma predeterminada. Para usar reglas personalizadas, debe crear una plantilla de protección y configurar las reglas correspondientes. Siga estos pasos para crear una plantilla de protección contra escaneos:

1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.

2. En el panel de navegación izquierdo, elija Protection Config > Core Web Protection.

3. En la sección Scanning Protection, ubicada en la parte inferior de la página Core Web Protection, haga clic en Create Template.

4. En el panel Scanning Protection, configure los parámetros y haga clic en OK.

   Parámetro	Descripción
   Template Name	Especifique un nombre para la plantilla. El nombre debe tener entre 1 y 255 caracteres. Puede contener caracteres chinos, letras mayúsculas y minúsculas, dígitos, puntos (.), guiones bajos (_) y guiones (-).
   Save as Default Template	La plantilla de protección predeterminada no requiere que especifique los objetos a los que se aplica. Se aplica a todos los objetos y grupos de objetos protegidos que no estén asociados con plantillas personalizadas. Esto incluye los objetos y grupos recién agregados, así como aquellos que se quitan de las plantillas personalizadas. También puede quitarlos manualmente de la plantilla predeterminada. Solo se permite establecer una plantilla predeterminada por módulo de protección, y esta opción únicamente está disponible al momento de crear la plantilla.
   Rule Configuration	Configure los ajustes de las reglas. Una plantilla de protección del módulo de protección contra escaneos admite un solo conjunto de reglas, el cual se compone de los tres tipos siguientes: High-Frequency Scanning Protection Si activa High-frequency Scanning Blocking, se aplican automáticamente las siguientes configuraciones: si una dirección IP (Statistical and Blocked Object) activa más de 20 veces (Trigger of Protection Rules of Core Protection Rule) las reglas de protección de Web core protection rules configuradas para el objeto protegido actual, y además activa más de 2 (Maximum Number of Triggered Rules) reglas distintas del módulo Core Web Protection en 60 segundos (Time Range), dicha dirección se agrega a la lista negra durante 1800 segundos (Blocking Period). WAF bloquea o supervisa las solicitudes enviadas desde esa dirección IP. Para modificar la configuración de las reglas, haga clic en Advanced Settings: Statistical and Blocked Object IP: recopila la frecuencia con la que se inician ataques desde la misma dirección IP de cliente. Session: recopila la frecuencia con la que se inician ataques en la misma sesión de cliente. Nota You can use the setcookie() function to define cookies that start with acw_t in the response. The cookies are used to identify sessions of different clients. If you select this option, the value of acw_tc cookie that triggers the rule is blocked. Account: mide la frecuencia de los ataques provenientes de la misma cuenta. Nota Account-level blocking takes effect only after you configure account or token extraction settings on the Account Extraction Settings tab. To go to the tab, find your protected object and click Settings in the Actions column. You can view the tab in the panel that appears. Custom: recopila la frecuencia de los ataques originados desde objetos con las mismas características de solicitud. Puede especificar las características de la solicitud de las siguientes maneras: Custom Header: recopila la frecuencia de las solicitudes de ataque que contienen un encabezado específico. Custom Parameter: recopila la frecuencia de las solicitudes de ataque que contienen un parámetro específico. Custom Cookie: recopila la frecuencia de las solicitudes de ataque que contienen una cookie específica. Rule details Puede cambiar los valores de los siguientes parámetros: Time Range, Trigger of Protection Rules of Core Protection Rule, Blocking Period y Maximum Number of Triggered Rules. Directory Traversal Blocking Si activa Directory Traversal Blocking, se aplican automáticamente las siguientes configuraciones: si una dirección IP (Statistical and Blocked Object) se usa para solicitar un objeto protegido más de 50 veces (Maximum Number of Requests) y accede a más de 50 (Maximum Number of Non-existent Directories) directorios inexistentes en 10 segundos (Time Range), y los códigos de estado HTTP 404 representan el 70 % (Maximum HTTP 404 Status Code Percentage) de los códigos devueltos en las respuestas, dicha dirección se agrega a la lista negra. WAF bloquea o supervisa las solicitudes enviadas desde esa dirección IP. Nota Las estadísticas de escaneo de directorios excluyen los tipos de archivos web estáticos, como .js y .png . Para modificar la configuración de las reglas, haga clic en Advanced Settings: Statistical and Blocked Object IP: recopila la frecuencia con la que se inician ataques desde la misma dirección IP de cliente. Session: recopila la frecuencia con la que se inician ataques en la misma sesión de cliente. Nota You can use the setcookie() function to define cookies that start with acw_t in the response. The cookies are used to identify sessions of different clients. If you select this option, the value of acw_tc cookie that triggers the rule is blocked. Account: mide la frecuencia de los ataques provenientes de la misma cuenta. Nota Account-level blocking takes effect only after you configure account or token extraction settings on the Account Extraction Settings tab. To go to the tab, find your protected object and click Settings in the Actions column. You can view the tab in the panel that appears. Custom: recopila la frecuencia de los ataques originados desde objetos con las mismas características de solicitud. Puede especificar las características de la solicitud de las siguientes maneras: Custom Header: recopila la frecuencia de las solicitudes de ataque que contienen un encabezado específico. Custom Parameter: recopila la frecuencia de las solicitudes de ataque que contienen un parámetro específico. Custom Cookie: recopila la frecuencia de las solicitudes de ataque que contienen una cookie específica. Rule details Puede cambiar los valores de los siguientes parámetros: Time Range, Maximum Number of Requests, Maximum HTTP 404 Status Code Percentage, Blocking Period y Maximum Number of Non-existent Directories. Scanner Blocking: Si activa Scanner Blocking, los escáneres comunes se agregan a la lista negra. Entre ellos se incluyen sqlmap, AWVS, Nessus, Appscan, Webinspect, Netsparker, Nikto y RSAS. WAF bloquea o supervisa las solicitudes provenientes de estos escáneres.
   Rule Action	Seleccione la acción que desea que WAF ejecute cuando una solicitud coincida con la regla. Valores válidos: Block: bloquea la solicitud que coincide con la regla y devuelve una página de bloqueo al cliente que la inició. Nota De forma predeterminada, WAF devuelve una página de bloqueo preconfigurada. Puede usar la función de respuesta personalizada para configurar su propia página de bloqueo. Para obtener más información, consulte Configure custom response pages. Monitor: registra la solicitud que coincide con la regla en los registros sin bloquearla. Puede consultar los registros de estas solicitudes y analizar el rendimiento de la protección. Por ejemplo, puede comprobar en los registros si se están bloqueando solicitudes legítimas. Importante Solo es posible consultar los registros si la función Simple Log Service for WAF está habilitada. Para obtener más información, consulte Enable or disable the Simple Log Service for WAF feature. Si selecciona Monitor, puede ejecutar una prueba simulada de la regla para comprobar si bloquea solicitudes normales. Si la prueba resulta exitosa, establezca el parámetro Action en Block. Nota En la página Security Reports, puede consultar los detalles de las reglas coincidentes en modo Monitor o Block. Para obtener más información, consulte Security reports.
   Apply To	En configured protected objects and protected object groups, seleccione los elementos a los que desea aplicar esta plantilla. Un objeto o grupo de objetos protegidos solo puede asociarse con una plantilla de protección contra escaneos. Si establece una plantilla de protección predeterminada, esta se aplica automáticamente a todos los objetos y grupos de objetos protegidos que no estén asociados con plantillas personalizadas. Si no define una plantilla predeterminada, ningún objeto ni grupo se selecciona de forma automática. Puede modificar manualmente los objetos a los que se aplica la plantilla.

   Una plantilla de protección recién creada se habilita de forma predeterminada. En la lista de plantillas, puede realizar las siguientes operaciones sobre ella:

   • Consulte la cantidad de Protected Object/Group asociados con la plantilla.

   • Active o desactive el interruptor en la columna Status para habilitar o deshabilitar la plantilla.

   • Haga clic en Edit o Delete en la columna Actions para editar o eliminar la plantilla.

   • Haga clic en el icono , ubicado a la izquierda del nombre de la plantilla, para consultar y gestionar sus reglas.

     • Busque una regla y haga clic en Unblock IP Addresses para desbloquear las direcciones IP que dicha regla haya bloqueado.

       Importante

       • Solo puede hacer clic en Unblock IP Addresses cuando las direcciones IP fueron bloqueadas por la regla de protección High-Frequency Scanning Protection o Directory Traversal Blocking.

       • La opción Unblock IP Addresses solo está disponible si tanto la regla como la plantilla asociada están habilitadas.

Qué hacer a continuación

En la pestaña Scanning Protection de la página Security Reports, puede consultar los detalles de protección de las reglas. Para obtener más información, consulte Security Reports.

Referencias

• Para obtener más información sobre los objetos de protección, los módulos de protección y el proceso de protección de WAF 3.0, consulte Overview.

• Para obtener más información sobre cómo crear una plantilla de protección mediante una llamada a una API, consulte CreateDefenseTemplate.

• Para obtener más información sobre cómo crear y configurar una regla de protección para el módulo de reglas de protección principal, consulte CreateDefenseRule.