Web Application Firewall:Configure website tamper-proofing rules

Límites

Esta función no es compatible con objetos protegidos que utilizan el modo de nube híbrida o el modo nativo de la nube (MSE, FC ).

Requisitos previos

• Cuenta con un servicio activo de Pay-as-you-go WAF 3.0.

• Agregó sus servicios web a WAF 3.0 como protected objects and protected object groups.

Paso 1: Crear una plantilla de protección contra alteraciones

El módulo de protección contra alteraciones no incluye una plantilla predeterminada. Para utilizarlo, cree una nueva plantilla de protección y agréguele reglas.

1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.

2. En el panel de navegación izquierdo, elija Protection Config > Core Web Protection.

3. En la página Core Web Protection, busque la sección Website Tamper-proofing y haga clic en Create Template.

4. En el panel Create Template, configure los parámetros y haga clic en OK.

   Parámetro	Descripción
   Template Name	Introduzca un nombre para la plantilla. El nombre debe tener entre 1 y 255 caracteres. Puede incluir caracteres chinos, letras mayúsculas y minúsculas, dígitos, puntos (.), guiones bajos (_) y guiones (-).
   Rule Configuration	Haga clic en Create Rule para crear una regla de protección contra alteraciones en la plantilla. También puede omitir este paso y crear las reglas más adelante. Para obtener más información, consulte Step 2: Add a website tamper-proofing rule to a protection template.
   Apply To	Seleccione los elementos de Protected Objects y Protected Object Groups a los que aplicará la plantilla. Solo es posible asociar un objeto protegido o un grupo de objetos protegidos con una plantilla del mismo módulo de protección. Para obtener más información sobre cómo agregar un objeto protegido o un grupo de objetos protegidos, consulte Configure protected objects and protected object groups.

   Las plantillas nuevas se habilitan de forma predeterminada. En la lista de plantillas de protección, realice las siguientes operaciones:

   • Consulte la cantidad de elementos en Protected Object/Group asociados con la plantilla.

   • Utilice el control Status para habilitar o deshabilitar la plantilla.

   • Haga clic en Create Rule para crear una regla nueva en la plantilla.

   • Elija Edit, Delete o Copy para gestionar la plantilla de protección.

   • Haga clic en el ícono , junto al nombre de la plantilla, para consultar la información de las reglas que contiene.

Paso 2: Agregar una regla de protección contra alteraciones

Una plantilla de protección contra alteraciones entra en vigor únicamente después de agregarle reglas. Si ya las incluyó durante la creación de la plantilla, omita este paso.

1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.

2. En el panel de navegación izquierdo, elija Protection Config > Core Web Protection.

3. En la sección Website Tamper-proofing , ubique la plantilla de protección y haga clic en Create Rule dentro de su columna Actions.

4. En el cuadro de diálogo Create Rule, configure los parámetros y haga clic en OK.

   Parámetro	Descripción
   Rule Name	Introduzca un nombre para la regla. El nombre puede tener hasta 30 caracteres e incluir caracteres chinos, letras, dígitos y guiones bajos (_).
   Address of Cached Page	Establezca el protocolo y la ruta completa de la página que desea almacenar en la caché. Protocolo: http o https. Ruta de la página en la caché: El valor predeterminado es www.waftest.cn/index.html. Este valor se puede modificar. No se admiten comodines, como /*, ni parámetros. Por ejemplo, en /abc?xxx=yyy, xxx=yyy es un parámetro. Importante Las solicitudes que contienen parámetros de URL no coinciden con la regla de protección contra alteraciones. WAF las reenvía directamente al servidor de origen. Por ejemplo, si la ruta de la página en la caché es /abc y la URL de la solicitud es /abc?xxx=yyy, la solicitud no coincidirá con la regla correspondiente a la ruta /abc. Se protege el archivo ubicado en la ruta especificada, ya sea de tipo TXT, HTML, imagen u otro formato. El tamaño de cada archivo protegido no puede superar 1 MB. Importante Solo se almacena en la caché una URL específica. No se admiten directorios.
   Specify User-Agent to Access	Especifique el encabezado User-Agent que utilizará WAF al recuperar la página del servidor de origen. Si no selecciona Specify User-Agent to Access, el User-Agent adopta de forma predeterminada el identificador de un navegador de PC. Si selecciona Specify User-Agent to Access, debe especificar un User-Agent. Abra un navegador y presione F12 para abrir las herramientas de desarrollador. En la pestaña Network, haga clic en una solicitud. Dentro de la sección HTTP Header, busque el campo User-Agent para obtener el identificador del navegador.

   Nota

   • Al crear una regla de protección contra alteraciones, el sistema recupera el recurso de inmediato y lo almacena en la caché de WAF. Las solicitudes posteriores se atienden desde dicha caché.

   • Comprobar si una solicitud coincide con una regla de protección: Utilice las herramientas de desarrollador de su navegador para confirmar si una solicitud coincide con la regla configurada.

     1. Presione F12 para abrir las herramientas de desarrollador.

     2. Cambie a la pestaña Network.

     3. Visite la página protegida y haga clic en la solicitud correspondiente.

     4. En la sección Response Headers, compruebe los siguientes encabezados:

        • Aliwaf-Cache: Si el valor es HIT, la solicitud coincidió con una regla de protección contra alteraciones y WAF devolvió una página almacenada en la caché.

        • Server: Si el valor es Tengine, WAF actuó como proxy de la solicitud. Este encabezado aparece únicamente cuando conecta un nombre de dominio a WAF. En el modo de acceso CLB, WAF no lo agrega.

     Si el encabezado Aliwaf-Cache no existe o su valor no es HIT, la solicitud no coincidió con la regla. Compruebe que la regla esté configurada correctamente y habilitada.

   • Si vuelve a habilitar el control Status o activa el Status de una regla, el sistema accede nuevamente a los recursos protegidos y actualiza la caché. Esto produce el mismo efecto que hacer clic manualmente en Update Cache.

   • Si el servidor de origen utiliza una lista blanca para el control de acceso, agregue las siguientes direcciones IP de WAF:

     • China continental: 121.196.106.101, 121.196.100.214, 121.196.110.192 y 121.196.107.0.

     • Fuera de China continental: 8.219.104.2 y 8.219.41.212.

   Las reglas nuevas se habilitan de forma predeterminada. En la lista de reglas, realice las siguientes operaciones:

   • Consulte información como el Rule ID y la Rule Condition.

   • Utilice el interruptor Status para habilitar o deshabilitar la regla.

   • Elija Edit o Delete para gestionar la regla.

Operaciones relacionadas

Para proteger un directorio específico del servidor, utilice la función de protección contra alteraciones web de Security Center. Para obtener más información, consulte web tamper proofing.

Referencias

• Para obtener más información sobre los objetos protegidos, los módulos de protección y los flujos de trabajo de protección en WAF 3.0, consulte Overview of protection configuration.

• Para crear una plantilla de protección mediante la API, consulte CreateDefenseTemplate.

• Para crear y configurar una regla de Core Web Protection, consulte Create a Core Web Protection rule.