Web Application Firewall:Critical event protection

La función de protección de eventos críticos ofrece una defensa personalizada y precisa para eventos importantes durante periodos específicos. En este tema se describe cómo habilitar y usar la protección de eventos críticos.

Facturación

Requisitos previos

• Activó WAF 3.0. Para obtener más información, consulte Purchase a subscription WAF 3.0 instance y Activate a pay-as-you-go WAF 3.0 instance.

  El método para habilitar la protección de eventos críticos varía según la edición de la instancia de WAF.

  Edición de la instancia de WAF	Habilitada de forma predeterminada	Descripción
  suscripción Ultimate Edition	Sí	Puede usar esta función directamente sin necesidad de habilitarla por separado.
  suscripción Pro Edition, suscripción Enterprise Edition y pay-as-you-go	No. Debe habilitarla mediante una actualización temporal.	Actualice su instancia a Ultimate Edition. Para obtener más información, consulte Upgrade an instance. Habilite la protección de eventos críticos mediante una actualización temporal. Para obtener más información, consulte Enable critical event protection.
  suscripción Basic Edition	No, y esta edición no es compatible con esta función.	Actualice su instancia a Ultimate Edition. Para obtener más información, consulte Upgrade an instance. Actualice su instancia a Pro Edition o Enterprise Edition y luego habilite la protección de eventos críticos mediante una actualización temporal. Para obtener más información, consulte Enable critical event protection.

• Agregó sus servicios web a WAF 3.0 mediante el modo de registro CNAME o mediante la integración con un servicio en la nube como Classic Load Balancer (CLB) (HTTP/HTTPS), CLB (TCP) o Elastic Compute Service (ECS). Para obtener más información, consulte Overview of adding a website.

  Nota

  Esta función no es compatible con los objetos protegidos que se agregan a WAF a través de ALB, MSE o FC.

Habilitar la protección de eventos críticos

Crear una plantilla de reglas para eventos críticos

Cuando configura la protección de eventos críticos por primera vez, debe crear una plantilla de reglas. Puede crear hasta 20 plantillas.

1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.

2. En el panel de navegación izquierdo, elija Protection Config > Critical Event Protection.

3. En la pestaña Protection Templates, haga clic en Create Template.

4. En el panel Create Protection Template for Critical Events, configure los siguientes ajustes.

   1. Configure la información básica y luego haga clic en Next.

      Parámetro	Descripción
      Template Name	Especifique un nombre para la plantilla. El nombre debe tener entre 1 y 255 caracteres. Puede contener caracteres chinos, letras mayúsculas y minúsculas, dígitos, puntos (.), guiones bajos (_) y guiones (-).
      Protection rules	Seleccione las reglas de protección que desea aplicar y configure la acción de cada regla. Critical Event Threat Intelligence: utiliza una biblioteca de inteligencia de amenazas de direcciones IP maliciosas para identificar atacantes con precisión. Esta regla está habilitada de forma predeterminada y su acción se establece en Monitor. Critical Event Protection Rule Group: genera un conjunto preciso de reglas de protección para sus servicios basado en un modelo de protección inteligente. Esta regla está habilitada de forma predeterminada y su acción se establece en Monitor. IP Address Blacklist for Protection for Critical Events: cuando está habilitada, WAF supervisa o bloquea las solicitudes provenientes de direcciones IP o rangos de direcciones específicos. Puede agregar hasta 50 000 direcciones IP personalizadas o bloques CIDR a la lista negra. Shiro Deserialization Vulnerability Prevention: cuando está habilitada, WAF usa el cifrado de cookies para proteger contra las vulnerabilidades de deserialización de Java en Apache Shiro.
      Apply To	En configured protected objects and protected object groups, seleccione aquellos a los que desea aplicar esta plantilla.

   2. Si habilitó la regla IP Address Blacklist for Protection for Critical Events, debe configurar la lista negra de direcciones IP como se describe a continuación. Cuando termine, haga clic en Next.

      Parámetro	Acciones
      Add IP Address Blacklist	Haga clic en Add IP Address Blacklist para agregar direcciones IP manualmente a la lista negra. En el cuadro de texto IP Address Blacklist, introduzca las direcciones IP que desea agregar. Separe varias entradas con saltos de línea. Nota Puede introducir hasta 500 direcciones IP o bloques CIDR. Se admiten direcciones IPv6. Separe varias entradas con un salto de línea o una coma (,). Establezca una hora de expiración. Opciones: Permanently Effective. Custom. Si elige esta opción, haga clic en el selector de tiempo para especificar la fecha y hora de expiración. En el cuadro de texto Remarks, introduzca una nota y haga clic en OK. Después de agregar las direcciones IP, puede consultarlas en el panel Configure IP Address Blacklist.
      Import IP Address Blacklist	Haga clic en Import IP Address Blacklist para importar direcciones IP de forma masiva. Haga clic en Upload File y seleccione el archivo de lista negra de direcciones IP que desea importar. Importante Solo se admiten archivos CSV. Se admiten direcciones y bloques CIDR IPv4 e IPv6. Puede importar un archivo a la vez. Cada archivo puede contener hasta 2000 entradas. Un bloque CIDR cuenta como una entrada. El tamaño del archivo no puede superar 1 MB. Si tiene una gran cantidad de direcciones IP por importar, puede hacerlo en lotes. Establezca una hora de expiración. Opciones: Permanently Effective. Custom. Si elige esta opción, haga clic en el selector de tiempo para especificar la fecha y hora de expiración. En el cuadro de texto Remarks, introduzca una nota y haga clic en OK. Después de agregar las direcciones IP, puede consultarlas en el panel Configure IP Address Blacklist.
      Delete All IP Addresses	Para eliminar todas las direcciones IP de la lista negra, haga clic en Delete All IP Addresses.
      Delete Expired IP Addresses	Si algunas direcciones IP de la lista negra han caducado, haga clic en Delete Expired IP Addresses para quitarlas.

5. Haga clic en Complete.

   La nueva plantilla de reglas se habilita de forma predeterminada. En la lista de plantillas de reglas, puede llevar a cabo las siguientes acciones:

   • Consultar la cantidad de Protection Features y los elementos de Protected Object/Group asociados a una plantilla.

   • Usar el interruptor para Enable o Close una plantilla.

   • Edit, Delete o Copy una plantilla de reglas.

   • Si una plantilla tiene habilitada la regla IP Address Blacklist for Protection for Critical Events, haga clic en Edit IP Address Blacklist para agregar o modificar la lista negra.

Consultar los datos de protección de eventos críticos

1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.

2. En el panel de navegación izquierdo, elija Protection Config > Critical Event Protection.

3. A continuación se muestra la información que puede consultar.

   • En la tarjeta Statistics, consulte los valores de Total Requests y Blocked Requests, así como un gráfico circular que muestra la distribución de los tipos de reglas de protección para el rango de tiempo especificado.

   • En la tarjeta Protection Plan for Critical Events, consulte la cantidad de Protection Rules for Critical Events, Threat Intelligence Rules y Added IP Addresses In Blacklist/Total dentro del rango de tiempo especificado.

   • En la pestaña Security Reports, seleccione un objeto protegido y un rango de tiempo para consultar el informe de seguridad correspondiente.

     • Objeto protegido: de forma predeterminada, se selecciona All, lo que recupera los datos de todos los objetos protegidos por WAF. También puede seleccionar un objeto específico.

     • Rango de tiempo: de forma predeterminada, se muestran los datos de Today. También puede elegir Yesterday, Today, Last 7 days, Last 30 days o un rango de tiempo personalizado dentro de los últimos 30 días.

     En la siguiente tabla se describen los datos del informe de seguridad.

     Tipo	Descripción	Acciones compatibles
     Estadísticas de ataques (etiquetadas como ① en la figura)	Muestra un análisis estadístico de los ataques al objeto protegido durante el rango de tiempo especificado, que incluye: Distribution of Attack Types: Un gráfico circular que muestra la distribución de los tipos de ataque. Top 5 Attacks: Enumera los cinco objetos atacados con mayor frecuencia en la pestaña Attacked Object y las cinco direcciones IP de atacante más activas en la pestaña Attacker IP Address. Los resultados se ordenan de forma descendente según la cantidad de ataques.	Ninguna
     Registros de eventos de ataque (etiquetados como ② en la figura)	Enumera las solicitudes de ataque que activaron las reglas principales de protección web. La lista incluye la siguiente información: Attacker IP Address: la dirección IP de origen de la solicitud de ataque. Area: la región donde se ubica la dirección IP del atacante. Attack Time: la hora en que comenzó el ataque. Attack Type: el tipo de ataque, como SQL Injection o Code Execution. Rule Type: el tipo de regla que se activó, como Protection Rule Group for Critical Events o Threat Intelligence for Protection for Critical Events. Rule Action: la acción que ejecutó WAF. Block: WAF bloqueó la solicitud. Log: WAF registró el ataque, pero no bloqueó la solicitud.	Filtrar eventos de ataque Use los siguientes campos ubicados sobre la tabla de eventos de ataque para filtrarlos: Tipo de ataque: de forma predeterminada, se selecciona All. Otras opciones incluyen SQL Injection, XSS, Code Execution, Local File Inclusion, Remote File Inclusion, Webshell y Others. Tipo de regla: de forma predeterminada, se selecciona All. Otras opciones incluyen Critical Event Protection Rule Group, Critical Event Threat Intelligence, IP Address Blacklist for Protection for Critical Events y Shiro Deserialization Vulnerability Prevention. Acción de la regla: de forma predeterminada, se selecciona All. Las demás opciones son Block y Monitor. Consultar detalles del ataque En la columna Actions de un evento, haga clic en View Details para consultar más información sobre el ataque y la regla activada, como Rule ID, Rule Name, Rule Description, Rule Action y Attack Type.
     Inteligencia de amenazas en tiempo real (etiquetada como ③ en la figura)	Muestra la inteligencia de amenazas en tiempo real de las direcciones IP de los atacantes, que incluye: La dirección IP del atacante y sus atributos. La región de la dirección IP del atacante. La cantidad de ataques en la última hora. El tipo de ataque.	Consultar la inteligencia de amenazas en tiempo real de la dirección IP de un atacante Introduzca una dirección IP en el cuadro de búsqueda y haga clic en el ícono para consultar su inteligencia de amenazas.