Web Application Firewall:Configure threat intelligence rules

Conceptos clave

• Inteligencia de amenazas: módulo de protección de WAF que identifica y bloquea automáticamente las direcciones IP de origen de ataques web en todo el mundo, sin necesidad de configurar manualmente reglas complejas. Para habilitar este módulo, debe crear una plantilla de protección de inteligencia de amenazas. Es posible crear varias plantillas.

• Plantilla de protección: conjunto de reglas que define el contenido específico de cada regla y su alcance. Una plantilla consta de tres partes: tipo de plantilla, reglas de protección y alcance.

  • Tipo de plantilla: debe especificar un tipo al crear la plantilla, ya que no se puede modificar después. Existen dos tipos de plantillas:

    Tipo de plantilla	Descripción	Casos de uso
    plantilla predeterminada	Al crearse, la plantilla se aplica de forma predeterminada a todos los objetos y grupos de objetos protegidos. Los objetos nuevos también se incluyen automáticamente. Puede excluir manualmente objetos específicos si establece su estado en "Not applied". Solo se permite una plantilla predeterminada en el módulo de inteligencia de amenazas.	Ideal para desplegar reglas de propósito general con aplicación global.
    plantilla personalizada	Debe especificar manualmente los objetos o grupos de objetos protegidos a los que se aplica.	Recomendada cuando se requieren reglas detalladas para servicios específicos.

  • Regla de protección: define la lógica de detección específica y la acción de respuesta. Cada regla consta de dos partes:

    • Tipo de regla: especifica el tipo de amenaza que se va a detectar. Los tipos compatibles incluyen Website Scanning, Exploitation y Tor IP.

    • Acción de la regla: define la acción que se ejecuta cuando una solicitud coincide con la regla. Las acciones tienen la siguiente prioridad, de mayor a menor: block, strict slider CAPTCHA, slider CAPTCHA, JS challenge y monitor.

  • Alcance: especifica los destinos a los que se aplica la plantilla. Al definir el alcance, se aplican las reglas de protección a objetos o grupos de objetos protegidos específicos. Un objeto o grupo de objetos protegidos solo se puede asociar con una plantilla de inteligencia de amenazas.

    • Objeto protegido: el sistema crea automáticamente un objeto protegido por cada nombre de dominio o instancia de servicio en la nube que se agrega a WAF.

    • Grupo de objetos protegidos: permite agregar varios objetos protegidos a un grupo para gestionarlos de manera centralizada.

Paso 1: Configurar el tipo de plantilla de inteligencia de amenazas

En la página Core Web Protection, dentro de la sección Threat Intelligence, haga clic en Create Template. En el panel Create Template - Threat Intelligence, complete la siguiente configuración.

• Template Name: introduzca un nombre para la plantilla.

• Save as Default Template: solo se permite una plantilla predeterminada en el módulo de inteligencia de amenazas, y esta condición únicamente se puede establecer durante la creación.

  • Sí: no es necesario configurar el campo Apply To. Al crearse, la plantilla se aplica de forma predeterminada a todos los objetos y grupos de objetos protegidos. Los objetos nuevos también se incluyen automáticamente. Puede excluir objetos específicos de manera manual.

  • No: debe configurar el campo Apply To y especificar manualmente los objetos o grupos de objetos protegidos a los que se aplica la plantilla.

Paso 2: Configurar las reglas de protección

En la sección Rule Configuration, complete la siguiente configuración.

• Tipo de regla: seleccione el tipo de regla según sus necesidades de negocio para defenderse de ataques específicos.

  Tipo de regla	Descripción
  Website Scanning	Estas direcciones IP usan herramientas automatizadas para sondear sitios web e identificar la pila tecnológica, los puertos abiertos o posibles vulnerabilidades de seguridad, así como para recopilar otra información relacionada.
  Exploitation	Estas direcciones IP aprovechan vulnerabilidades de seguridad en aplicaciones web para ejecutar operaciones maliciosas, obtener acceso no autorizado y causar daños potenciales.
  Tor IP	Estas direcciones IP corresponden a nodos de salida de la red Tor. Representan tráfico de usuarios que acceden a internet de forma anónima mediante Tor.

• Rule Action: seleccione la acción que se ejecutará cuando una solicitud coincida con la regla.

  Parámetro	Descripción
  JavaScript Validation	WAF devuelve un fragmento de JavaScript al cliente para validarlo. Un navegador estándar ejecuta este código automáticamente. Si el navegador del cliente ejecuta el código correctamente, WAF permite todas las solicitudes de ese cliente durante un periodo (30 minutos de forma predeterminada). De lo contrario, WAF bloquea las solicitudes.
  Block	Bloquea las solicitudes que coinciden con la regla y devuelve una página de respuesta de bloqueo al cliente. Nota WAF utiliza una página de bloqueo predeterminada. También puede usar la función Custom Response para personalizar dicha página.
  Log	Permite las solicitudes que coinciden con la regla, pero registra la coincidencia en los registros. Cuando pruebe una regla nueva, utilice primero el modo Log para analizar los registros de WAF y confirmar que la regla no bloquea solicitudes legítimas. Después, cambie a otra acción de regla.
  CAPTCHA	WAF devuelve una página de CAPTCHA al cliente. Si el cliente completa correctamente el CAPTCHA, WAF permite todas las solicitudes de ese cliente durante un periodo (30 minutos de forma predeterminada). De lo contrario, WAF bloquea las solicitudes. Nota En una instancia de WAF con método de facturación pay-as-you-go, esta acción de regla genera cargos adicionales. Para obtener más información, consulte Pay-as-you-go billing details.
  Strict CAPTCHA	WAF devuelve una página de CAPTCHA al cliente. Si el cliente completa correctamente el CAPTCHA, WAF permite la solicitud. De lo contrario, la bloquea. En este modo, cada solicitud del cliente que coincida con esta regla requiere verificación mediante CAPTCHA. Nota En una instancia de WAF con método de facturación pay-as-you-go, esta acción de regla genera cargos adicionales. Para obtener más información, consulte Pay-as-you-go billing details.

  Nota

  • La acción CAPTCHA solo está disponible en instancias de WAF con suscripción (Enterprise o Ultimate Edition) y pay-as-you-go.

  • Las acciones JavaScript Validation y CAPTCHA se aplican únicamente a solicitudes síncronas. Para solicitudes asíncronas, como las realizadas con XMLHttpRequest o Fetch API, debe insertar el SDK web. De lo contrario, estas funciones no operarán correctamente. Para obtener más información, consulte las secciones de validación de JavaScript y CAPTCHA en Bot management.

  • Después de habilitar JavaScript Validation o CAPTCHA, y una vez que el cliente supera la verificación, WAF usa Set-Cookie para establecer una cookie llamada acw_sc__v2 (para JavaScript Validation) o acw_sc__v3 (para CAPTCHA) en el encabezado de respuesta. Luego, el cliente incluye este identificador en el encabezado Cookie de las solicitudes posteriores.

• Advanced Settings (opcional):

  Parámetro	Descripción
  Canary Rule	Configura el porcentaje de tráfico al que se aplica la regla, con base en una dimensión específica. Después de habilitar el despliegue canario, también debe configurar los campos Dimension y Canary Release Proportion. El parámetro Dimension incluye: IP, Custom Header, Custom Parameter, Custom Cookie y Session. Nota El despliegue canario surte efecto según el parámetro Dimension configurado, en lugar de aplicar la regla a un porcentaje aleatorio de todas las solicitudes. Por ejemplo, si establece Dimension en IP y Canary Release Proportion en 10 %, WAF selecciona aproximadamente el 10 % de todas las direcciones IP de origen. Todas las solicitudes provenientes de esas direcciones IP quedan sujetas a la regla; esta no se aplica de forma aleatoria al 10 % del total de solicitudes.
  Effective Mode	Permanently Effective (predeterminado): la regla permanece activa siempre que la plantilla de protección esté habilitada. Fixed Schedule: la regla de protección solo está activa durante un intervalo de tiempo específico. Recurring Schedule: la regla de protección solo está activa durante un periodo recurrente específico.

Paso 3: Establecer el alcance de la plantilla

En la sección Apply To, seleccione los protected objects and protected object groups a los que desea aplicar esta plantilla.

La forma en que se aplica la plantilla depende de la configuración definida en Step 1:

• Si la estableció como plantilla predeterminada: no es necesario configurar el alcance. La plantilla se aplica automáticamente a todos los objetos y grupos de objetos protegidos, tanto existentes como futuros. Puede excluir objetos específicos de manera manual.

• Si no la estableció como plantilla predeterminada: debe especificar manualmente los objetos y grupos de objetos protegidos para definir el alcance.

Operaciones comunes