Edge Security Acceleration:Configurer la protection contre les scans

Prérequis

• Le service Edge WAF est activé. Pour plus d'informations, consultez la rubrique Activer Edge WAF.

• Vous avez ajouté un nom de domaine à Edge WAF. Pour plus d'informations, consultez la rubrique Ajouter un nom de domaine protégé.

Contexte

Créer une politique d'atténuation - Protection contre les scans

Lorsque vous configurez la protection contre les scans pour la première fois, vous devez créer un modèle de règle de protection contre les scans, puis configurer ses règles.

1. Connectez-vous à la console DCDN.

2. Dans le volet de navigation de gauche, sélectionnez WAF > Protection Policies.

3. Sur la page Protection Policies, cliquez sur Create Policy.

4. Sur la page Create Policy, configurez les informations de protection.

   Module de configuration	Élément de configuration	Description
   Policy Information	Policy Type	Sélectionnez Scan Protection.
   	Policy Name	Saisissez un nom de politique personnalisé. Le nom peut contenir des lettres, des chiffres et des traits de soulignement (_). Il peut comporter jusqu'à 64 caractères.
   	Make Default	Spécifiez si cette politique doit être définie comme politique par défaut pour le type d'atténuation actuel. Une politique par défaut s'applique à tous les noms de domaine protégés qui ne sont pas associés à une politique d'atténuation personnalisée, y compris les nouveaux noms de domaine ajoutés et ceux retirés des politiques d'atténuation personnalisées. Elle n'a pas besoin d'être associée à un nom de domaine protégé spécifique. Remarque Une seule politique par défaut peut être définie pour chaque type d'atténuation. La politique par défaut ne peut pas être modifiée après sa création. Si une politique par défaut existe déjà pour le type d'atténuation actuel, cette option n'est pas disponible.
   Rule Information	Rules	Sélectionnez l'action à entreprendre lorsqu'une requête correspond à la règle. Options : Block : bloque les requêtes correspondant à la règle et renvoie une page de blocage au client. Monitor : ne bloque pas les requêtes correspondant à la règle. Utilisez le mode Monitor pour tester une nouvelle règle. Après avoir confirmé que la règle ne génère pas de faux positifs, changez l'action en Block.
   High-frequency Scanning Blocking	Status	Activez ou désactivez la protection contre les scans à haute fréquence. Configuration par défaut : une source d'attaque (l'Blocked Object, IP par défaut) est ajoutée à la liste noire pour une Block Duration de 30 minutes si elle remplit les conditions suivantes au cours d'une Detection Period de 60 secondes : déclenche les règles de protection de base plus de 20 fois. Déclenche plus de 2 règles de protection différentes (Number of Triggered Protection Rules Is Greater Than). Pendant la durée de blocage, toutes les requêtes provenant de la source sont bloquées ou surveillées selon la règle. Cliquez sur Modify Configuration pour personnaliser les paramètres comme décrit dans les lignes suivantes.
   	Block Object	Sélectionnez le type de source d'attaque à surveiller : IP : surveille la fréquence des attaques provenant de la même adresse IP cliente. Session : surveille la fréquence des attaques provenant de la même session cliente. Remarque Le WAF tente d'insérer un cookie commençant par acw_tc dans la réponse à l'aide de la méthode setcookie pour marquer les différentes sessions clientes. Custom : surveille la fréquence des attaques provenant d'objets présentant les mêmes caractéristiques de requête. Vous pouvez spécifier les caractéristiques de requête de la manière suivante : Custom Header : surveille la fréquence des requêtes d'attaque contenant un en-tête spécifique. Custom Parameter : surveille la fréquence des requêtes d'attaque contenant un paramètre spécifique. Custom Cookie : surveille la fréquence des requêtes d'attaque contenant un cookie spécifique.
   	Time Range	Définissez la plage de temps pour la détection des requêtes HTTP. Plage de valeurs : 5 à 1800. Unité : secondes.
   	Trigger Threshold	Dans la Time Range, définissez le nombre maximal de fois où un objet surveillé unique peut déclencher les règles de protection de base pour l'objet protégé actuel. Plage de valeurs : 3 à 50 000.
   	Triggered Rules	Dans la Time Range, définissez le nombre de règles de protection de base différentes qu'un objet surveillé unique peut déclencher pour l'objet protégé actuel. Plage de valeurs : 1 à 50.
   	Blocking Time	Définissez la durée pendant laquelle les requêtes provenant d'un objet correspondant à la règle seront bloquées. Plage de valeurs : 60 à 86 400. Unité : secondes.
   Directory Traversal Blocking	Status	Activez ou désactivez le blocage du parcours de répertoires. Configuration par défaut : une source d'attaque (l'Blocked Object, IP par défaut) est ajoutée à la liste noire pour une Block Duration de 30 minutes si elle remplit les conditions suivantes au cours d'une Detection Period de 10 secondes : envoie plus de 50 requêtes à l'objet protégé (Requests to Protected Object Exceed). Le ratio de codes de réponse 404 dépasse 70 % (404 Response Code Ratio Exceeds). Le nombre de répertoires inexistants consultés dépasse 50 (Number of Non-existent Directories Exceeds). Pendant la durée de blocage, toutes les requêtes provenant de la source sont bloquées ou surveillées. Cliquez sur Modify Configuration pour personnaliser les paramètres comme décrit dans les lignes suivantes.
   	Block Object	Sélectionnez le type de source d'attaque à surveiller : IP : surveille la fréquence des attaques provenant de la même adresse IP cliente. Session : surveille la fréquence des attaques provenant de la même session cliente. Remarque Le WAF tente d'insérer un cookie commençant par acw_tc dans la réponse à l'aide de la méthode setcookie pour marquer les différentes sessions clientes. Custom : surveille la fréquence des attaques provenant d'objets présentant les mêmes caractéristiques de requête. Vous pouvez spécifier les caractéristiques de requête de la manière suivante : Custom Header : surveille la fréquence des requêtes d'attaque contenant un en-tête spécifique. Custom Parameter : surveille la fréquence des requêtes d'attaque contenant un paramètre spécifique. Custom Cookie : surveille la fréquence des requêtes d'attaque contenant un cookie spécifique.
   	Time Range	Définissez la période de détection. Plage de valeurs : 5 à 1800. Unité : secondes.
   	Requests	Dans la Time Range, définissez le nombre maximal de requêtes qu'un objet surveillé unique peut envoyer à un seul nom de domaine. Plage de valeurs : 3 à 50 000.
   	HTTP 404 Status Code Percentage	Définissez le pourcentage maximal de codes de réponse 404. Plage de valeurs : 1 à 100. Unité : % (pour cent).
   	Non-existent Directories	Dans la Time Range, définissez le nombre maximal de répertoires inexistants (à l'exclusion des fichiers statiques tels que les images) auxquels un objet surveillé unique peut accéder. Plage de valeurs : 2 à 50 000.
   	Blocking Time	Définissez la durée pendant laquelle les requêtes provenant d'un objet correspondant à la règle seront bloquées. Plage de valeurs : 60 à 86 400. Unité : secondes.
   Scanner Blocking	Status	Activez ou désactivez le blocage des scanners.
   Protected Domain Names	Protected Domain Names	Sélectionnez les noms de domaine auxquels vous souhaitez appliquer cette politique d'atténuation. Remarque Un nom de domaine protégé ne peut être associé qu'à une seule politique d'atténuation du même type. Si vous sélectionnez un nom de domaine déjà associé à une autre politique du même type, la politique actuelle remplacera la précédente pour ce nom de domaine.

5. Cliquez sur Create Policy.

   La nouvelle politique de protection est activée par défaut.

API connexes

• CreateDcdnWafPolicy — Crée une politique de protection personnalisée.

• BatchCreateDcdnWafRules — Crée plusieurs règles personnalisées par lot.

• DescribeDcdnWafPolicies — Interroge les politiques de protection personnalisées.

• DescribeDcdnWafDefaultRules — Interroge l'ensemble de règles par défaut.

• DescribeDcdnWafPolicies — Interroge les politiques de protection personnalisées.

• DescribeDcdnWafPolicyValidDomains — Interroge les domaines valides pour une politique de protection personnalisée.