Edge Security Acceleration:Règles de protection contre les scans

Configurer les règles de protection contre les scans

1. Dans la console ESA, sélectionnez Websites, puis dans la colonne Actions du site web cible, cliquez sur WAF.

2. Sur la page de détails du site web, sélectionnez Security > WAF > Scan Protection Rules.

3. Dans l'onglet Scan Protection Rules, cliquez sur Create Rule Set.

   • Saisissez un Ruleset Name.

   • If requests match... : définissez les critères applicables aux requêtes entrantes. Ces règles s'appliquent uniquement aux requêtes correspondant aux critères spécifiés. Les champs de correspondance disponibles sont décrits dans la rubrique Composants d'une expression de règle.

   • Trigger the protection type… : sélectionnez le type de protection à activer pour les requêtes correspondantes.

     Remarque

     Configurez au moins l'une des règles suivantes : High-frequency Scanning Blocking ou Directory Traversal Blocking.

     • Configurer une règle de blocage des scans haute fréquence

       Ajoute une source d'attaque à la liste de blocage lorsqu'elle déclenche plusieurs fois des règles gérées pour l'objet protégé sur une courte période. Toutes les requêtes provenant de cette source sont alors bloquées ou surveillées pendant une durée déterminée.

       Paramètre	Description
       Block Object	Type de source d'attaque à suivre : Cookie Value Of : suit la fréquence des attaques selon une valeur de cookie spécifique. Header : suit la fréquence des attaques selon un en-tête de requête spécifique. Client IP : suit la fréquence des attaques selon l'adresse IP du client. Session : suit la fréquence des attaques selon la session client. URI Query String Parameter : suit la fréquence des attaques selon un paramètre de chaîne de requête spécifique.
       Time Range (Seconds)	Fenêtre temporelle de détection des requêtes. Valeurs valides : de 5 à 1 800. Unité : secondes.
       Trigger Threshold (Times)	Nombre maximal de déclenchements des règles de protection de base par un objet suivi dans la fenêtre temporelle. Valeurs valides : de 3 à 50 000.
       Triggered Rules	Nombre maximal de règles de protection de base distinctes qu'un objet suivi peut déclencher dans la fenêtre temporelle. Valeurs valides : de 1 à 50.
       Blocking Duration (Seconds)	Durée de blocage de l'objet correspondant. Valeurs valides : de 60 à 86 400. Unité : secondes.

     • Configurer une règle de blocage des traversées de répertoire

       Ajoute une source d'attaque à la liste de blocage lorsqu'elle accède à de nombreux répertoires inexistants sur l'objet protégé dans un court laps de temps. Toutes les requêtes issues de cette source sont ensuite bloquées ou surveillées pendant une durée spécifiée.

       Paramètre	Description
       Block Object	Type de source d'attaque à suivre : Cookie Value Of : suit la fréquence des attaques selon une valeur de cookie spécifique. Header : suit la fréquence des attaques selon un en-tête de requête spécifique. Client IP : suit la fréquence des attaques selon l'adresse IP du client. Session : suit la fréquence des attaques selon la session client. URI Query String Parameter : suit la fréquence des attaques selon un paramètre de chaîne de requête spécifique.
       Time Range (Seconds)	Fenêtre temporelle de détection des requêtes. Valeurs valides : de 5 à 1 800. Unité : secondes.
       Requests	Nombre maximal de requêtes qu'un objet suivi peut envoyer à un seul domaine dans la fenêtre temporelle. Valeurs valides : de 3 à 50 000.
       404 Error Rate	Pourcentage maximal de requêtes retournant un code de réponse 404. Valeurs valides : de 1 à 100. Unité : pourcentage (%).
       Non-existent Directories	Nombre maximal de répertoires inexistants auxquels un objet suivi peut accéder dans la fenêtre temporelle. Les fichiers statiques tels que les images sont exclus. Valeurs valides : de 2 à 50 000.
       Blocking Duration (Seconds)	Durée de blocage de l'objet correspondant. Valeurs valides : de 60 à 86 400. Unité : secondes.

     • Blocage des scanners

       Bloque ou surveille les requêtes provenant de scanners courants tels que Sqlmap, Acunetix (AWVS), Nessus, AppScan, WebInspect, Netsparker, Nikto et RSAS.

   • Then execute... : action à appliquer aux requêtes correspondantes, comme décrit dans la rubrique WAF.

4. Cliquez sur OK.

Éditions prises en charge