Edge Security Acceleration:Règles de sécurité

Évaluation des menaces

La détection des menaces ESA s'appuie sur la base de données de renseignement sur les menaces d'Alibaba Cloud, qui agrège en temps réel les données mondiales sur les cybermenaces.

• Sources de renseignement : adresses IP malveillantes connues, sources d'attaques, botnets et services proxy.

• Dimensions de détection : le système évalue la réputation de l'adresse IP, la localisation géographique, les modèles d'accès et les attributs de la requête (tels que le User-Agent), puis génère un score de menace dynamique pour déterminer le niveau de sécurité.

Niveaux de sécurité personnalisables

Les niveaux de sécurité contrôlent la sensibilité de la détection des menaces et la rigueur des contre-mesures. Des niveaux plus élevés offrent une protection renforcée, mais augmentent le risque de faux positifs.

Créer une règle de sécurité

1. Dans la console ESA, accédez à Websites et cliquez sur le site web cible dans la colonne Website.

2. Dans le volet de navigation de gauche, choisissez Rules > Security Rules.

3. Cliquez sur Create Rule et saisissez un Rule Name.

4. Dans la section If requests match..., configurez les attributs de requête correspondants. Dans la section Then execute..., sélectionnez un niveau de sécurité. Par exemple : Pour les requêtes avec le nom d'hôte www.example.com, définissez le niveau de sécurité sur Medium.

   

   Important

   Le choix d'un niveau de sécurité plus élevé augmente le risque de faux positifs. Équilibrez la sécurité et l'expérience utilisateur.

5. (Facultatif) Pour modifier la précédence de la règle, faites glisser l'icône dans la colonne Order, ou cliquez sur Move to dans la colonne Actions.

   

Vérifier l'effet de la règle

La règle prend effet immédiatement. Lorsqu'une requête correspondant aux conditions de la règle atteint www.example.com, le visiteur reçoit une page de défi.

Une fois le défi relevé, la page se charge normalement. Les paramètres u_atoken et u_asession sont ajoutés à l'URL de la requête pour identifier les utilisateurs vérifiés.

Gérer les faux positifs et optimiser les règles

Les adresses IP d'utilisateurs légitimes ou les clients API peuvent déclencher des faux positifs. Prenons le scénario suivant :

Votre service subit une attaque à haut risque et vous avez défini le niveau de sécurité sur High. Cependant, vous souhaitez autoriser les requêtes provenant de l'adresse IP de test interne 1.2.3.4.

• Méthode 1 : Ajouter une règle de liste d'autorisation

  Ajoutez une règle de liste d'autorisation WAF pour les adresses IP connues afin de garantir que le trafic commercial critique ne soit pas interrompu.

  1. Sur la page Security Rules, copiez l'Rule ID correspondant.

  2. Dans le volet de navigation de gauche, choisissez Security > WAF. Sélectionnez l'onglet Whitelist Rules, puis cliquez sur Create Rule.

  3. Configurez les paramètres comme indiqué dans l'exemple suivant et cliquez sur OK :

     • Rule Name : Saisissez un nom de règle personnalisé, tel que rule-allow-test-ip.

     • If requests match... : Dans la liste déroulante du champ de correspondance, sélectionnez Client IP. Dans la liste déroulante de l'opérateur, sélectionnez is in. Dans la zone de texte, saisissez 1.2.3.4.

     • Rule : Sélectionnez Specific Rule Category/ID.

     • Rule Category : Dans la liste déroulante, sélectionnez Security Level.

     • Rule ID : Saisissez l'Rule ID de l'étape 1.

     

• Méthode 2 : Ajuster la précédence des règles

  Étant donné que ESA évalue les règles séquentiellement, vous pouvez créer une règle de sécurité inférieure pour le trafic de test et la placer avant la règle de blocage afin qu'elle prenne effet en premier.

  1. Dans le volet de navigation de gauche, choisissez Rules > Security Rules, puis cliquez sur Create Rule.

  2. Configurez les paramètres comme indiqué dans l'exemple suivant et cliquez sur OK : Dans la section If requests match..., créez une condition qui correspond à l'adresse IP affectée, au User-Agent ou au chemin de la requête. Ensuite, dans la section Then execute..., définissez le Security Level sur Essentially Off ou Off (Available in Enterprise Plans) pour contourner les vérifications de sécurité.

     • Rule Name : Saisissez un nom de règle personnalisé, tel que rule-allow-test-ip.

     • Apply to : Filtered Requests est sélectionné par défaut. Pour le champ de correspondance, sélectionnez Client IP. Pour l'opérateur, sélectionnez is in. Dans la zone de saisie, saisissez 1.2.3.4.

     • Security Level : Sélectionnez Essentially Off ou Off (Available in Enterprise Plans) pour contourner les vérifications de sécurité.

     

  3. Sur la page Security Rules, faites glisser l'icône pour ajuster l'ordre d'exécution des règles. Placez la règle rule-allow-test-ip avant la règle d'origine.