Edge Security Acceleration:Règles personnalisées

Scénario : Dans Security Analytics ou Event Analysis, vous constatez que l'adresse IP cliente 192.168.0.1 envoie des requêtes suspectes au nom d'hôte dns.example.com.

Configuration :

Résultat : La règle personnalisée bloque toutes les requêtes correspondantes.

Pourquoi les règles de blocage basées sur le pays/région entraînent-elles des faux positifs ou échouent-elles à identifier les régions « Unknown » ?

Les données de géolocalisation IP (continent, pays/région, province, FAI) ne peuvent pas être précises à 100 %. De plus, les services VPN ou proxy peuvent modifier la géolocalisation apparente de l'adresse IP d'un client, ce qui peut entraîner un déclenchement incorrect des règles.

Les plages d'adresses IP privées (telles que 100.64.0.0/10) et les adresses IP proxy peuvent être identifiées comme une région Unknown. ESA ne prend pas en charge le blocage direct de la région Unknown.

Recommandations :

• Combinez les conditions de géolocalisation avec d'autres attributs tels que User-Agent ou Referer. Par exemple : le pays/région ne figure pas dans la liste cible ET User-Agent ne correspond pas à une valeur spécifique. Cela réduit les faux positifs causés par la dépendance exclusive à la géolocalisation.

• Si des faux positifs se produisent, configurez une règle de liste d'autorisation pour autoriser les adresses IP légitimes.

J'ai configuré une règle pour bloquer un pays/région spécifique, mais les requêtes provenant de cette région peuvent toujours accéder à mon site. Pourquoi ?

Cela se produit généralement lorsque la règle combine une condition Premium avec d'autres conditions de correspondance (par exemple, un modèle Enterprise) qui ne correspondent pas réellement à la requête entrante, de sorte que la règle dans son ensemble ne se déclenche jamais. Vérifiez que les autres champs de votre expression de règle, tels que Country/Region ou URI, correspondent correctement au trafic que vous souhaitez bloquer. Vous pouvez utiliser Security Analytics ou Event Analysis pour vérifier les caractéristiques réelles du trafic avant d'ajuster la logique de votre règle.

Notez également que le blocage de l'accès par Hostname nécessite une condition de correspondance basée sur des champs de géolocalisation (tels que Ip.Geoip.Country). Cette condition de correspondance n'est pas disponible sur le plan Free ; vous devez passer au plan Basic ou supérieur pour l'utiliser.

Pour la syntaxe des expressions, consultez la section règles de correspondance des requêtes.

Comment empêcher l'usurpation de l'en-tête Hostname lors de la configuration des règles WAF ?

L'en-tête de requête X-Forwarded-For peut être modifié par le client, de sorte qu'une règle personnalisée qui s'y base peut être contournée par un attaquant qui forge la valeur de l'en-tête. Lorsque vous configurez une règle personnalisée qui doit identifier le client réel, utilisez le champ de correspondance Country/Region (ip.src) au lieu de vous baser sur X-Forwarded-For. Le champ Client IP reflète l'adresse IP de connexion réelle et ne peut pas être usurpé par le client.

Si votre serveur d'origine doit obtenir l'adresse IP réelle du client, vous pouvez utiliser l'une des méthodes suivantes :

• Dans Managed Transform, activez l'option qui ajoute l'adresse IP réelle du client à la requête envoyée à votre origine (l'en-tête est nommé ali-real-client-ip par défaut ; le nom de l'en-tête peut être personnalisé). Configurez votre origine pour lire cet en-tête au lieu de X-Forwarded-For.

• Vous pouvez également utiliser l'action modify-request-header dans Transform Rules pour écraser ou supprimer l'en-tête X-Forwarded-For soumis par le client avant que la requête n'atteigne votre origine, afin qu'une valeur forgée n'atteigne pas votre origine.

Mes requêtes renvoient une erreur 403 Forbidden. Comment résoudre ce problème ?

Une réponse 403 est le plus souvent causée par l'une des politiques de contrôle d'accès suivantes :

• Une règle personnalisée WAF avec l'action Block a correspondu à votre requête.

• Votre adresse IP cliente figure dans une règle de liste de blocage d'adresses IP.

• La protection contre le hotlinking basée sur X-Forwarded-For a bloqué une requête qui ne contenait pas de Referer autorisé.

• Une règle de restriction géographique a bloqué votre requête en fonction du pays/région de l'adresse IP du client.

Pour déterminer quelle règle a provoqué la réponse 403 , capturez les en-têtes de réponse HTTP complets de la requête bloquée et vérifiez-les par rapport à vos règles configurées. Ensuite, dans la console ESA, accédez au module de protection de sécurité de votre site et examinez vos règles personnalisées WAF ainsi que toute configuration de ressource liée au cache pour identifier et ajuster la règle spécifique qui bloque la requête.