L'agent Runtime Application Self Protection (RASP) surveille votre application en temps réel. Il utilise l'analyse sémantique et des vérifications de référence comportementale pour détecter les menaces avec un faible taux de faux positifs. La plupart des alertes générées signalent des attaques réelles. Cette rubrique explique comment examiner les preuves d'alerte, déterminer si une alerte correspond à une menace réelle et supprimer les faux positifs à l'aide de règles de liste d'autorisation.
Prérequis
Avant de commencer, assurez-vous d'avoir :
Activé la protection des applications dans Security Center
Accès à la Security Center console
(Facultatif) La version 0.5.2 ou ultérieure de l'agent RASP, requise pour configurer des règles de liste d'autorisation basées sur des caractéristiques malveillantes ou des paramètres d'entrée. Redémarrez l'application protégée pour mettre à niveau automatiquement vers la dernière version.
Examiner une alerte et y répondre
L'exemple suivant décrit le traitement d'une alerte déclenchée par un téléchargement de fichier malveillant.
Connectez-vous à la Security Center console. Dans la barre de navigation supérieure, sélectionnez la région des ressources que vous souhaitez gérer : China ou Outside China.
Dans le volet de navigation de gauche, choisissez Protection Configuration > Application Protection.
Sous l'onglet Attack Alerts, localisez l'alerte et cliquez sur Details dans la colonne Actions.
Sur la page des détails de l'alerte, examinez les preuves et déterminez si l'alerte correspond à une menace réelle.
Comprendre les preuves de l'alerte
La page des détails est organisée en quatre sections. Examinez chaque section pour déterminer si l'alerte représente une attaque réelle ou un faux positif.
| Section | Champ | Informations fournies | Utilisation |
|---|---|---|---|
| Basic alert | Attacker IP address | L'adresse IP source qui a accédé à votre application. | Vérifiez si cette adresse IP appartient à un système interne connu, à un utilisateur de confiance ou à un outil d'analyse de sécurité. Les adresses IP externes inattendues nécessitent une enquête approfondie. |
| Basic alert | Vulnerability name | La vulnérabilité exploitée par l'attaquant, le cas échéant. | Cliquez sur l'ID de la vulnérabilité pour afficher les détails. Corrigez la vulnérabilité afin de réduire votre surface d'attaque. |
| Advanced alert | Malicious characteristics | Les données malveillantes envoyées à votre application. Dans cet exemple : une demande de téléchargement de /usr/local/tomcat/webapps/upload/addservlet.jsp. |
Déterminez si cette demande correspond à un comportement attendu. Si oui, ajoutez-la à une liste d'autorisation. Sinon, traitez-la comme une attaque réelle. |
| Advanced alert | Trigger function | La fonction sensible à la sécurité au sein de l'application qui a déclenché l'alerte. | Identifiez la fonction interne impliquée. |
| Advanced alert | Specified parameters | Un objet JSON affichant le comportement et les journaux d'événements générés lors du traitement de la demande par l'application. | Examinez les paires clé-valeur pour repérer des modèles suspects. |
| Advanced alert | Stack calling | La pile d'appels au moment de l'événement, enregistrant la séquence des appels de fonction. | Retracer le chemin d'exécution pour comprendre comment l'attaquant a atteint le code vulnérable. |
| More information | Request URL | Informations sur la requête HTTP qui a accédé à l'application. | Vérifiez si la requête provient d'une source légitime. Si ce n'est pas le cas, appliquez un contrôle d'accès ou bloquez les requêtes provenant de cette source. |
Consultez le résumé généré par l'IA dans la section Alert Analysis pour obtenir un indicateur supplémentaire sur la validité de l'alerte.
Réagir en fonction de votre évaluation
Après avoir examiné les preuves, prenez les mesures appropriées en fonction de la réalité de l'attaque et du mode de protection actif :
| Scénario | Mode Monitor | Mode Block |
|---|---|---|
| Attaque réelle | La requête n'a pas été bloquée. Localisez et supprimez immédiatement tous les fichiers malveillants. | L'attaque a été bloquée et le fichier n'a pas été écrit sur le serveur. Aucun nettoyage immédiat n'est requis. |
| Faux positif | Ajoutez l'alerte à une liste d'autorisation pour supprimer les alertes similaires. | Ajoutez l'alerte à une liste d'autorisation pour supprimer les alertes similaires. |
Supprimer les faux positifs avec des règles de liste d'autorisation
Si une alerte est déclenchée par une requête légitime, ajoutez-la à une liste d'autorisation. La page des détails de l'alerte préremplit les champs de la liste d'autorisation avec les valeurs de l'alerte, ce qui vous permet d'agir directement sans saisir manuellement les données.
Pour créer des règles de liste d'autorisation basées sur Malicious characteristics ou Specified parameters, mettez à niveau l'agent RASP vers la version 0.5.2 ou ultérieure. Pour obtenir des instructions de mise à niveau, consultez Afficher la version de l'agent RASP.
Ajouter une alerte à une liste d'autorisation
Connectez-vous à la Security Center console. Dans la barre de navigation supérieure, sélectionnez la région des ressources que vous souhaitez gérer : China ou Outside China.
Dans le volet de navigation de gauche, choisissez Protection Configuration > Application Protection.
Sous l'onglet Attack Alerts, localisez l'alerte et choisissez Handle > Create Protection Whitelist dans la colonne Actions.
-
Dans le panneau Create Protection Whitelist, configurez les règles de la liste d'autorisation et cliquez sur OK.
Le système préremplit les champs de règle en fonction des détails de l'alerte. Ces valeurs créent des règles précises qui ciblent le modèle de requête spécifique.
Pour élargir la portée, par exemple pour supprimer toutes les alertes d'un répertoire entier plutôt que d'un seul fichier, ajustez les champs Match Mode et Content to Match.
Exemple : L'alerte a été déclenchée par
/usr/local/tomcat/webapps/upload/1.jsp. Si toutes les requêtes vers le répertoire/upload/sont légitimes, modifiez Match Mode pour Prefix Match et définissez Content to Match sur/usr/local/tomcat/webapps/upload/.
Modes de correspondance :
| Mode de correspondance | Condition d'absence d'alerte |
|---|---|
| Exact Match | Le contenu transmis correspond exactement à la valeur dans Content to Match. |
| Partial Match | Le contenu transmis contient la chaîne dans Content to Match. |
| Prefix Match | Le contenu transmis commence par la chaîne dans Content to Match. |
| Suffix Match | Le contenu transmis se termine par la chaîne dans Content to Match. |
Après l'enregistrement, consultez et gérez la règle sur la page Whitelists.
Gérer les règles de liste d'autorisation
Afficher les règles de liste d'autorisation
Connectez-vous à la Security Center console. Dans la barre de navigation supérieure, sélectionnez la région des ressources que vous souhaitez gérer : China ou Outside China.
Dans le volet de navigation de gauche, choisissez Protection Configuration > Application Protection.
Sous l'onglet Attack Alerts, cliquez sur Whitelists.
-
Sur la page Whitelists, affichez et gérez les règles à l'aide des actions suivantes :
Activer ou désactiver une règle : Basculez l'interrupteur dans la colonne Rule Switch.
Modifier une règle : Cliquez sur Edit dans la colonne Actions.
Supprimer une règle : Cliquez sur Delete dans la colonne Actions.
Créer une règle : Cliquez sur Create Protection Whitelist. Consultez Créer des règles de liste d'autorisation pour plus de détails.
Créer des règles de liste d'autorisation
La création d'une règle de liste d'autorisation depuis la page Whitelists vous permet d'appliquer une règle à plusieurs groupes d'applications et types de menaces simultanément, ce qui est plus efficace que l'ajout d'alertes une par une.
Connectez-vous à la Security Center console. Dans la barre de navigation supérieure, sélectionnez la région des ressources que vous souhaitez gérer : China ou Outside China.
Dans le volet de navigation de gauche, choisissez Protection Configuration > Application Protection.
Sous l'onglet Attack Alerts, cliquez sur Whitelists.
Sur la page Whitelists, cliquez sur Create Protection Whitelist.
-
Dans le panneau Create Protection Whitelist, configurez les paramètres de la règle et cliquez sur OK.
Paramètre Description Rule Name Un nom descriptif pour la règle de liste d'autorisation. Allowlist Mode La base de la liste d'autorisation : Malicious Characteristics, Specified Parameters ou Request URL. Threat Type Le type de menace à supprimer. Cliquez sur Select pour choisir dans le panneau Threat Type. Match Mode La méthode de correspondance du contenu transmis avec Content to Match. Consultez le tableau des modes de correspondance ci-dessus. Content to Match La valeur à faire correspondre, basée sur Malicious Characteristics, Specified Parameters ou Request URL issus des détails de l'alerte. Destination Application Groups Les groupes d'applications auxquels la règle s'applique. Cliquez sur Select pour choisir dans le panneau Destination Application Groups.
Étapes suivantes
Activez la fonctionnalité de prévention des webshells en mémoire pour améliorer vos capacités globales de détection. Pour plus d'informations, consultez Utiliser la fonctionnalité de prévention des webshells en mémoire.