Security Center:Gérer les politiques de protection

Groupes de politiques intégrés

Pour répondre aux exigences de sécurité dans différents scénarios métier, la protection des applications propose des règles de détection hiérarchisées et des groupes de politiques de protection intégrés : Business First (groupe de règles laxistes par défaut), Normal Operations (groupe de règles standard par défaut) et Protection First (groupe de règles strictes par défaut).

Toutes les règles au sein d'un groupe de politiques intégré partagent le même mode de détection. Par exemple, toutes les règles d'attaque du groupe Business First (groupe de règles laxistes par défaut) utilisent le mode de détection Laxiste. Vous pouvez utiliser un groupe de règles intégré selon vos besoins ou créer un groupe de règles personnalisé.

Modes de détection

Afin d'équilibrer les taux de faux positifs et la force de la protection dans différents scénarios métier, la protection des applications définit plusieurs modes de détection : Laxiste, Standard et Strict. Ces trois modes offrent une capacité de protection croissante ainsi qu'un taux de faux positifs plus élevé.

• Laxiste : Correspond uniquement aux signatures d'attaque connues. Taux de faux positifs très faible.

• Standard (par défaut) : Correspond aux modèles d'attaque courants et applique certaines inférences généralisées. Adapté aux opérations et à la maintenance quotidiennes.

• Strict : Détecte des comportements d'attaque plus discrets. Adapté aux scénarios de support lors d'événements majeurs, mais présente un certain risque de faux positifs.

Créer un groupe de politiques de protection

Si aucun des groupes de politiques intégrés ne répond à vos besoins, créez-en un personnalisé. Pour baser un nouveau groupe sur une configuration existante, cliquez sur Copy dans la colonne Actions correspondant à ce groupe.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez Protection Configuration > RASP. Dans le coin supérieur gauche, sélectionnez la région où se trouve votre ressource : Chinese Mainland ou Outside Chinese Mainland.

3. Sous l'onglet Application Configurations, cliquez sur Management Settings dans le coin supérieur droit.

4. Dans le panneau Management Settings, sous l'onglet Protection Policy Management, cliquez sur Create Protection Policy Group.

5. Dans le panneau Create Protection Policy Group, saisissez un nom, sélectionnez un langage d'application, puis cliquez sur Select à droite de Threat Type pour configurer les types de détection.

6. Dans le panneau Select Threat Type, sélectionnez les types de détection à inclure, définissez le Detection Mode pour chaque type, puis cliquez sur OK.

   Par exemple, si les alertes relatives aux injections SQL génèrent de nombreux faux positifs, définissez le mode de détection pour ce type sur Loose.

   Les types de détection disponibles incluent Malicious Outbound Connection (risque moyen), Expression Injection (risque élevé), Arbitrary File Deletion (risque faible), JNI Injection (risque élevé), etc. Chaque type comprend une description et un niveau de risque à titre indicatif.

7. Cliquez sur OK.

Ajouter une règle de liste d'autorisation depuis une alerte

Si une alerte est confirmée comme étant un faux positif, ajoutez-la à la liste d'autorisation de protection pour empêcher la génération d'alertes similaires à l'avenir. Lorsque vous ajoutez une alerte à la liste d'autorisation, une règle est automatiquement créée à partir des détails de l'alerte et appliquée au groupe d'applications contenant le processus concerné.

Pour connaître la procédure, reportez-vous à la section Ajouter une alerte à une liste d'autorisation.

Afficher et gérer les règles de liste d'autorisation

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez Protection Configuration > RASP. Dans le coin supérieur gauche, sélectionnez la région où se trouve votre ressource : Chinese Mainland ou Outside Chinese Mainland.

3. Sous l'onglet Application Configurations, cliquez sur Management Settings dans le coin supérieur droit.

   Vous pouvez également cliquer sur Protection Whitelist sous l'onglet Attack Alerts pour afficher la liste des règles de liste d'autorisation.

4. Dans le panneau Management Settings, sous l'onglet Protection Whitelist de l'onglet Protection Policy Management, affichez la liste des règles de liste d'autorisation.

   Vous pouvez gérer les règles de liste d'autorisation à l'aide des opérations suivantes :

   • Activer ou désactiver : Basculez l'interrupteur dans la colonne Rule Toggle pour activer ou désactiver une règle de liste d'autorisation.

   • Modifier ou supprimer : Cliquez sur Edit ou Delete dans la colonne Actions pour modifier ou supprimer une règle de liste d'autorisation.

Créer manuellement une règle de liste d'autorisation

Une règle créée manuellement vous permet de configurer des listes d'autorisation pour plusieurs types de détection across plusieurs groupes d'applications.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez Protection Configuration > RASP. Dans le coin supérieur gauche, sélectionnez la région où se trouve votre ressource : Chinese Mainland ou Outside Chinese Mainland.

3. Sous l'onglet Application Configurations, cliquez sur Management Settings dans le coin supérieur droit.

   Vous pouvez également cliquer sur Protection Whitelist sous l'onglet Attack Alerts.

4. Dans le panneau Management Settings, sous l'onglet Protection Whitelist de l'onglet Protection Policy Management, cliquez sur Create Protection Whitelist.

5. Dans le panneau Create Protection Whitelist, configurez les paramètres de la règle, puis cliquez sur OK.

   Certains paramètres sont décrits ci-dessous. Pour les autres paramètres, reportez-vous aux descriptions dans la console.

   • Match Mode : Sélectionnez la méthode de correspondance pour la règle de liste d'autorisation. Options :

     • Exact Match : Supprime les alertes lorsque le contenu transmis est identique au contenu de correspondance.

     • Partial Match : Supprime les alertes lorsque le contenu transmis contient le contenu de correspondance.

     • Prefix Match : Supprime les alertes lorsque le contenu transmis commence par le contenu de correspondance.

     • Suffix Match : Supprime les alertes lorsque le contenu transmis se termine par le contenu de correspondance.

   • Content to Match : Définissez le contenu de correspondance en fonction de la méthode de correspondance sélectionnée. Vous pouvez utiliser la valeur de Malicious Characteristics, Specified Parameters ou Request URL issue de la page des détails de l'alerte comme contenu de correspondance.