Cette rubrique fournit des recommandations pour protéger les interfaces liées aux comptes contre diverses attaques dans différents scénarios métier.
Contexte
Web Application Firewall (WAF) prend en charge la détection de la sécurité des comptes. Outre la protection contre les attaques web, cette fonctionnalité vous aide à identifier les risques de sécurité sur vos interfaces métier liées aux comptes, telles que les interfaces d'inscription et de connexion. Ces risques incluent le bourrage d'identifiants, les attaques par force brute, les inscriptions indésirables, le reniflage de mots de passe faibles et l'abus d'interfaces SMS. Après avoir configuré la détection de la sécurité des comptes dans WAF, consultez les résultats de la détection dans les rapports de sécurité de WAF. Pour plus d'informations, voir Configurer la sécurité des comptes.
Utiliser un CAPTCHA pour les pages web et H5
Le CAPTCHA est l'un des moyens les plus simples et les plus efficaces pour protéger les interfaces critiques sur les pages web PC ou H5. L'intégration d'un service CAPTCHA nécessite généralement des modifications mineures du code de votre application et prend habituellement un à deux jours ouvrables.
Un CAPTCHA basique bloque efficacement les appels API directs effectués à partir d'outils et de scripts simples. Toutefois, à mesure que les méthodes et les outils d'attaque évoluent, les CAPTCHAs basiques deviennent plus faciles à contourner. Pour une protection renforcée, utilisez un service CAPTCHA professionnel .
Utiliser la signature SDK
Pour les applications natives où un CAPTCHA n'est pas approprié, Alibaba Cloud propose une solution SDK. Le SDK collecte les informations matérielles et environnementales de l'appareil mobile pour signer et valider les requêtes. Ce processus ne transmet au serveur d'origine que les requêtes provenant d'applications officielles et légitimes, et bloque les requêtes issues de scripts, de programmes automatisés, d'émulateurs ou d'autres sources non autorisées.
Pour utiliser la solution SDK, activez le module App Protection dans WAF. Pour plus d'informations, voir Présentation d'App Protection.
Limitation du débit multidimensionnelle
Pour les attaques dont les requêtes partagent une caractéristique commune à haute fréquence, telle qu'une adresse IP, une session, un cookie, un paramètre ou un en-tête commun, utilisez la limitation du débit multidimensionnelle pour bloquer la source. Par exemple, si un attaquant utilise un grand nombre d'adresses IP proxy mais réutilise le même cookie de session, tel qu'un uid, appliquez une limitation du débit par cookie. Cette approche déplace la protection du ciblage des adresses IP vers une dimension « compte » liée à votre logique métier.
Configurez la Rate Limiting dans une Custom Protection Policy. Voici un exemple de configuration. Pour des instructions détaillées, voir Configurer une Custom Protection Policy.
Seules les instances WAF Enterprise edition prennent en charge l'utilisation de champs d'objet statistique personnalisés autres que IP et Session dans la Rate Limiting, tels que les cookies personnalisés, les en-têtes personnalisés et les paramètres personnalisés.
Exemple de configuration : définissez Rule Name sur test et Match Condition sur URL Prefix Match /login.php. Activez les frequency settings, définissez l'statistical object sur Custom Cookie et saisissez le nom du cookie uid, définissez la Statistical Duration sur 60 secondes et le Threshold sur 10. Pour l'action, sélectionnez slider CAPTCHA avec un Timeout de 1 800 secondes et définissez le Protection Type sur CC attack protection.
Analyser les caractéristiques des requêtes anormales
Pour la plupart des attaques, une observation et une analyse attentives révèlent des différences entre les requêtes malveillantes et le trafic des utilisateurs légitimes. Voici quelques caractéristiques courantes des requêtes anormales.
En-têtes HTTP incomplets. Par exemple, il peut manquer aux requêtes des champs tels que referer, cookie ou content-type.
Valeurs User-Agent anormales. Par exemple, un volume important de requêtes vers un site web standard peut présenter des chaînes User-Agent typiques des clients Java ou Python, ou des requêtes vers un mini-programme WeChat peuvent afficher des chaînes User-Agent provenant de navigateurs de bureau.
Cookies incomplets. Une application typique utilise plusieurs cookies ayant des significations spécifiques au métier, tels que SessionID, userid, deviceid et lastvisit. Toutefois, un bot peut ne soumettre que le ou les cookies nécessaires pour obtenir un résultat, en omettant ceux qui font partie d'une session utilisateur normale.
Les requêtes peuvent contenir des paramètres manquants ou répétés qui n'affectent pas le résultat.
Données anormales dans les champs métier. Par exemple, les adresses e-mail, les numéros de téléphone ou les informations de compte peuvent contenir des mots-clés inhabituels ou illogiques.
Utilisez le service de journaux WAF pour interroger les journaux. Cela vous aide à analyser rapidement les caractéristiques des requêtes, par exemple en triant par adresses IP les plus fréquentes ou en déterminant le pourcentage de trafic partageant une caractéristique spécifique.
Activez le module Log Service pour votre instance Web Application Firewall avant de pouvoir utiliser le service de journaux. Pour plus d'informations, voir Prise en main du service de journaux WAF.
Bourrage d'identifiants et renseignement sur les menaces de bots
Le module Bot Management dans WAF utilise des algorithmes pour identifier les adresses IP malveillantes associées au bourrage d'identifiants sur l'ensemble du réseau Alibaba Cloud. Ces données constituent une base de données de renseignement sur les IP de bourrage d'identifiants mise à jour dynamiquement. Utilisez la fonctionnalité Bot Threat Intelligence dans le module Bot Management pour activer la détection des IP de bourrage d'identifiants. Définissez la règle en mode Monitor ou configurez une action, telle que Block ou slider CAPTCHA, pour les adresses IP correspondantes. Pour plus d'informations, voir Configurer les règles Bot Threat Intelligence.
Activez le module Bot Management pour votre instance Web Application Firewall avant de pouvoir utiliser la fonctionnalité Bot Threat Intelligence.