Le moteur de règles de protection défend votre site web contre les attaques web courantes, notamment les injections SQL, le cross-site scripting (XSS), l'exécution de code à distance et les attaques par webshell. Cette rubrique explique comment configurer le moteur en fonction de votre trafic, interpréter les résultats de la protection et réagir lorsque des requêtes légitimes sont bloquées.
Le moteur de règles de protection ne couvre pas les intrusions serveur causées par des problèmes de sécurité de l'hôte, tels que l'accès non autorisé à ApsaraDB for Redis ou à ApsaraDB RDS for MySQL.
Fonctionnement
Après avoir ajouté un site web à WAF, le moteur de règles de protection est activé par défaut et applique le groupe de règles Medium. Les requêtes entrantes sont évaluées selon le groupe de règles actif. Selon le mode sélectionné :
Block — WAF bloque les requêtes correspondantes et consigne l'attaque dans les journaux.
Warn — WAF consigne l'attaque dans les journaux mais laisse passer la requête.
Configuration du moteur de règles de protection
Accédez à la page Website Protection pour afficher et mettre à jour les paramètres du moteur de règles de protection. Pour obtenir des instructions détaillées, consultez la rubrique Configuration du moteur de règles de protection.
Étape 1 : Choisir un groupe de règles
Sélectionnez le groupe de règles qui correspond à votre trafic et à votre tolérance aux faux positifs.
| Groupe de règles | Description | Compromis |
|---|---|---|
| Loose rule group | Bloque les attaques courantes contre les applications web | Couverture de détection plus faible ; taux de faux positifs plus faible |
| Medium rule group (par défaut) | Bloque les attaques courantes contre les applications web de manière standard (les attaques peuvent contourner les politiques de protection) | Détection équilibrée des attaques web courantes |
| Strict rule group | Bloque les attaques contre les applications web de manière stricte (les attaques peuvent contourner des politiques de protection complexes) | Correspondance plus agressive ; risque plus élevé de faux positifs |
Commencez par le Medium Rule Group par défaut. Ne passez au mode Strict qu'après avoir vérifié que le trafic normal n'est pas affecté en mode Warn (voir l'étape 2), car les modèles de correspondance plus larges du groupe de règles Strict sont plus susceptibles de signaler des requêtes légitimes.
Si vous utilisez WAF Business ou Enterprise en Chine continentale, ou WAF Enterprise hors de Chine continentale, vous pouvez également personnaliser les groupes de règles de protection afin de combiner des règles répondant à vos exigences spécifiques.
Étape 2 : Valider en mode Warn avant de bloquer
Définissez le paramètre Mode sur Alert avant d'activer le blocage. Dans ce mode, WAF consigne les attaques potentielles sans affecter le trafic, ce qui vous permet d'identifier les faux positifs avant qu'ils n'impactent les utilisateurs. L'exécution en mode Warn pendant une à deux semaines offre à votre trafic une diversité suffisante, y compris des requêtes atypiques, pour faire apparaître les motifs qui seraient bloqués.
Au bout d'une à deux semaines, examinez les journaux d'attaques dans l'onglet Web Intrusion Prevention :
Si aucun trafic normal n'apparaît dans les journaux, définissez le paramètre Mode sur Block.
Si du trafic normal est signalé, traitez les faux positifs avant de passer au mode Block (consultez la section Gestion des faux positifs).
Si vous ajoutez phpMyAdmin et des forums technologiques de développement à WAF pour les protéger, WAF peut bloquer le trafic normal. Dans ce cas, nous vous recommandons de contacter les experts en sécurité d'Alibaba Cloud pour résoudre le problème.
Étape 3 : Éviter de déclencher les règles de détection dans votre application
Certains comportements applicatifs augmentent le risque de faux positifs, quel que soit le groupe de règles utilisé. Évitez les motifs suivants dans le trafic commercial normal :
Transmission d'instructions SQL brutes ou de code JavaScript dans les paramètres des requêtes HTTP.
Utilisation de mots-clés SQL tels que
UPDATEouSETdans les chemins d'URL, par exemple :www.example.com/abc/update/mod.php?set=1.Téléchargement de fichiers de plus de 50 Mo via le navigateur. Utilisez plutôt Object Storage Service (OSS).
Affichage des résultats de la protection
Une fois le moteur de règles de protection activé, consultez ses résultats dans l'onglet Security Report > Web Security > Web Intrusion Prevention.
Cet onglet affiche les enregistrements d'attaques des 30 derniers jours, avec des graphiques et une liste détaillée des enregistrements. Pour inspecter un événement spécifique :
Sélectionnez Protection Rules Engine dans le filtre.
Recherchez l'enregistrement d'attaque et cliquez sur View Details.
La figure suivante montre un exemple de requête d'injection SQL bloquée par WAF.
Gestion des faux positifs
Si WAF bloque du trafic légitime, nous vous recommandons de configurer une liste d'autorisation pour les URL bloquées dans la section Web Intrusion Prevention, puis de contacter les experts en sécurité d'Alibaba Cloud pour trouver une solution.
Identifiez l'URL bloquée. Recherchez la requête spécifique dans les journaux d'attaques de l'onglet Web Intrusion Prevention et notez l'URL qui est bloquée.
Configurez une liste d'autorisation pour l'URL concernée. Ajoutez l'URL à la liste d'autorisation dans la section Web Intrusion Prevention. Cela exempte ces requêtes de l'inspection par le moteur sans désactiver la protection pour le reste de votre site web. Pour obtenir des instructions, consultez la rubrique Configuration d'une liste d'autorisation pour la prévention des intrusions web.
Contactez les experts en sécurité d'Alibaba Cloud. Si la liste d'autorisation ne résout pas entièrement le problème, ou si l'étendue des faux positifs est large, contactez les experts en sécurité d'Alibaba Cloud pour une analyse et une solution adaptée.
Mise à jour régulière des règles
WAF met à jour les règles de protection et publie des bulletins de sécurité pour traiter les vulnérabilités connues et zero-day. Pour vérifier les dernières mises à jour, accédez à la page Service Information. Pour obtenir des instructions, consultez la rubrique Affichage des informations sur le service.
Les attaques web disposent de plusieurs preuves de concept (POC). Les experts en sécurité d'Alibaba Cloud effectuent une analyse approfondie des principes des vulnérabilités afin de garantir que les règles de protection publiées couvrent toutes les vulnérabilités divulguées et non divulguées.