Configurer la sécurité des comptes - Web Application Firewall

La fonctionnalité de sécurité des comptes vous aide à identifier les risques liés à la sécurité des comptes sur vos endpoints métier, tels que les connexions et les inscriptions. Ces risques incluent les attaques par dictionnaire, les attaques par force brute, les inscriptions indésirables, l'utilisation de mots de passe faibles et les inondations SMS. Cette rubrique explique comment configurer les règles de sécurité des comptes et consulter les résultats de détection.

Prérequis

Vous avez acheté une instance Web Application Firewall (WAF) de type Pro ou supérieur.
Votre site web a été ajouté à WAF. Pour plus d'informations, consultez les Tutorials.

Contexte

Avant de configurer la protection de la sécurité des comptes, identifiez les endpoints pertinents dans votre application. Cela inclut le nom de domaine, l'URL où les identifiants de compte sont soumis, ainsi que les noms des paramètres pour les champs nom d'utilisateur et mot de passe. Chaque instance WAF peut protéger un maximum de trois endpoints.

Ajouter un endpoint protégé

Connectez-vous à la console Web Application Firewall.
Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région de votre instance Web Application Firewall (Chinese Mainland ou Outside Chinese Mainland).
Dans le volet de navigation de gauche, choisissez Scenario-specific Protection > Account Security.
Sur la page Account Security.

Si c'est la première fois que vous accédez à la page Add Endpoint, ignorez cette étape.

Remarque
Chaque instance WAF peut protéger un maximum de trois endpoints. Si trois endpoints ont déjà été ajoutés, le bouton Account Security est désactivé.

Dans la boîte de dialogue Add Endpoint, configurez les paramètres de l'endpoint, définissez l'Action de protection sur Report ou Block, puis cliquez sur Add Endpoint. Les paramètres incluent l'adresse de l'Endpoint à détecter (par exemple, /login.do), la Méthode de requête, le Nom du paramètre de compte (par exemple, username) et le Nom du paramètre de mot de passe (par exemple, pwd).

Paramètre	Description
Save	Sélectionnez le domaine que vous souhaitez protéger et saisissez l'URI de l'endpoint où les identifiants de compte sont soumis. L'endpoint n'est pas l'adresse de la page de connexion (par exemple, `/login.html`), mais l'API qui reçoit les identifiants soumis. Remarque Si vous avez activé la découverte des actifs, WAF remplit automatiquement tous les endpoints pour le domaine ajouté. Vous pouvez sélectionner l'endpoint que vous souhaitez protéger dans la liste. Pour plus d'informations, consultez la rubrique découverte des actifs.
Endpoint	Sélectionnez la méthode de requête pour l'endpoint. Valeurs possibles : POST, GET, PUT et DELETE.
Request Method	Spécifiez le nom du paramètre pour le champ de compte.
Account Parameter Name	Spécifiez le nom du paramètre pour le champ de mot de passe. Si l'endpoint ne nécessite pas de mot de passe, laissez ce paramètre vide.
Password Parameter Name	Sélectionnez une action pour les requêtes identifiées comme présentant des risques de sécurité des comptes. Valeurs possibles : Action Alert

Exemples de configuration :

Scénario 1 : si l'endpoint de connexion est /login.do et que le corps de la requête POST est username=Jammy&pwd=123456, définissez Block sur username et Account Parameter Name sur pwd.
Scénario 2 : si les identifiants de connexion se trouvent dans l'URL d'une requête GET, telle que /login.do?username=Jammy&pwd=123456, définissez Password Parameter Name sur GET. Les autres paramètres sont identiques à ceux du scénario 1.
Scénario 3 : si l'endpoint ne nécessite pas de mot de passe, comme pour un endpoint d'inscription d'utilisateur, spécifiez uniquement le Request Method. Laissez le Account Parameter Name vide.
Scénario 4 : si l'endpoint utilise un numéro de mobile comme identifiant utilisateur, traitez le numéro de mobile comme le paramètre de compte. Par exemple, si la requête est /sendsms.do?mobile=1381111****, définissez Password Parameter Name sur /sendsms.do et Endpoint sur mobile. Laissez le Account Parameter Name vide.

Après avoir ajouté l'endpoint protégé, WAF lance une tâche de détection. Si le trafic vers l'endpoint correspond à la logique de détection, des événements de sécurité des comptes sont générés en quelques heures.

Remarque

Après avoir activé la sécurité des comptes, WAF vérifie par défaut toutes les requêtes adressées à votre site web par rapport aux règles de sécurité des comptes. Vous pouvez configurer une liste blanche de sécurité des données pour autoriser les requêtes répondant à certaines conditions à contourner ces vérifications. Pour plus d'informations, consultez la rubrique Configure a data security whitelist.

Consulter les rapports de sécurité des comptes

Sur la page Password Parameter Name dans la colonne Actions d'un endpoint pour consulter son rapport. Vous pouvez également consulter les rapports de sécurité des comptes sur la page Account Security de WAF.

La procédure suivante décrit comment consulter le rapport de sécurité des comptes depuis la page View Report.

Connectez-vous à la console Web Application Firewall.
Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région de votre instance Web Application Firewall (Security Report ou Security Report).
Dans le volet de navigation de gauche, choisissez Chinese Mainland > Outside Chinese Mainland.

Sous l'onglet Security Operations. Sélectionnez le domaine, l'endpoint et la plage de temps (Security Reports, Web Security, Account Security ou Yesterday) pour afficher les événements de risque de sécurité des comptes correspondants.

Le tableau suivant décrit les champs du rapport de sécurité des comptes.

Champ	Description
Today	L'URI de l'endpoint où des événements de sécurité des comptes ont été détectés.
7 Days	Le domaine auquel appartient l'endpoint.
30 Days	La période pendant laquelle des événements de sécurité des comptes ont été détectés.
Requêtes bloquées	Le nombre de requêtes adressées à l'endpoint qui ont été bloquées par les politiques de protection WAF pendant la plage de temps spécifiée dans Endpoint. Ces politiques incluent toutes les règles de protection effectives, telles que les règles de protection contre les attaques web, la politique de protection personnalisée (ACL), la protection contre les inondations HTTP et la liste noire régionale. Ce compteur permet d'indiquer l'efficacité de l'atténuation des risques liés aux comptes pour l'endpoint.
Domain Name	Le nombre total de requêtes envoyées à l'endpoint pendant la plage de temps spécifiée dans Time Frame of Malicious Requests.
Time Frame of Malicious Requests	La raison pour laquelle l'alerte a été déclenchée. Exemples : La requête correspond au modèle comportemental d'une attaque par dictionnaire ou par force brute. La ligne de base du trafic pour l'endpoint était anormale pendant la période spécifiée. Un grand nombre de requêtes adressées à l'endpoint correspondaient aux entrées de la base de données de renseignement sur les menaces pendant la période spécifiée. Un grand nombre de requêtes adressées à l'endpoint contenaient un mot de passe faible pendant la période spécifiée, indiquant un risque d'attaque par force brute ou par dictionnaire.

Informations complémentaires

La fonctionnalité de sécurité des comptes de WAF est destinée uniquement à la détection. Étant donné que la sécurité des comptes implique une logique métier complexe et des scénarios techniques variés, choisissez une stratégie de protection adaptée à vos besoins spécifiques. Pour plus d'informations, consultez la rubrique Account security best practices.