Web Application Firewall:Configurer la prévention des fuites de données

Une fois un site web intégré à Web Application Firewall (WAF), activez la fonctionnalité de prévention des fuites de données. Celle-ci filtre les informations sensibles, telles que les numéros de carte d'identité, les numéros de téléphone, les numéros de carte bancaire et les mots-clés sensibles, présents dans les réponses du serveur (comme les pages d'erreur ou certains mots-clés). Elle désensibilise ensuite ces informations pour l'affichage ou renvoie une page d'erreur par défaut.

Contexte

La fonctionnalité de prévention des fuites de données de WAF est une solution de sécurité qui protège les informations personnelles et assure la conformité aux réglementations en matière de sécurité des données. Elle offre le masquage des données et des alertes pour les données sensibles trouvées sur votre site web, telles que les numéros de téléphone mobile, les numéros de carte d'identité et les numéros de carte de crédit. La fonctionnalité permet également de bloquer les réponses en fonction de codes d'état HTTP spécifiques.

Fonctionnalités

Les causes courantes de fuite de données incluent l'accès non autorisé aux URL, les vulnérabilités d'élévation de privilèges et le scraping web malveillant. Pour atténuer ces risques, la fonctionnalité de prévention des fuites de données offre les capacités suivantes :

• Elle détecte les données personnelles sensibles, telles que les numéros de carte d'identité, les numéros de téléphone mobile et les numéros de carte de crédit, sur vos pages web et fournit des mesures de protection comme des alertes et le masquage des données pour prévenir les violations de données.

  Important

  La fonctionnalité de prévention des fuites de données prend actuellement en charge les formats de données utilisés en Chine continentale, tels que les numéros de carte d'identité, les numéros de téléphone mobile et les numéros de carte de crédit. Elle ne prend pas en charge les formats de ces types de données provenant de l'extérieur de la Chine continentale.

• Elle empêche l'exposition d'informations sensibles du serveur, telles que le type et la version du logiciel d'application web et des systèmes d'exploitation, en bloquant ces réponses.

• Elle utilise une bibliothèque intégrée de mots-clés sensibles pour détecter leur présence sur vos pages web et propose des actions de protection telles que des alertes et le masquage des mots-clés.

Fonctionnement

La prévention des fuites de données inspecte les pages de réponse à la recherche d'informations sensibles, telles que les numéros de carte d'identité, les numéros de téléphone mobile et les numéros de carte de crédit, en fonction des règles que vous configurez. Lorsque WAF trouve une correspondance, il exécute l'action spécifiée, qui peut consister à générer une alerte ou à filtrer les informations sensibles. L'action de filtrage masque les données en remplaçant certaines parties par des astérisques (*).

La fonctionnalité de prévention des fuites de données prend en charge les Content-Types tels que text/*, image/*, et application/*, couvrant les applications web, les applications mobiles et les interfaces API.

Procédure

1. Connectez-vous à la console Web Application Firewall (WAF). Dans la barre de menus supérieure, sélectionnez le groupe de ressources et la région de votre instance WAF : Chinese Mainland ou Outside Chinese Mainland.

2. Dans le volet de navigation de gauche, choisissez Protection Config > Protected Objects. Dans la liste des objets protégés, localisez le nom de domaine cible et cliquez sur Settings dans la colonne Actions.

3. Cliquez sur l'onglet Web Security, localisez la section Data Leakage Prevention, activez l'interrupteur Status, puis cliquez sur Configure Now.

   Important

   • Vous devez activer la prévention des fuites de données avant de pouvoir créer des règles de protection.

   • Après avoir activé la prévention des fuites de données, WAF inspecte par défaut toutes les requêtes adressées à votre site web. Vous pouvez configurer une liste blanche de sécurité des données pour autoriser les requêtes répondant à des conditions spécifiques à contourner cette inspection. Pour plus d'informations, consultez la rubrique Configure a data security whitelist.

4. Créez une règle de prévention des fuites de données.

   1. Sur la page Data Leakage Prevention, cliquez sur Create Rule.

   2. Dans la boîte de dialogue Create Rule, configurez les paramètres suivants.

      Paramètre	Description
      Rule Name	Saisissez un nom pour la règle.
      Match Condition	Définissez le type d'informations sensibles à détecter dans la réponse. Valeurs valides : Status Code : 400, 401, 402, 403, 404, 500, 501, 502, 503, 504, 405-499 et 505-599 Sensitive Information : ID Card Number, Credit Card Number, Mobile Phone Number et Default Sensitive Word Important La fonctionnalité de prévention des fuites de données prend actuellement en charge les formats de données utilisés en Chine continentale, tels que les numéros de carte d'identité, les numéros de téléphone mobile et les numéros de carte de crédit. Elle ne prend pas en charge les formats de ces types de données provenant de l'extérieur de la Chine continentale. Vous pouvez sélectionner un ou plusieurs types pour Status Code et Sensitive Info. Si vous sélectionnez AND, vous pouvez également spécifier une URL pour limiter la détection à une page spécifique.
      Action	Définissez l'action à entreprendre lorsqu'une correspondance est trouvée dans la réponse. Si le Status Code est Status Code, les actions suivantes sont disponibles : Alert : Génère une alerte. Block : Bloque la réponse et renvoie une page de blocage. Si les Sensitive Information sont des Sensitive Information, les actions suivantes sont disponibles : Alert : Génère une alerte. Filter Sensitive Information : Masque les informations sensibles.

      Exemples de configuration de règles

      • Masquer les informations sensibles : Pour masquer des informations sensibles telles que les numéros de téléphone mobile et les numéros de carte d'identité, créez une règle avec les paramètres suivants :

        • Match Condition : Sensitive Info contient ID Card Number et Mobile Phone Number.

        • Action : Filter Sensitive Information.

        Une fois cette règle appliquée, tous les numéros de téléphone mobile et les numéros de carte d'identité de votre site web sont automatiquement masqués.

        Important

        Cette règle peut également masquer les numéros de téléphone affichés publiquement, tels que ceux destinés aux demandes commerciales ou aux lignes d'assistance.

      • Bloquer par code d'état : Pour bloquer ou générer des alertes pour des codes d'état HTTP spécifiques afin d'éviter la fuite d'informations du serveur, créez une règle avec les paramètres suivants. Cet exemple bloque les réponses avec un code d'état HTTP 404.

        • Match Condition : Status Code contient 404.

        • Action : Block.

        Une fois cette règle appliquée, si un utilisateur demande une page inexistante sur votre site web, WAF renvoie une page de blocage.

      • Filtrer les informations sensibles sur une URL spécifique : Pour filtrer des informations sensibles comme les numéros de carte d'identité sur une page spécifique, créez une règle avec les paramètres suivants. Cet exemple filtre les numéros de carte d'identité sur la page admin.php.

        • Match Condition : Sensitive Info contient ID Card Number, et URL contient admin.php.

        • Action : Filter Sensitive Information.

        Une fois cette règle appliquée, seuls les numéros de carte d'identité de la page admin.php sont automatiquement masqués.

   3. Cliquez sur OK.

      Une fois la règle créée, elle est activée automatiquement. Vous pouvez consulter, modifier ou supprimer la règle depuis la liste des règles.

Étapes suivantes

Après avoir activé la prévention des fuites de données, accédez à la page Security Report pour consulter les journaux des requêtes filtrées ou bloquées dans le rapport Web Security > Data Leakage Prevention. Pour plus d'informations, consultez la rubrique WAF security reports.