How to configure data risk control policies to protect against bot-driven fraud - Web Application Firewall

Le contrôle des risques liés aux données protège les endpoints de site web à haute valeur — inscriptions, connexions, campagnes et forums — contre la fraude automatisée par bots qui contourne la détection basée sur le débit. S'appuyant sur les technologies big data d'Alibaba Cloud, il utilise des moteurs de décision de risque et une vérification CAPTCHA pour distinguer les utilisateurs humains des scripts automatisés, sans configuration serveur ou client requise au-delà de l'ajout de votre site web à Web Application Firewall (WAF).

Important

La fonctionnalité de configuration spécifique au scénario de WAF couvre désormais la protection anti-crawler avec un contrôle plus granulaire. Après avoir configuré les règles anti-crawler, le contrôle des risques liés aux données n'est plus nécessaire pour la protection contre les crawlers. Alibaba Cloud ne fournit plus de mises à jour ni de maintenance pour le contrôle des risques liés aux données. Pour les nouveaux déploiements ciblant les menaces de crawlers, utilisez la configuration spécifique au scénario à la place.

Cas d'utilisation

Le contrôle des risques liés aux données est adapté aux attaques par bots où les taux de requêtes semblent normaux et où la protection contre les attaques HTTP flood ne peut pas différencier le trafic malveillant du trafic légitime :

Inscriptions d'utilisateurs spam
Attaques par inondation SMS
Attaques par bourrage d'identifiants
Attaques par force brute
Bots d'achat automatique
Abus de promotions
Bots snipers
Manipulation de votes
Spam

Fonctionnement

WAF injecte un plug-in JavaScript dans vos pages web pour collecter des signaux comportementaux et environnementaux dès qu'un utilisateur arrive sur le site jusqu'à ce qu'il soumette une requête. Lorsqu'une requête atteint une URL protégée :

Si les signaux comportementaux indiquent un utilisateur normal, la requête passe sans interruption.
Si les signaux sont suspects ou si l'adresse IP source a un historique d'activité malveillante, une vérification CAPTCHA à glissière est déclenchée.
Si des scripts simulent l'interaction avec la glissière, des méthodes de vérification supplémentaires sont appliquées jusqu'à ce que l'utilisateur réussisse ou que la requête soit bloquée.

Prérequis

Avant de commencer, assurez-vous que vous avez :

Une instance WAF déployée dans la console WAF Chinese mainland avec le module bot management activé

Vous avez activé une instance Web Application Firewall qui répond aux exigences suivantes :
- L'instance se trouve dans la région Chinese Mainland.
- Le module Bot Management est activé.
Votre site web ajouté à WAF (voir Démarrage rapide : Ajoutez votre premier site web)

Limitations

Le contrôle des risques liés aux données fonctionne uniquement dans les environnements de pages web et HTML5. Le plug-in JavaScript peut être incompatible avec les types de pages suivants, provoquant des erreurs de CAPTCHA à glissière :

Type de page	Exemples	Solution de contournement
Pages statiques chargées via la navigation par URL, la redirection `location.href`, `window.open` ou la balise d'ancrage `<a>`	Pages de détails HTML, pages partagées, pages d'accueil, documents	Restreignez l'insertion du plug-in JavaScript aux pages compatibles uniquement (voir Spécifier les pages pour l'insertion du plug-in JavaScript)
Pages qui réécrivent ou interceptent les requêtes	Soumissions de formulaires personnalisés, réécritures XMLHttpRequest (XHR), requêtes Ajax personnalisées	Idem ci-dessus
Pages utilisant des webhooks	Toute page où le code webhook s'exécute	Idem ci-dessus

La restriction de l'insertion du plug-in à des pages spécifiques réduit la couverture des données comportementales et peut diminuer l'efficacité de la détection.

Pour la protection des applications natives, utilisez plutôt le SDK Anti-Bot. Consultez Configurer la protection des applications.

Activer le contrôle des risques liés aux données

Connectez-vous à la console WAF. Dans la barre de navigation supérieure, sélectionnez le groupe de ressources et la région où votre instance WAF est déployée (Chinese Mainland ou Outside Chinese Mainland).
Dans le volet de navigation de gauche, choisissez Protection Config > Protected Objects. Dans la liste Protected Objects, recherchez le nom de domaine cible et cliquez sur Settings dans la colonne Actions.
Sous l'onglet Bot Management , localisez la section Data Risk Control et cliquez sur Configure Now .
Activez le commutateur Status .

Une fois le contrôle des risques liés aux données activé, WAF insère un plug-in JavaScript dans des pages web spécifiques ou dans toutes les pages. Les données des pages web sont renvoyées aux utilisateurs sous forme de fichiers compressés qui ne sont pas au format GZIP. Aucune autre configuration n'est requise, que votre site web utilise ou non des ports non standard.

Définissez le Mode . Commencez par Warn pour observer le trafic sans blocage, puis passez à un mode plus strict après avoir examiné les journaux.

Le commutateur Status doit être activé avant de pouvoir configurer le Mode ou les règles de protection.

Mode	Comportement
Warn (par défaut)	Transmet toutes les requêtes. Journalise l'activité suspecte pour examen dans les rapports de risque. Le plug-in JavaScript est toujours inséré dans les pages statiques pour collecter des données comportementales.
Block	Requiert une authentification multifacteur lorsqu'une attaque est détectée.
Strict Interception	Requiert une authentification multifacteur stricte lorsqu'une attaque est détectée.

Ajouter une URL protégée

Une URL protégée est l'endpoint où les opérations de service sont soumises — et non l'URL de page que les utilisateurs voient dans leur navigateur.

Exemple : Une page d'inscription située à www.aliyundoc.com/new_user peut appeler deux endpoints backend : www.aliyundoc.com/getsmscode (pour demander un code de vérification) et www.aliyundoc.com/register.do (pour soumettre l'inscription). Ajoutez ces deux endpoints en tant qu'URL protégées. Si vous ajoutez l'URL de page www.aliyundoc.com/new_user à la place, chaque utilisateur qui visite la page d'inscription doit passer la vérification CAPTCHA à glissière avant de remplir le formulaire, ce qui perturbe l'expérience utilisateur normale.

Règles de correspondance d'URL :

Règle	Comportement
Correspondance exacte	`www.aliyundoc.com/test` protège uniquement ce chemin, pas ses sous-répertoires.
Caractère générique de répertoire	`www.aliyundoc.com/book/*` protège tous les chemins sous `/book` .
Évitez `www.aliyundoc.com/*`	Cela oblige chaque visiteur à passer le CAPTCHA avant d'atteindre la page d'accueil.
Endpoints API uniquement	Le contrôle des risques liés aux données ne s'applique pas aux endpoints API purs appelés par des processus machine. Si un utilisateur clique sur un bouton qui déclenche un appel API, la vérification fonctionne comme prévu.

Pour ajouter une URL protégée :

Sur la page Data Risk Control , cliquez sur l'onglet Protected URL , puis cliquez sur Add Protected URL .
Dans la boîte de dialogue Add Protected URL , saisissez l'URL de l'endpoint dans le champ Protection Request URL .
Cliquez sur OK .

La nouvelle URL prend effet dans un délai d'environ 10 minutes. Une fois qu'elle apparaît dans la liste des URL, vous pouvez la modifier ou la supprimer selon vos besoins.

Spécifier les pages pour l'insertion du plug-in JavaScript

Par défaut, WAF insère le plug-in JavaScript dans toutes les pages de votre site web. Si certaines pages sont incompatibles avec le plug-in, restreignez l'insertion aux pages compatibles uniquement.

Sur la page Data Risk Control , cliquez sur l'onglet Pages to Which JavaScript Plug-in are Inserted .
Sélectionnez Insert JavaScript Plug-in into Specific Pages et cliquez sur Add Webpage .
Dans la boîte de dialogue Add URL , saisissez les chemins d'URL (chacun doit commencer par / ) et cliquez sur OK . Vous pouvez ajouter jusqu'à 20 chemins d'URL.

Après avoir ajouté les chemins, le plug-in JavaScript est inséré dans toutes les pages situées sous ces chemins.

Limiter l'insertion du plug-in à des pages spécifiques signifie que le contrôle des risques liés aux données ne peut pas observer l'intégralité du parcours utilisateur, ce qui peut réduire la précision de la détection.

Configurer une liste blanche

Pour exempter certaines requêtes des vérifications du contrôle des risques liés aux données, configurez une liste blanche pour le module de gestion des bots. Consultez Configurer une liste blanche pour Bot Management .

Afficher les résultats de la protection

Après avoir activé la collecte de journaux pour votre domaine, accédez à l'onglet Log Query et sélectionnez Anti-Fraud dans la section Advanced Search pour afficher les résultats du contrôle des risques liés aux données. Consultez Interroger et analyser les journaux .

Exemple : protéger un endpoint d'inscription

Un site web situé à www.aliyundoc.com permet aux utilisateurs de s'inscrire à www.aliyundoc.com/register.html . Des attaquants utilisent des scripts pour soumettre des requêtes d'inscription à un rythme normal, créant des comptes pour participer à des tirages au sort. Comme le taux de requêtes semble normal, la protection contre les attaques HTTP flood ne signale pas ces requêtes.

Configuration : Ajoutez www.aliyundoc.com/register.html en tant qu'URL protégée.

Fonctionnement de la protection après configuration :

Le plug-in JavaScript est inséré dans toutes les pages de www.aliyundoc.com , collectant des signaux comportementaux dès qu'un utilisateur arrive sur le site.
Lorsqu'un utilisateur soumet une requête d'inscription à /register.html , WAF évalue les données comportementales et environnementales collectées tout au long de la session.
Un utilisateur qui a navigué normalement sur le site et rempli le formulaire passe sans interruption.
Un script qui accède directement à /register.html et soumet une requête est signalé comme suspect et une vérification CAPTCHA à glissière lui est présentée.
Si le script simule l'interaction avec la glissière, une vérification supplémentaire est appliquée. En cas d'échec, la requête est bloquée.

Étapes suivantes

Avant de passer au mode Block ou Strict Interception, activez le mode Warn et examinez les journaux à l'aide de Simple Log Service for WAF pour effectuer un test de compatibilité.
Pour protéger les applications natives, configurez le SDK Anti-Bot. Consultez Configurer la protection des applications .
Pour remplacer le contrôle des risques liés aux données pour la protection contre les crawlers, configurez la configuration spécifique au scénario. Consultez Présentation de la configuration spécifique au scénario .