Configure scan protection - Web Application Firewall - Centre de documentation Alibaba Cloud

Une fois que vous avez ajouté un site web à Web Application Firewall (WAF), vous pouvez activer la fonctionnalité de protection contre les scans. Cette fonctionnalité bloque automatiquement les requêtes correspondant à des signatures de menace spécifiques. Par exemple, WAF peut bloquer les requêtes provenant d'adresses IP source qui lancent plusieurs attaques web ou des attaques par path traversal en peu de temps, ainsi que les requêtes issues d'outils de scan ou d'adresses IP figurant dans la base de données d'IP malveillantes d'Alibaba Cloud.

Prérequis

Une instance Web Application Firewall est activée et son édition est Pro ou supérieure.

Important
Les instances de l'édition Pro prennent uniquement en charge la stratégie de protection contre les scans par défaut et ne permettent pas de créer des stratégies personnalisées. Pour créer des stratégies de protection personnalisées pour High-frequency Web Attack Blocking et Directory Traversal Prevention, votre instance doit être de l'édition Enterprise ou supérieure.
Votre site web est ajouté à WAF. Pour plus d'informations, consultez les Tutoriels.

Contexte

La fonctionnalité de protection contre les scans comprend les stratégies de protection suivantes :

High-frequency Web Attack Blocking : bloque automatiquement les adresses IP client qui lancent plusieurs attaques web en peu de temps. Vous pouvez personnaliser les règles de protection et débloquer manuellement les adresses IP.
Directory Traversal Prevention : bloque automatiquement les adresses IP client qui lancent plusieurs attaques par path traversal en peu de temps. Vous pouvez personnaliser les règles de protection et débloquer manuellement les adresses IP.
Scanner Blocking : bloque automatiquement les requêtes d'accès provenant d'adresses IP associées à des outils de scan. Les outils pris en charge incluent Sqlmap, AWVS, Nessus, Appscan, Webinspect, Netsparker, Nikto et Rsas.
Collaborative Protection : bloque automatiquement les requêtes d'accès provenant d'adresses IP figurant dans la base de données mondiale d'IP malveillantes d'Alibaba Cloud.

Procédure

Connectez-vous à la console Web Application Firewall.
Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région de votre instance Web Application Firewall (Chinese Mainland ou Outside Chinese Mainland).
Dans le volet de navigation de gauche, choisissez Protection Config > Website Protection.
Sur la page Website Protection, basculez vers le nom de domaine à configurer.
Cliquez sur l'onglet Access Control/Throttling et localisez la section Scan Protection. Cette section propose des interrupteurs pour quatre fonctionnalités : Blocking IPs Initiating High-frequency Web Attacks, Directory Traversal Prevention, Scanning Tool Blocking et Collaborative Defense. Pour Blocking IPs Initiating High-frequency Web Attacks et Directory Traversal Prevention, vous pouvez cliquer sur Settings pour personnaliser les règles et sur Unblock IP Address pour supprimer les blocages d'adresse IP. Pour finaliser la configuration de la protection contre les scans, activez les fonctionnalités souhaitées.

Remarque
Lorsque vous activez une fonctionnalité de protection contre les scans, celle-ci inspecte par défaut toutes les requêtes adressées à votre site web. Vous pouvez configurer une liste blanche pour Access Control/Throttling afin d'autoriser les requêtes éligibles à contourner cette protection. Pour plus d'informations, consultez la rubrique Configurer une liste blanche pour Access Control/Throttling.
- High-frequency Web Attack Blocking : activez ou désactivez cette fonctionnalité.
  Pour configurer la stratégie de protection :
  1. Activez l'interrupteur pour Blocking IPs Initiating High-frequency Web Attacks.
  2. Cliquez sur Configure Now.
  3. Dans la boîte de dialogue Rule Settings, configurez les paramètres suivants : Time Range (secondes), Minimum Attacks (nombre) et Blocking Duration (secondes). Dans la boîte de dialogue Rule Setting, les valeurs par défaut sont 60 secondes pour Inspection Time Range, 20 pour The number of attacks exceeds et 1800 secondes pour Blocked IP Addresses.
    
    Description de la règle : si le nombre d'attaques web provenant d'une adresse IP client au cours de la Time Range spécifiée dépasse la valeur définie pour Minimum Attacks, les requêtes d'accès provenant de cette adresse IP sont bloquées pendant la durée définie pour Blocking Duration.
    
    Remarque
    Nous vous recommandons d'utiliser le paramètre Mode. Vous pouvez sélectionner un mode prédéfini (Loose, Strict ou Normal) puis ajuster les paramètres en fonction de vos besoins métier.
  4. Cliquez sur OK.
  Pour débloquer les adresses IP actuellement bloquées, cliquez sur Unblock IP Address.
- Directory Traversal Prevention : activez ou désactivez cette fonctionnalité.
  Pour configurer la stratégie de protection :
  1. Activez l'interrupteur pour Directory Traversal Prevention.
  2. Cliquez sur Configure Now.
  3. Dans la boîte de dialogue Rule Settings, configurez les paramètres suivants : Time Range (en secondes), Minimum Requests (nombre), Minimum Percentage of 404 Status Code (%), Blocking Duration (en secondes) et Directories. Dans la boîte de dialogue Rule Setting, les valeurs par défaut sont les suivantes : Inspection Time Range 10 secondes, The total requests exceed 50, And the percentage of responses with 404 exceeds 70 %, Blocked IP Addresses 1800 secondes et Directory number 20.
    
    Cette règle signifie que si une adresse IP client, au cours de la Time Range spécifiée, initie des requêtes dont le nombre atteint le seuil défini par Minimum Requests, dont le pourcentage de codes d'état 404 atteint le seuil défini par Minimum Percentage of 404 Status Code et dont le nombre de Directories accédés dépasse une valeur spécifiée au cours de la Time Range indiquée, alors les requêtes d'accès provenant de cette adresse IP sont bloquées pendant la durée spécifiée par Blocking Duration.
    
    Remarque
    Nous vous recommandons d'utiliser le paramètre Mode. Vous pouvez sélectionner un mode prédéfini (Loose, Strict ou Normal) puis ajuster les paramètres en fonction de vos besoins métier.
  4. Cliquez sur OK.
  Pour débloquer les adresses IP actuellement bloquées, cliquez sur Unblock IP Address.
- Scanner Blocking : activez ou désactivez cette fonctionnalité.
  
  Lorsqu'elle est activée, cette fonctionnalité identifie intelligemment les requêtes provenant d'outils de scan. Si une requête correspond à une signature de scan connue, WAF la bloque. Lorsqu'elle est désactivée, WAF n'intercepte plus ce type de requêtes.
- Collaborative Protection : activez ou désactivez cette fonctionnalité.
  
  Lorsqu'elle est activée, cette fonctionnalité bloque automatiquement les requêtes provenant d'adresses IP figurant dans la base de données mondiale d'IP malveillantes d'Alibaba Cloud.