Configure the protection rules engine - Web Application Firewall

Le moteur de règles de protection utilise un ensemble intégré de règles pour défendre automatiquement votre site web contre les attaques web courantes, telles que l'injection SQL, le cross-site scripting (XSS), le téléchargement de webshells, l'injection de commandes, l'isolation des backdoors, les requêtes de fichiers illégales, le path traversal et les attaques exploitant les vulnérabilités applicatives courantes.

Prérequis

Vous avez activé une instance Web Application Firewall.
Votre site web a été ajouté à WAF. Pour plus d'informations, consultez la rubrique Tutoriels.

Contexte

Le moteur de règles de protection dans WAF est activé par défaut. Il inspecte et protège automatiquement tous les sites web ajoutés à WAF.

Le moteur de règles de protection s'appuie sur un vaste ensemble de règles de protection de base élaborées par l'équipe de sécurité d'Alibaba Cloud pour se défendre contre diverses attaques courantes visant les applications web. Vous pouvez configurer les règles utilisées par le moteur en sélectionnant un groupe de règles de protection adapté à vos besoins métier. WAF propose trois groupes de règles intégrés avec différents niveaux de strictesse :

Medium Rule Group : ce groupe de règles est sélectionné par défaut.
Loose Rule Group : ce groupe de règles est conçu pour réduire les faux positifs.
Strict Rule Group : ce groupe de règles est conçu pour améliorer le taux de détection des attaques.

Vous pouvez également créer un groupe de règles de protection personnalisé. Pour plus d'informations, consultez la rubrique relative aux groupes de règles de protection personnalisés.

Hébergement intelligent des règles

L'Intelligent Rule Hosting est activée par défaut dans le moteur de règles de protection afin de prévenir les faux positifs susceptibles d'affecter le trafic légitime.

L'hébergement intelligent des règles apprend les modèles de trafic historiques de votre site web. En s'appuyant sur le renseignement sur les menaces d'Alibaba Cloud, il identifie les règles susceptibles de générer des faux positifs pour vos scénarios métier ou vos endpoints API. La fonctionnalité ajoute alors automatiquement des règles granulaires à la liste blanche de prévention des intrusions web. Ces règles ciblent généralement une URL d'endpoint API spécifique et ignorent un ID de règle particulier, ce qui permet de minimiser les faux positifs sans élargir la surface d'attaque. Une fois le risque de faux positif éliminé, le moteur supprime automatiquement ces règles.

Procédure

Connectez-vous à la console Web Application Firewall.
Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région de votre instance Web Application Firewall (Chinese Mainland ou Outside Chinese Mainland).
Dans le volet de navigation de gauche, choisissez Protection Config > Website Protection.
Sur la page Website Protection, basculez vers le nom de domaine à configurer.

Cliquez sur l'onglet Web Security, accédez à la section Protection Rules Engine et configurez les paramètres suivants.

Paramètre	Description
Status	Active ou désactive le moteur de règles de protection. Par défaut, le moteur de règles de protection est activé pour défendre tous les sites web ajoutés à WAF contre les attaques courantes visant les applications web. Sur la page Security Report, vous pouvez consulter les journaux d'attaques du moteur de règles de protection dans le rapport Web Security > Web Intrusion Prevention. Si vous constatez qu'une règle bloque incorrectement le trafic de service légitime, vous pouvez utiliser la fonctionnalité Ignore False Positives pour supprimer l'effet de la règle spécifiée. Pour plus d'informations, consultez la rubrique relative aux rapports de sécurité web.
Mode	Action à effectuer sur les requêtes identifiées comme des attaques. Valeurs valides : Block : bloque les requêtes d'attaque. Alert : génère des alertes pour les requêtes d'attaque sans les bloquer.
Intelligent Rule Hosting	Active ou désactive l'hébergement intelligent des règles. Par défaut, cette fonctionnalité est activée pour gérer dynamiquement la liste blanche de prévention des intrusions web et réduire les faux positifs. Dans la section Protection Rules Engine, un message indique « XX règles ont été optimisées intelligemment ». Cliquez sur Click pour accéder à la page Web Intrusion Prevention - Whitelist, qui répertorie les règles de liste blanche ajoutées automatiquement par le moteur. Pour ces règles, la Rule Source est définie sur Intelligent Rule Hosting. Vous pouvez modifier ou supprimer ces règles de liste blanche ajoutées automatiquement. Le moteur supprime automatiquement ces règles une fois le risque de faux positifs éliminé. Important Même si vous modifiez manuellement une règle ajoutée automatiquement, le moteur la supprimera toujours après l'élimination du risque de faux positifs. Le moteur ne supprime pas automatiquement les règles de liste blanche que vous créez manuellement.
Protection Rule Group	Sélectionnez le groupe de règles de protection à appliquer. Vous pouvez appliquer un groupe de règles intégré ou un groupe de règles de protection personnalisé. Les groupes de règles intégrés incluent : Medium Rule Group : détecte les attaques courantes visant les applications web selon un niveau de protection standard. Ce groupe de règles est appliqué par défaut. Strict Rule Group : détecte les attaques visant les applications web, telles que le path traversal, l'injection SQL et l'injection de commandes, selon un niveau de protection strict. Loose Rule Group : détecte les attaques courantes visant les applications web selon un niveau de protection souple. Nous vous recommandons de sélectionner ce groupe de règles si vous rencontrez un nombre élevé de faux positifs avec le groupe Medium, ou si votre activité implique de grands volumes d'entrées utilisateur incontrôlables, comme dans les éditeurs de texte enrichi ou les forums techniques. Cliquez sur Configure Now pour accéder à la page de configuration du Protection Rule Group. Sur cette page, vous pouvez créer un groupe de règles de protection personnalisé et sélectionner les règles de protection à appliquer en fonction de vos besoins métier. Pour plus d'informations, consultez la rubrique relative aux groupes de règles de protection personnalisés.
Decoding Settings	Spécifiez les formats de contenu que vous souhaitez que le moteur de règles de protection décode pour analyse. Par défaut, le moteur de règles de protection décode et analyse le contenu dans tous les formats afin de garantir une protection efficace. Si le moteur bloque fréquemment des requêtes légitimes contenant un format spécifique, vous pouvez décocher ce format pour réduire les faux positifs. Vous pouvez développer le menu Decoding Settings et sélectionner ou désélectionner les formats à décoder. Important Vous ne pouvez pas désélectionner les formats de décodage suivants : URL Decoding, JavaScript Unicode Decoding, Hex Decoding, Comment Processing et Space Compression. Les formats de décodage facultatifs que vous pouvez désélectionner incluent : Multipart Parsing, JSON Parsing, XML Parsing, PHP Deserialization, HTML Entity Decoding, UTF-7 Decoding, Base64 Decoding et Form Parsing. Par défaut, les 13 méthodes de décodage sont sélectionnées.

Interrogation des règles de protection

Utilisez les méthodes suivantes pour interroger le moteur de règles de protection WAF afin d'obtenir les dernières règles de protection et toutes les règles actuelles :

Interroger les dernières règles de protection

Sur la page Overview de la console WAF, la liste Urgent Vulnerability affiche les dernières règles de protection ajoutées au moteur de règles de protection.

La section Urgent Vulnerability présente les mises à jour des règles de protection WAF pour les vulnérabilités de sécurité nouvellement divulguées.

Cliquez sur un enregistrement de vulnérabilité critique pour afficher le volet Details. Ce volet indique les noms de domaine concernés, les détails de la vulnérabilité et les règles de protection WAF associées.

La boîte de dialogue Urgent Vulnerability Protection Details contient les champs suivants : Protected Assets, Emergency Start Time, Rule Release Time, Vulnerability Name, Vulnerability ID (incluant un lien vers l'ID CVE), Rule Name, Rule ID, Application Type, Protection Type et Rule Description.
Interroger toutes les règles de protection

Sur la page Systems > Protection Rule Group de la console WAF, vous pouvez interroger toutes les règles de protection du moteur de règles de protection WAF.
Pour interroger les règles, procédez comme suit :
1. Sur l'onglet Web Intrusion Protection, localisez le Strict Rule Group et cliquez sur le lien numérique dans la colonne Built-in Rules.
  
  Le Strict Rule Group est un groupe par défaut défini par le système dans le moteur de règles de protection. Il contient toutes les règles de protection du moteur et ne peut pas être modifié.
  
  Remarque
  Étant donné que les règles de protection du moteur sont mises à jour dynamiquement, le nombre indiqué dans la colonne Built-in Rules peut ne pas refléter le décompte exact actuel.
2. Dans le panneau Number of Built-in Rules, recherchez la règle de protection que vous souhaitez afficher.
  
  Vous pouvez filtrer les règles de protection par Severity, Protection Type ou Application Type. Vous pouvez également rechercher une règle spécifique par son Rule ID ou son CVE ID. Par exemple, vous pouvez effectuer une recherche à l'aide d'un ID de règle trouvé sur la page Overview ou Security Report.
  
  La liste des règles fournit les informations suivantes : Severity/Rule Name, Rule ID, Updated At, Application Type, CVE ID, Protection Type et Rule Description.
  
  Vous pouvez cliquer sur un ID CVE spécifique pour afficher les détails de la vulnérabilité correspondante.