Web Application Firewall:Rapport de sécurité WAF

Le rapport Web Security affiche les enregistrements de protection des modules Web Intrusion Prevention, Data Leakage Prevention, Account Security et Positive Security Model. Cliquez sur un onglet pour basculer entre les rapports.

• Web Intrusion Prevention : Affiche toutes les attaques d'applications web bloquées par WAF. Ce rapport comprend deux sections : des graphiques d'analyse des attaques en haut et les enregistrements des événements d'attaque en bas.

  • Les graphiques d'analyse des attaques incluent la Attack Type Distribution, les Top 5 Attack IP Addresses et les Top 5 Attack Regions.

    Au-dessus des graphiques, spécifiez un domaine et une plage horaire pour filtrer les données.

  • Les enregistrements des événements d'attaque fournissent des informations détaillées sur les attaques web, notamment l'Attacker IP Address, la Region, l'Attack Time, le type d'attaque (Attack Type), l'URL d'attaque (Attack URL), la Request Method, le Request Parameter, l'Action, l'Rule ID et la Attack Probability.

    Au-dessus du tableau des enregistrements d'événements d'attaque, filtrez les enregistrements à l'aide de champs tels que Module de protection, Type d'attaque, IP d'attaque, ID de règle et Action de règle.

    Effectuez les opérations suivantes sur les enregistrements d'événements d'attaque :

    • Cliquez sur View Details dans la colonne Actions d'un enregistrement d'événement d'attaque pour afficher les Attack Details.

    • Si vous déterminez qu'une requête bloquée est un faux positif et souhaitez empêcher WAF de bloquer des requêtes similaires, cliquez sur Ignore False Positives dans la colonne Actions.

      WAF contourne alors les vérifications de règles système correspondantes pour les requêtes similaires. Dans la boîte de dialogue Create Rule qui s'affiche, définissez un Rule Name pour la règle générée automatiquement, puis cliquez sur Save.

      Remarque

      Dans de rares cas, une requête peut être bloquée car elle déclenche plusieurs règles de protection. Une règle de liste d'autorisation générée par l'opération Ignore False Positives ne contourne qu'une seule des règles de protection déclenchées. Dans cette situation, modifiez manuellement le paramètre IDs of Specific Rules dans la règle de liste d'autorisation pour ajouter les ID des autres règles que vous souhaitez contourner.

      Une fois la règle créée, elle est automatiquement activée. Recherchez, modifiez et supprimez les règles existantes sur la page Web Intrusion Prevention - Whitelist. Pour plus d'informations, consultez la rubrique Configurer une liste d'autorisation pour la prévention des intrusions web.

  Pour plus d'informations sur la configuration de la prévention des intrusions web, consultez la rubrique Configurer le moteur de règles de protection.

• Data Leakage Prevention : Affiche les enregistrements des requêtes web qui déclenchent les règles de prévention des fuites de données. Les enregistrements incluent l'Attacker IP Address, la Region, l'Attack Time, l'URL d'attaque (Attack URL), la Request Method, le Request Parameter, l'Action, l'Rule ID et la Attack Probability. Spécifiez un domaine et une plage horaire pour filtrer les données.

  Cliquez sur View Details dans la colonne Actions d'un enregistrement pour afficher les Attack Details.

  Pour plus d'informations sur la configuration de la prévention des fuites de données, consultez la rubrique Configurer la prévention des fuites de données.

• Account Security : Affiche les enregistrements des événements de risque pour les endpoints protégés configurés dans Account Security. Les informations incluent le Domain Name, l'Endpoint, la Time Frame of Malicious Requests, le nombre de Blocked Requests/Total et la Alert Cause. Filtrez les enregistrements par domaine, endpoint et plage horaire.

  Pour plus d'informations sur la configuration de la sécurité des comptes, consultez la rubrique Configurer la sécurité des comptes.

• Positive Security Model : Affiche les enregistrements des attaques d'applications web qui déclenchent les règles de protection générées automatiquement par le modèle de sécurité positive. Les enregistrements incluent l'Attacker IP Address, la Region, l'Attack Time, l'URL d'attaque (Attack URL), la Request Method, l'Action, l'Rule ID et la Attack Probability. Spécifiez un domaine et une plage horaire pour filtrer les données.

  Cliquez sur View Details dans la colonne Actions d'un enregistrement pour afficher les Attack Details.

  Pour plus d'informations sur la configuration du modèle de sécurité positive, consultez la rubrique Configurer le modèle de sécurité positive.

Le rapport Bot Management présente les données de surveillance des requêtes de robots d'exploration et les performances des règles anti-bot pour votre site web. Sélectionnez un domaine dans la liste des domaines protégés en haut à gauche et spécifiez une plage horaire pour afficher les données de protection. WAF fournit un rapport de performance de protection distinct pour chaque règle anti-bot basée sur un scénario configuré.

• Le rapport Bot Management est divisé en deux sections : l'Overview of Protection Effects et l'Scenario-specific Protection Effect. La section Overview of Protection Effects affiche les graphiques de tendance du nombre total de requêtes, du nombre de requêtes de bots identifiées et du nombre de requêtes de bots ayant déclenché différentes règles de protection.

• Bot Requests : Nombre total de requêtes générées par machine identifiées grâce à une analyse multidimensionnelle du trafic. Cette métrique vous aide à évaluer l'efficacité de vos règles anti-bot. Si le nombre de requêtes bloquées est bien inférieur au nombre de requêtes de bots identifiées, vos règles peuvent nécessiter une optimisation. Si les nombres sont proches, la protection fonctionne correctement.

• Requests Detected in Monitoring Mode : Nombre de requêtes correspondant à une règle anti-bot en mode Surveillance. Si vous changez le mode en Blocage, ces requêtes seront bloquées ou soumises à un défi, par exemple via un CAPTCHA à glissière.

• Blocked Requests : Nombre de requêtes correspondant à une règle anti-bot dont l'action est définie sur Bloquer.

Pour plus d'informations sur la configuration de la gestion des bots, consultez les rubriques suivantes :

• Configurer la protection anti-bot basée sur des scénarios pour les sites web

• Configurer les règles de robots d'exploration autorisés

• Configurer les règles de renseignement sur les menaces de bots

• Configurer la protection des applications

Le rapport Access Control/Throttling affiche les enregistrements des requêtes web ayant déclenché les règles HTTP Flood Protection, Scan Protection et Access Control. Spécifiez un domaine et une plage horaire pour rechercher des données pour le domaine et la période spécifiés. Pour les enregistrements qui vous intéressent, interrogez également les journaux associés en un seul clic.

• HTTP Flood Protection : Affiche les tendances de protection contre les attaques HTTP flood. Cela inclut les graphiques de tendance du Total QPS, de l'Alert Rule of Custom HTTP Flood Protection, de la Block Rule of Custom HTTP Flood Protection et de la Block Rule of Default HTTP Flood Protection, ainsi que le No. of matches pour différents Rule Type tels que l'Alert Rule of Custom HTTP Flood Protection, la Block Rule of Custom HTTP Flood Protection et la Block Rule of Default HTTP Flood Protection.

  Cliquez sur le Rule Type d'un No. of matches. Vous êtes redirigé vers la page Log Service, et une instruction de requête de journal liée au module HTTP Flood Protection est automatiquement saisie pour vous aider à interroger les journaux pertinents. Pour plus d'informations, consultez la rubrique Requête de journal. Sur la page Log Query de WAF, dans waf-logstore, utilisez l'instruction de requête matched_host:"domain_name" and block_action: tmd pour filtrer les journaux de blocage de la protection HTTP Flood, où block_action: tmd est la condition de filtre pour les blocages de protection HTTP Flood.

  Pour plus d'informations sur la configuration de la protection contre les attaques HTTP flood, consultez la rubrique Configurer la protection contre les attaques HTTP flood.

  Pour plus d'informations sur la configuration des règles personnalisées de protection contre les attaques HTTP flood, consultez la rubrique Créer une politique de protection personnalisée.

• Scan Protection : Affiche les tendances de protection contre les scans. Cela inclut les graphiques de tendance du Total QPS, de la Directory Traversal Prevention, de la Collaborative Protection, du High-frequency Web Attack Blocking et du Scanner Blocking, ainsi que le No. of matches pour différents Rule Type tels que la Directory Traversal Prevention, la Collaborative Protection, le High-frequency Web Attack Blocking et le Scanner Blocking.

  Cliquez sur le No. of matches d'un Rule Type pour accéder à la page Log Service. Une instruction de requête pour les journaux liés au module Scan Protection est automatiquement renseignée, ce qui vous permet d'interroger les journaux. Pour plus d'informations, consultez la rubrique Interroger les journaux. Sur la page Query Logs de WAF dans le logstore nommé waf-logstore, vous pouvez ajouter la condition block_action: antiscan à votre requête pour filtrer les journaux des requêtes bloquées par la protection contre les scans.

  Pour plus d'informations sur la configuration de la protection contre les scans, consultez la rubrique Configurer la protection contre les scans.

• Access Control : Affiche les tendances du contrôle d'accès. Cela inclut les graphiques de tendance du Total QPS, des Alert Rules of ACL, des Block Rules of ACL et de la protection par Blacklist, ainsi qu'un enregistrement des nombres de correspondances pour les règles personnalisées.

  Cliquez sur l'Rule ID d'une règle personnalisée pour ouvrir la boîte de dialogue Modify Rule, où vous pouvez afficher et modifier sa configuration. Pour plus d'informations, consultez la rubrique Paramètres des règles personnalisées.

  Cliquez sur le No. of matches d'une règle personnalisée. Vous êtes redirigé vers la page Log Service, et une instruction de requête de journal liée au module Access Control est automatiquement saisie pour vous aider à interroger davantage les journaux associés. Pour plus d'informations, consultez la rubrique Requête de journal. Sur la page Log Query de WAF, dans le waf-logstore, utilisez l'instruction de requête matched_host:"domain_name" and block_action: acl pour filtrer les journaux de blocage du contrôle d'accès, où block_action: acl est la condition clé pour filtrer les enregistrements de blocage ACL.

  Pour plus d'informations sur la configuration des règles de contrôle d'accès, consultez la rubrique Créer une politique de protection personnalisée.

  Pour plus d'informations sur la configuration d'une liste noire d'adresses IP, consultez la rubrique Configurer une liste noire d'adresses IP.