Web Application Firewall:Protection des événements critiques

La fonctionnalité de protection des événements critiques offre une protection personnalisée et précise pour les événements majeurs survenant durant des périodes spécifiques. Cette rubrique explique comment activer et utiliser la protection des événements critiques.

Facturation

Prérequis

• Vous avez activé WAF 3.0. Pour plus d'informations, consultez les rubriques Achat d'une instance WAF 3.0 par abonnement et Activation d'une instance WAF 3.0 à la demande.

  La méthode d'activation de la protection des événements critiques varie selon l'édition de l'instance WAF.

  Édition de l'instance WAF	Activé par défaut	Description
  Abonnement Ultimate Edition	Oui	Vous pouvez utiliser cette fonctionnalité directement sans l'activer séparément.
  Abonnement Pro Edition, abonnement Enterprise Edition et à la demande	Non. Vous devez l'activer en effectuant une mise à niveau temporaire.	Mettez à niveau votre instance vers l'Ultimate Edition. Pour plus d'informations, consultez la rubrique Mise à niveau d'une instance. Activez la protection des événements critiques via une mise à niveau temporaire. Pour plus d'informations, consultez la rubrique Activation de la protection des événements critiques.
  Abonnement Basic Edition	Non, et cette édition ne prend pas en charge cette fonctionnalité.	Mettez à niveau votre instance vers l'Ultimate Edition. Pour plus d'informations, consultez la rubrique Mise à niveau d'une instance. Mettez à niveau votre instance vers la Pro Edition ou l'Enterprise Edition, puis activez la protection des événements critiques via une mise à niveau temporaire. Pour plus d'informations, consultez la rubrique Activation de la protection des événements critiques.

• Vous avez ajouté vos services web à WAF 3.0 en utilisant le mode d'enregistrement CNAME ou en les intégrant à un service cloud tel que Classic Load Balancer (CLB) (HTTP/HTTPS), CLB (TCP) ou Elastic Compute Service (ECS). Pour plus d'informations, consultez la rubrique Présentation de l'ajout d'un site web.

  Remarque

  Cette fonctionnalité n'est pas prise en charge pour les objets protégés ajoutés à WAF via ALB, MSE ou FC.

Activer la protection des événements critiques

Créer un modèle de règle pour les événements critiques

Lors de la première configuration de la protection des événements critiques, vous devez créer un modèle de règle. Vous pouvez créer jusqu'à 20 modèles.

1. Connectez-vous à la console Web Application Firewall 3.0. Dans la barre de menus supérieure, sélectionnez le groupe de ressources et la région (Chinese Mainland ou Outside Chinese Mainland) de l'instance WAF.

2. Dans le volet de navigation de gauche, choisissez Protection Config > Critical Event Protection.

3. Sous l'onglet Protection Templates, cliquez sur Create Template.

4. Dans le panneau Create Protection Template for Critical Events, configurez les paramètres suivants.

   1. Configurez les informations de base, puis cliquez sur Next.

      Paramètre	Description
      Template Name	Spécifiez un nom pour le modèle. Le nom doit comporter entre 1 et 255 caractères et peut contenir des caractères chinois, des lettres majuscules et minuscules, des chiffres, des points (.), des traits de soulignement (_) et des traits d'union (-).
      Protection rules	Sélectionnez les règles de protection à appliquer et configurez l'action de règle pour chacune d'elles. Critical Event Threat Intelligence : utilise une bibliothèque de renseignements sur les menaces contenant des adresses IP malveillantes pour identifier précisément les attaquants. Cette règle est activée par défaut et son action est définie sur Monitor. Critical Event Protection Rule Group : génère un ensemble précis de règles de protection pour vos services basé sur un modèle de protection intelligent. Cette règle est activée par défaut et son action est définie sur Monitor. IP Address Blacklist for Protection for Critical Events : lorsqu'elle est activée, WAF surveille ou bloque les requêtes provenant d'adresses IP ou de plages d'adresses spécifiques. Vous pouvez ajouter jusqu'à 50 000 adresses IP ou blocs CIDR personnalisés à la liste noire. Shiro Deserialization Vulnerability Prevention : lorsqu'elle est activée, WAF utilise le chiffrement des cookies pour se protéger contre les vulnérabilités de désérialisation Java Apache Shiro.
      Apply To	Parmi les objets protégés et groupes d'objets protégés configurés, sélectionnez ceux auxquels vous souhaitez appliquer ce modèle.

   2. Si vous avez activé la règle IP Address Blacklist for Protection for Critical Events, vous devez configurer la liste noire d'adresses IP comme décrit ci-dessous. Une fois terminé, cliquez sur Next.

      Paramètre	Actions
      Add IP Address Blacklist	Cliquez sur Add IP Address Blacklist pour ajouter manuellement des adresses IP à la liste noire. Dans la zone de texte IP Address Blacklist, saisissez les adresses IP à ajouter. Séparez plusieurs entrées par des sauts de ligne. Remarque Vous pouvez saisir jusqu'à 500 adresses IP ou blocs CIDR. Les adresses IPv6 sont prises en charge. Séparez plusieurs entrées par un saut de ligne ou une virgule (,). Définissez une heure d'expiration. Options : Permanently Effective. Custom. Si vous sélectionnez cette option, cliquez sur le sélecteur d'heure pour spécifier une date et une heure d'expiration. Dans la zone de texte Remarks, saisissez une note et cliquez sur OK. Une fois les adresses IP ajoutées, vous pouvez les afficher dans le panneau Configure IP Address Blacklist.
      Import IP Address Blacklist	Cliquez sur Import IP Address Blacklist pour importer des adresses IP en masse. Cliquez sur Upload File et sélectionnez le fichier de liste noire d'adresses IP à importer. Important Seuls les fichiers CSV sont pris en charge. Les adresses IPv4 et IPv6 ainsi que les blocs CIDR sont pris en charge. Vous ne pouvez importer qu'un seul fichier à la fois. Chaque fichier peut contenir jusqu'à 2 000 entrées. Un bloc CIDR compte comme une entrée. La taille du fichier ne peut pas dépasser 1 Mo. Si vous disposez d'un grand nombre d'adresses IP à importer, vous pouvez les importer par lots. Définissez une heure d'expiration. Options : Permanently Effective. Custom. Si vous sélectionnez cette option, cliquez sur le sélecteur d'heure pour spécifier une date et une heure d'expiration. Dans la zone de texte Remarks, saisissez une note et cliquez sur OK. Une fois les adresses IP ajoutées, vous pouvez les afficher dans le panneau Configure IP Address Blacklist.
      Delete All IP Addresses	Pour supprimer toutes les adresses IP de la liste noire, cliquez sur Delete All IP Addresses.
      Delete Expired IP Addresses	Si certaines adresses IP de la liste noire ont expiré, cliquez sur Delete Expired IP Addresses pour les retirer.

5. Cliquez sur Complete.

   Le nouveau modèle de règle est activé par défaut. Dans la liste des modèles de règles, vous pouvez effectuer les actions suivantes :

   • Consultez le nombre de Protection Features et d'Protected Object/Group associés pour un modèle.

   • Utilisez l'interrupteur pour Enable ou Close un modèle.

   • Edit, Delete ou Copy un modèle de règle.

   • Si un modèle a la règle IP Address Blacklist for Protection for Critical Events activée, cliquez sur Edit IP Address Blacklist pour ajouter ou modifier la liste noire.

Consulter les données de protection des événements critiques

1. Connectez-vous à la console Web Application Firewall 3.0. Dans la barre de menus supérieure, sélectionnez le groupe de ressources et la région (Chinese Mainland ou Outside Chinese Mainland) de l'instance WAF.

2. Dans le volet de navigation de gauche, choisissez Protection Config > Critical Event Protection.

3. Vous pouvez consulter les informations suivantes.

   • Dans la carte Statistics, consultez le nombre total de Total Requests, le nombre de Blocked Requests et un diagramme circulaire montrant la répartition des types de règles de protection pour la plage de temps spécifiée.

   • Dans la carte Protection Plan for Critical Events, consultez le nombre de Protection Rules for Critical Events, de Threat Intelligence Rules et d'Added IP Addresses In Blacklist/Total au cours de la plage de temps spécifiée.

   • Sous l'onglet Security Reports, sélectionnez un objet protégé et une plage de temps pour afficher le rapport de sécurité correspondant.

     • Objet protégé : par défaut, All est sélectionné, ce qui permet de récupérer les données pour tous les objets protégés par WAF. Vous pouvez sélectionner un objet spécifique.

     • Plage de temps : par défaut, les données d'Today sont affichées. Vous pouvez également sélectionner Yesterday, Today, Last 7 days, Last 30 days ou une plage de temps personnalisée au cours des 30 derniers jours.

     Le tableau suivant décrit les données figurant dans le rapport de sécurité.

     Type	Description	Actions prises en charge
     Statistiques d'attaque (étiquetées ① dans la figure)	Affiche une analyse statistique des attaques sur l'objet protégé pour la plage de temps spécifiée, notamment : Distribution of Attack Types : Un diagramme circulaire montrant la répartition des types d'attaques. Top 5 Attacks : Répertorie les cinq objets les plus fréquemment attaqués sous l'onglet Attacked Object et les cinq adresses IP d'attaquants les plus fréquentes sous l'onglet Attacker IP Address. Les résultats sont triés par ordre décroissant du nombre d'attaques.	Aucune
     Journaux des événements d'attaque (étiquetés ② dans la figure)	Répertorie les requêtes d'attaque ayant déclenché les règles principales de protection web. La liste inclut les informations suivantes : Attacker IP Address : adresse IP source de la requête d'attaque. Area : région où se trouve l'adresse IP de l'attaquant. Attack Time : heure à laquelle l'attaque a commencé. Attack Type : type d'attaque, tel que l'injection SQL ou l'exécution de code. Rule Type : type de règle déclenchée, tel que le groupe de règles de protection pour les événements critiques ou les renseignements sur les menaces pour la protection des événements critiques. Rule Action : action entreprise par WAF. Block : WAF a bloqué la requête. Log : WAF a journalisé l'attaque mais n'a pas bloqué la requête.	Filtrer les événements d'attaque Utilisez les champs suivants situés au-dessus du tableau des événements d'attaque pour filtrer les événements : Type d'attaque : par défaut, All est sélectionné. Les autres options incluent SQL Injection, XSS, Code Execution, Inclusion de fichier local, Remote File Inclusion, Webshell et Others. Type de règle : par défaut, All est sélectionné. Les autres options incluent Critical Event Protection Rule Group, Critical Event Threat Intelligence, IP Address Blacklist for Protection for Critical Events et Shiro Deserialization Vulnerability Prevention. Action de la règle : par défaut, All est sélectionné. Les autres options sont Block et Monitor. Afficher les détails de l'attaque Dans la colonne Actions d'un événement, cliquez sur View Details pour afficher plus d'informations sur l'attaque et la règle déclenchée, telles que l'Rule ID, le Rule Name, la Rule Description, l'Rule Action et le Attack Type.
     Renseignements sur les menaces en temps réel (étiquetés ③ dans la figure)	Affiche les renseignements sur les menaces en temps réel pour les adresses IP des attaquants, notamment : L'adresse IP de l'attaquant et ses attributs. La région de l'adresse IP de l'attaquant. Le nombre d'attaques au cours de la dernière heure. Le type d'attaque.	Interroger les renseignements sur les menaces en temps réel pour une adresse IP d'attaquant Saisissez une adresse IP dans la zone de recherche et cliquez sur l'icône pour interroger ses renseignements sur les menaces.