Web Application Firewall:View bot management traffic analysis

Concepts clés

• Malicious Bot : programme automatisé conçu à des fins malveillantes. Il utilise des méthodes automatiques pour attaquer les systèmes cibles, voler des données ou effectuer d'autres opérations nuisibles.

• Suspected Bot : programme automatisé présentant certaines caractéristiques de bot, mais sans preuve directe de traces d'attaque ni intention clairement établie. Une vérification supplémentaire de son objectif d'accès est nécessaire.

• Legitimate Bot : programme automatisé autorisé et encouragé à accéder au site web. Il sert généralement à des fins légitimes, telles que l'indexation par les moteurs de recherche, la vérification de l'état du site ou l'analyse de données.

• Client ID : identifiant client (navigateur ou application). Le système identifie le type de source des requêtes HTTP en se fondant sur des éléments tels que les informations User-Agent et les empreintes digitales du trafic.

• Web UMID : identifiant unique d'appareil pour les clients web. Il aide les équipes de sécurité à identifier le trafic anormal.

• App UMID : identifiant unique d'appareil pour les clients applicatifs. Il aide les équipes de sécurité à identifier le trafic anormal.

• JA3 Fingerprint : chaîne générée par hachage MD5 appliqué aux paramètres clés du processus de handshake TLS, notamment la version TLS, les suites de chiffrement, les algorithmes de compression et les extensions TLS. Cette empreinte représente la configuration TLS d'un client et permet d'identifier et de différencier les types de clients TLS, tels que les navigateurs web, les applications mobiles et les logiciels malveillants.

• JA4 Fingerprint : empreinte qui s'appuie sur JA3 en intégrant des informations contextuelles et des algorithmes supplémentaires, tels que la version du navigateur et le système d'exploitation. Elle réduit efficacement les problèmes de collision observés avec les empreintes JA3, permettant une identification plus précise des utilisateurs légitimes par rapport aux usurpateurs et diminuant le taux de faux positifs.

• HTTP/2 Fingerprint : identifiant généré en appliquant l'algorithme MD5 à l'empreinte brute d'un client HTTP/2. Cette empreinte sert à analyser et identifier différents clients afin de garantir une communication sécurisée et efficace.

Procédure

Par défaut, les données du jour actuel (Today) s'affichent. Vous pouvez également interroger les données des Last 15 Minutes, des Last 30 Minutes, de la Last 1 Hour, des dernières Last 24 Hours, du jour actuel (Today), d'hier (Yesterday), des Last 7 days ou des Last 30 days.

1. Dans le volet de navigation de gauche, choisissez Protection Config > Bot Management > Traffic Analytics.

   Remarque

   Si vous n'avez pas activé Bot Management ni demandé d'essai, vous pouvez utiliser les informations affichées sur cette page pour obtenir une évaluation préliminaire des tendances du trafic de bots. Pour bénéficier de l'ensemble complet des fonctionnalités, activez Bot Management ou demandez un essai. Pour plus d'informations, consultez la rubrique Configurer des règles personnalisées avancées pour la gestion des bots.

2. La page Traffic Analytics prend en charge les opérations suivantes :

   1. Filtrage et recherche : le haut de la page propose des conditions de filtre pour la plage horaire, l'objet protégé, le Referer, le nom de domaine, le chemin de requête, l'adresse IP d'attaque et le User-Agent. Lorsque vous activez le mode de recherche avancée, le système renvoie uniquement les enregistrements correspondant à toutes les conditions spécifiées.

   2. Protection Overview : cette section affiche les graphiques de tendance pour les Malicious Bots, les Suspected Bots et les Legitimate Bots. Placez le curseur sur n'importe quel point du graphique de tendance pour afficher les décomptes spécifiques de chaque type de bot à cet instant.

   3. Analyse des données principales : la partie inférieure de la page affiche les statistiques Top suivantes.

      Fonctionnalité	Description
      Top IP Addresses by Traffic Type	Affiche les 10 premières adresses IP classées par nombre de requêtes Malicious Bot, Suspected Bot et Legitimate Bot.
      Top IP Addresses by Rule Type	Affiche les 10 premières règles classées par nombre de déclenchements.
      Top Client Types	Affiche les statistiques des 10 principaux décomptes pour quatre types d'identifiants : Client ID, Web UMID, App UMID et UserAgent.
      Traffic Fingerprint Statistics	Affiche les statistiques des 10 principaux décomptes pour trois types d'empreintes : JA3 Fingerprint, JA4 Fingerprint et HTTP/2 Fingerprint.
      Top Request Headers	Affiche les 10 principales valeurs pour quatre types d'en-têtes de requête : Host, Path, QueryString et Referer.
      Top Protected Objects	Affiche les 10 premiers objets protégés classés par nombre de requêtes.