Perlindungan pemindaian mengidentifikasi perilaku pemindaian dan tanda tangan pemindai (scanner signatures) untuk memblokir pemindaian skala besar pada situs web Anda. Sumber serangan akan diblokir atau secara otomatis dimasukkan ke dalam blacklist, sehingga mengurangi risiko penyusupan dan menghilangkan lalu lintas sampah akibat pemindaian.
Prasyarat
Informasi latar belakang
Aturan perlindungan pemindaian terbagi menjadi jenis-jenis berikut:
-
High-frequency scanning protection: Secara otomatis memasukkan sumber serangan ke dalam blacklist jika sumber tersebut memicu aturan perlindungan dasar untuk objek yang dilindungi beberapa kali dalam periode singkat. Semua permintaan dari sumber ini kemudian akan diblokir atau dipantau selama durasi tertentu.
-
Directory traversal blocking: Secara otomatis memasukkan sumber serangan ke dalam blacklist jika sumber tersebut mengakses beberapa direktori yang tidak ada untuk objek yang dilindungi dalam periode singkat. Semua permintaan dari sumber ini kemudian akan diblokir atau dipantau selama durasi tertentu.
-
Scanner blocking: Memblokir atau memantau permintaan dari alat pemindaian umum seperti SQLMap, AWVS, Nessus, AppScan, WebInspect, Netsparker, Nikto, dan RSAS.
Buat kebijakan mitigasi – perlindungan pemindaian
Saat mengonfigurasi perlindungan pemindaian untuk pertama kalinya, Anda harus terlebih dahulu membuat templat aturan perlindungan pemindaian, lalu mengonfigurasi aturannya.
-
Masuk ke DCDN console.
-
Pada halaman Create Policy, konfigurasikan informasi perlindungan.
Configuration Module
Configuration Item
Description
Policy Information
Policy Type
Pilih Scan Protection.
Policy Name
Masukkan nama kebijakan kustom. Nama dapat berisi huruf, angka, dan garis bawah (_). Panjang nama maksimal 64 karakter.
Make Default
Tentukan apakah kebijakan ini akan dijadikan default untuk jenis mitigasi saat ini.
Kebijakan default berlaku untuk semua nama domain yang dilindungi yang tidak dikaitkan dengan kebijakan mitigasi kustom, termasuk nama domain yang baru ditambahkan dan nama domain yang telah dihapus dari kebijakan mitigasi kustom. Kebijakan ini tidak perlu dikaitkan dengan nama domain tertentu yang dilindungi.
Catatan-
Hanya satu kebijakan default yang dapat ditetapkan untuk setiap jenis mitigasi. Kebijakan default tidak dapat diubah setelah dibuat.
-
Jika kebijakan default sudah ada untuk jenis mitigasi saat ini, sakelar ini tidak tersedia.
Rule Information
Rules
Pilih aksi yang akan diambil ketika permintaan sesuai dengan aturan. Opsi:
-
Block: Memblokir permintaan yang sesuai dengan aturan dan mengembalikan halaman blokir ke client.
-
Monitor: Tidak memblokir permintaan yang sesuai dengan aturan.
Gunakan mode Monitor untuk menguji aturan baru. Setelah Anda memastikan bahwa aturan tersebut tidak menyebabkan false positive, ubah aksinya menjadi Block.
High-frequency Scanning Blocking
Status
Aktifkan atau nonaktifkan perlindungan pemindaian frekuensi tinggi.
Konfigurasi default: Sumber serangan (Blocked Object, IP secara default) dimasukkan ke dalam blacklist selama Block Duration 30 menit jika memenuhi kondisi berikut dalam Detection Period 60 detik: Mem-trigger basic protection rules lebih dari 20 kali. Mem-trigger lebih dari 2 aturan perlindungan berbeda (Number of Triggered Protection Rules Is Greater Than). Selama durasi pemblokiran, semua permintaan dari sumber tersebut akan diblokir atau dipantau berdasarkan aturan.
Klik Modify Configuration untuk menyesuaikan parameter seperti dijelaskan pada baris-baris berikut.
Block Object
Pilih jenis sumber serangan yang akan dipantau:
-
IP: Memantau frekuensi serangan dari alamat IP client yang sama.
-
Session: Memantau frekuensi serangan dari session client yang sama.
CatatanWAF mencoba menyisipkan cookie yang diawali dengan `acw_tc` ke dalam respons menggunakan metode `setcookie` untuk menandai session client yang berbeda.
-
Custom: Memantau frekuensi serangan dari objek dengan fitur permintaan yang sama. Anda dapat menentukan fitur permintaan dengan cara berikut:
-
Custom Header: Memantau frekuensi permintaan serangan yang berisi header tertentu.
-
Custom Parameter: Memantau frekuensi permintaan serangan yang berisi parameter tertentu.
-
Custom Cookie: Memantau frekuensi permintaan serangan yang berisi cookie tertentu.
-
Time Range
Tetapkan rentang waktu untuk mendeteksi permintaan HTTP.
-
Rentang nilai: 5 hingga 1800.
-
Unit: detik.
Trigger Threshold
Dalam Time Range, tetapkan jumlah maksimum kali suatu objek yang dipantau dapat memicu aturan perlindungan dasar untuk objek yang dilindungi saat ini.
Rentang nilai: 3 hingga 50.000.
Triggered Rules
Dalam Time Range, tetapkan jumlah aturan perlindungan dasar berbeda yang dapat dipicu oleh satu objek yang dipantau untuk objek yang dilindungi saat ini.
Rentang nilai: 1 hingga 50.
Blocking Time
Tetapkan durasi pemblokiran permintaan dari objek yang memenuhi aturan.
-
Rentang nilai: 60 hingga 86.400.
-
Unit: detik.
Directory Traversal Blocking
Status
Aktifkan atau nonaktifkan pemblokiran penelusuran direktori.
Konfigurasi default: Sumber serangan (Blocked Object, IP secara default) dimasukkan ke dalam blacklist selama Block Duration 30 menit jika memenuhi kondisi berikut dalam Detection Period 10 detik: Mengirim lebih dari 50 permintaan ke objek yang dilindungi (Requests to Protected Object Exceed). Rasio kode respons 404 melebihi 70% (404 Response Code Ratio Exceeds). Jumlah direktori yang tidak ada yang diakses melebihi 50 (Number of Non-existent Directories Exceeds). Selama durasi pemblokiran, semua permintaan dari sumber tersebut akan diblokir atau dipantau.
Klik Modify Configuration untuk menyesuaikan parameter seperti dijelaskan pada baris-baris berikut.
Block Object
Pilih jenis sumber serangan yang akan dipantau:
-
IP: Memantau frekuensi serangan dari alamat IP client yang sama.
-
Session: Memantau frekuensi serangan dari session client yang sama.
CatatanWAF mencoba menyisipkan cookie yang diawali dengan `acw_tc` ke dalam respons menggunakan metode `setcookie` untuk menandai session client yang berbeda.
-
Custom: Memantau frekuensi serangan dari objek dengan fitur permintaan yang sama. Anda dapat menentukan fitur permintaan dengan cara berikut:
-
Custom Header: Memantau frekuensi permintaan serangan yang berisi header tertentu.
-
Custom Parameter: Memantau frekuensi permintaan serangan yang berisi parameter tertentu.
-
Custom Cookie: Memantau frekuensi permintaan serangan yang berisi cookie tertentu.
-
Time Range
Tetapkan periode deteksi.
-
Rentang nilai: 5 hingga 1800.
-
Unit: detik.
Requests
Dalam Time Range, tetapkan jumlah maksimum permintaan yang dapat dikirim oleh satu objek yang dipantau ke satu nama domain.
Rentang nilai: 3 hingga 50.000.
HTTP 404 Status Code Percentage
Tetapkan persentase maksimum kode respons 404.
-
Rentang nilai: 1 hingga 100.
-
Unit: % (persen).
Non-existent Directories
Dalam Time Range, tetapkan jumlah maksimum direktori yang tidak ada (tidak termasuk file statis seperti gambar) yang dapat diakses oleh satu objek yang dipantau.
Rentang nilai: 2 hingga 50.000.
Blocking Time
Tetapkan durasi pemblokiran permintaan dari objek yang memenuhi aturan.
-
Rentang nilai: 60 hingga 86.400.
-
Unit: detik.
Scanner Blocking
Status
Aktifkan atau nonaktifkan pemblokiran pemindai.
Protected Domain Names
Protected Domain Names
Pilih nama domain yang ingin Anda terapkan kebijakan mitigasi ini.
CatatanNama domain yang dilindungi hanya dapat dikaitkan dengan satu kebijakan mitigasi dari jenis yang sama.
Jika Anda memilih nama domain yang sudah dikaitkan dengan kebijakan lain dari jenis yang sama, kebijakan saat ini akan menggantikan kebijakan sebelumnya untuk nama domain tersebut.
-