Tambah dan lihat aset nama domain - Web Application Firewall

Fitur Asset Center dari Web Application Firewall (WAF) mengorganisasi aset nama domain Anda baik di Alibaba Cloud maupun di luar Alibaba Cloud. Fitur ini menilai tingkat risiko berdasarkan status serangan terhadap aset cloud Anda, membantu Anda memahami postur keamanan keseluruhan layanan Anda. Anda dapat mengaktifkan perlindungan untuk aset nama domain berisiko tinggi guna meningkatkan keamanan secara keseluruhan.

Informasi latar belakang

Aset aplikasi jaringan merupakan pembawa paling penting bagi aplikasi jaringan dalam sistem manajemen keamanan dan komponen paling mendasar dalam sistem bisnis. Seiring pesatnya pengembangan bisnis perusahaan, semakin banyak sistem bisnis yang digunakan. Satu perusahaan dapat memiliki beberapa sistem bisnis, dan karyawan mungkin lupa melepas sumber daya setelah membuat situs web atau lingkungan pengujian. Akibatnya, sistem bisnis mungkin berisi aset zombie yang tidak dikelola. Bagian paling rentan dalam sistem bisnis menentukan keamanan keseluruhan sistem tersebut. Dalam kebanyakan kasus, aset zombie menggunakan versi lama dari sistem open source, komponen, atau kerangka kerja web yang memiliki kerentanan umum. Penyerang dapat mengeksploitasi kerentanan ini untuk menyusup ke jaringan internal perusahaan.

Fitur penemuan aset dapat memperoleh konfigurasi layanan Alibaba Cloud, seperti Domain, SSL Certificates Service, dan Alibaba Cloud DNS. Kemudian, fitur ini—bersama dengan analisis korelasi berbasis data besar—dapat mengidentifikasi nama domain di dalam dan di luar cloud berdasarkan konfigurasi yang diperoleh. Dengan cara ini, Anda dapat memantau situasi keseluruhan semua nama domain dan memastikan bahwa semua nama domain dilindungi. Fitur penemuan aset menghitung skor keamanan nama domain berdasarkan intelijen ancaman dan kemampuan pendeteksian serangan bawaan Alibaba Cloud, sehingga Anda dapat mengidentifikasi nama domain yang rentan terhadap serangan. Selanjutnya, Anda dapat menambahkan nama domain tersebut ke WAF untuk mencegah serangan.

Catatan Fitur penemuan aset dapat mengidentifikasi nama domain dari Alibaba Cloud dan penyedia pihak ketiga. Nama domain dari penyedia pihak ketiga mencakup nama domain server dari penyedia pihak ketiga dan nama domain server yang diterapkan di pusat data lokal.

Langkah 1: Akses Asset Center dan berikan izin WAF untuk mengakses sumber daya cloud

Masuk ke Konsol Web Application Firewall 3.0. Dari bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) untuk instans WAF.
Pada panel navigasi sebelah kiri, klik Asset Center.
Pada halaman Asset Center, klik Enable Now.
Catatan
Izin ini hanya perlu diberikan sekali. Jika Anda telah memberikannya, Anda dapat melewati langkah ini.
- Setelah Anda mengaktifkan Asset Center untuk pertama kalinya, Alibaba Cloud secara otomatis membuat peran terkait layanan untuk WAF (AliyunServiceRoleForWAF). Anda dapat masuk ke Konsol Resource Access Management (RAM) untuk melihat peran terkait layanan yang dibuat secara otomatis untuk WAF. Untuk informasi selengkapnya, lihat Lihat peran RAM.
  Setelah peran terkait layanan AliyunServiceRoleForWAF dibuat, instans WAF Anda dapat mengakses sumber daya layanan Alibaba Cloud terkait, seperti Elastic Compute Service (ECS), Server Load Balancer (SLB), Alibaba Cloud DNS, Alibaba Cloud CDN, Digital Certificate Management Service, dan Simple Log Service (SLS).
- Setelah WAF diberikan izin untuk mengakses sumber daya cloud, WAF secara otomatis mendeteksi aset nama domain yang terkait dengan Akun Alibaba Cloud Anda dan menampilkan informasinya pada halaman Asset Center.
  Catatan
  Asset Center mendukung deteksi nama domain Alibaba Cloud dan non-Alibaba Cloud. Nama domain non-Alibaba Cloud mencakup nama domain yang diarahkan ke server non-Alibaba Cloud dan nama domain yang digunakan di pusat data lokal.
  Untuk meningkatkan akurasi penemuan aset, WAF mengaktifkan pemindaian sidik jari aktif secara default. Untuk aset yang ditambahkan ke WAF, sidik jari aset diidentifikasi melalui analisis lalu lintas pasif dan probing aktif. Pemindaian sidik jari aktif dilakukan setiap dua minggu sekali. Pertahankan fitur ini tetap aktif.

Langkah 2: Tambahkan aset

Jika nama domain utama yang ingin Anda pantau tidak ada dalam daftar aset, Anda dapat menambahkannya secara manual.

Pada tab Overview halaman Asset Center, klik Add Asset.

Pada kotak dialog Add Asset, masukkan nama domain situs web dan verifikasi kepemilikannya.

Validasi DNS (disarankan): Tambahkan secara manual rekaman TXT yang disediakan oleh WAF di penyedia DNS domain Anda.
Validasi file: Unggah file validasi yang disediakan oleh WAF ke direktori root yang ditentukan di server origin Anda. Hal ini memerlukan akses operasional ke server origin dan kebijakan grup keamanan yang mengizinkan akses IP publik, sehingga WAF dapat memvalidasi file dari Internet.

Validasi DNS

Di area prompt validasi, klik tab Method 1: DNS Record.
Tambahkan rekaman TXT di penyedia layanan resolusi nama domain Anda menggunakan Record Type, Host Name, dan Record Value dari konsol WAF.
Jika Anda menggunakan Alibaba Cloud DNS, ikuti langkah-langkah berikut. Jika tidak, lakukan langkah serupa di sistem mereka.
1. Pada halaman Zona Publik, temukan nama domain utama dan klik DNS Settings di sebelah kanan.
2. Klik Add Zone, konfigurasikan parameter berikut, biarkan parameter lainnya pada nilai default, lalu klik OK.
  - Untuk Record Type, pilih TXT.
  - Hostname: Masukkan awalan nama domain. Misalnya, verification.
  - Record Value: Masukkan nilai rekaman yang dihasilkan oleh WAF, seperti verify_8fca29dec226****.
Tunggu hingga rekaman TXT berlaku. Rekaman TXT baru berlaku segera, tetapi perubahan pada rekaman TXT yang sudah ada biasanya berlaku setelah 10 menit. Waktu pastinya tergantung pada Time to Live (TTL) yang dikonfigurasi untuk pengaturan DNS domain, yang secara default adalah 10 menit.
Kembali ke konsol WAF dan klik Verify.
- Validasi berhasil mengonfirmasi kepemilikan domain Anda.
- Jika validasi gagal, pesan kesalahan akan memberikan detail penyebabnya. Lakukan pemecahan masalah sebagai berikut:
  1. Periksa rekaman TXT: Pastikan rekaman host dan nilai rekaman yang Anda tambahkan persis sesuai dengan informasi yang disediakan di konsol WAF. Jika ada perbedaan, hapus rekaman yang salah, tambahkan lagi, dan validasi ulang.
  2. Tunggu hingga rekaman DNS berlaku: Rekaman DNS mungkin tidak langsung berlaku. Waktu yang diperlukan agar rekaman DNS berlaku tergantung pada waktu cache TTL yang diatur di server DNS. Kami menyarankan Anda menunggu 10 menit lalu validasi ulang.
  3. Ganti metode validasi: Jika validasi berulang kali gagal, kami menyarankan menggunakan Metode 2: Verifikasi File.

Validasi file

Di area prompt validasi, klik tab Method 2: Verification File.
Klik tautan untuk mengunduh file validasi (① pada gambar).
Penting
- File validasi hanya berlaku selama 3 hari setelah diunduh. Jika Anda tidak menyelesaikan validasi file dalam periode ini, Anda harus mengunduhnya lagi.
- Jangan mengubah file validasi dengan cara apa pun, seperti mengedit atau mengganti namanya.
- WAF mengakses server origin berdasarkan jenis protokol yang dipilih. Pastikan aturan grup keamanan atau firewall server origin Anda mengizinkan lalu lintas yang sesuai:
  - Jika Anda memilih HTTP, izinkan lalu lintas TCP arah masuk pada port 80 dari 0.0.0.0/0.
  - Jika Anda memilih HTTPS, izinkan lalu lintas TCP arah masuk pada port 443 dari 0.0.0.0/0.
Unggah secara manual file validasi ke direktori root web server origin domain Anda, seperti instans Elastic Compute Service (ECS), bucket Object Storage Service (OSS), instans Cloud Virtual Machine (CVM), bucket Cloud Object Storage (COS), atau instans Elastic Compute Cloud (EC2) (② pada gambar).
Catatan
Jika Anda menambahkan nama domain wildcard, seperti *.aliyun.com, Anda harus mengunggah file validasi ke direktori root aliyun.com.
Setelah unggahan selesai, Anda dapat memeriksa apakah file validasi berhasil diunggah dengan mengikuti metode di bawah ini.

Kembali ke konsol WAF dan klik Verify.

Validasi berhasil mengonfirmasi kepemilikan domain Anda.

Jika validasi gagal, pesan kesalahan akan memberikan detail penyebabnya. Pecahkan masalah berdasarkan pesan kesalahan:

Masalah	Solusi
Tidak dapat mengakses nama domain.	Periksa rekaman DNS domain untuk memastikan ada rekaman yang mengarah ke server origin. Untuk Alibaba Cloud DNS, lihat Tambahkan rekaman DNS. Periksa aturan grup keamanan atau firewall server origin untuk memastikan permintaan akses publik diizinkan. Untuk grup keamanan ECS, lihat Tambahkan aturan grup keamanan.
File validasi tidak ada.	Unggah ulang file validasi ke server origin domain Anda.
Konten file salah	Buka server origin domain Anda dan hapus file validasi yang salah. Unggah ulang file validasi yang benar.

Karena aturan yang mengizinkan akses dari semua alamat IP (0.0.0.0/0) merupakan risiko keamanan, kami menyarankan untuk menghapus aturan sementara ini setelah kepemilikan dikonfirmasi, kecuali jika konfigurasi keamanan awal server origin Anda sudah mencakupnya.

Setelah menyelesaikan konfigurasi di atas, klik Add.

Catatan

Setelah Anda menambahkan aset secara manual, aset tersebut akan muncul dalam daftar Asset Center pada hari berikutnya (T+1).

Langkah 3: Lihat aset

Pada halaman Asset Center, Anda dapat melihat detail aset nama domain Anda.

资产中心

Jenis Data

Deskripsi

Aksi terkait

Data aset nama domain (Area ① pada gambar)

Menampilkan data tentang aset nama domain yang terkait dengan Akun Alibaba Cloud Anda. Ini mencakup jumlah total nama domain utama, jumlah total subdomain dan perubahannya dari hari sebelumnya, serta jumlah subdomain yang tidak dilindungi, dikategorikan sebagai berisiko tinggi, berisiko menengah, dan berisiko rendah.

Tidak ada

Detail aset nama domain (Area ② pada gambar)

WAF mengumpulkan dan menampilkan aset nama domain yang terdeteksi, dikelompokkan berdasarkan nama domain utama. Setiap nama domain utama mencakup informasi berikut:

Primary Domain Name: Nama domain utama yang diikat ke situs web.
Resolved IP: Alamat IP atau CNAME server situs web.
Number Of Protected Subdomains: Jumlah subdomain yang dilindungi oleh WAF.
Number Of Unprotected Subdomains: Jumlah subdomain yang tidak dilindungi oleh WAF. Ini mencakup jumlah subdomain berisiko tinggi, berisiko menengah, dan berisiko rendah.

Di kotak pencarian di atas daftar aset nama domain, Anda dapat memasukkan kata kunci untuk mencari nama domain utama tertentu. Pencarian fuzzy didukung.
Pada daftar aset nama domain, klik ikon di sebelah kiri nama domain utama untuk memfilter subdomain berdasarkan status konfigurasi dan tingkat risiko. Informasi subdomain mencakup:
- Subdomain: Subdomain yang diikat ke situs web.
- IP Address: Alamat IP atau CNAME server situs web.
- Fingerprint: Informasi sidik jari server situs web, yang diidentifikasi melalui analisis lalu lintas pasif dan pemindaian sidik jari aktif.
  Sakelar pemindaian sidik jari aktif diaktifkan setelah Anda memberikan izin ke Asset Center. Anda dapat menggunakan sakelar di pojok kanan atas daftar aset nama domain untuk mengaktifkan atau menonaktifkan pemindaian sidik jari aktif.
- Severity: Tingkat risiko nama domain, yang dinilai berdasarkan tren serangan selama 30 hari terakhir dan data intelijen ancaman. Untuk nama domain berisiko tinggi, kami menyarankan Anda segera menambahkannya ke WAF untuk perlindungan guna mencegah penyusupan.
- Status: Menunjukkan apakah nama domain situs web dilindungi oleh WAF. Status berikut tersedia:
  - Not Added: Nama domain situs web tidak dilindungi oleh WAF. Anda dapat mengklik Add di kolom Actions untuk menambahkan nama domain ke WAF. Untuk informasi selengkapnya, lihat Tambahkan nama domain ke WAF menggunakan rekaman CNAME.
  - Added: Nama domain situs web dilindungi oleh WAF. WAF mendeteksi lalu lintas situs web dan memberikan perlindungan komprehensif untuk nama domain tersebut.
Klik Details di kolom Actions subdomain untuk melihat informasi ancamannya.
Catatan
Fitur ini hanya tersedia untuk instans WAF edisi Enterprise dan Ultimate.

Langkah 4: Ekspor aset

Pada tab Overview halaman Asset Center, pilih nama domain utama yang ingin Anda ekspor dan klik ikon unduh di pojok kanan atas untuk menghasilkan file ekspor.
Pada tab Export Record di Asset Center, klik Download untuk mengekspor dokumen aset nama domain.
File yang diekspor disimpan sementara di Alibaba Cloud dan secara otomatis dihapus setelah tiga hari. Anda harus mengunduh file tersebut dalam periode ini.
Catatan
Hanya Akun Alibaba Cloud yang dapat mengunduh daftar aset. Fitur ini tidak didukung untuk Pengguna RAM.