Web Application Firewall:Proteksi Pemindaian

Informasi latar belakang

Jenis templat

Prasyarat

• Anda memiliki layanan aktif Pay-as-you-go WAF 3.0.

• Anda telah menambahkan layanan web ke WAF 3.0 sebagai objek yang dilindungi dan kelompok objek yang dilindungi.

Buat templat proteksi pemindaian

WAF menyediakan templat proteksi default awal yang diaktifkan secara otomatis. Untuk menerapkan aturan kustom, Anda harus membuat templat proteksi dan mengonfigurasi aturan terkait. Ikuti langkah-langkah berikut untuk membuat templat proteksi pemindaian:

1. Masuk ke Konsol Web Application Firewall 3.0. Dari bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) untuk instans WAF.

2. Di panel navigasi sebelah kiri, pilih Protection Config > Core Web Protection.

3. Di bagian Scanning Protection pada halaman Core Web Protection, klik Create Template.

4. Di panel Scanning Protection, konfigurasikan parameter dan klik OK.

   Parameter	Description
   Template Name	Tentukan nama untuk templat. Nama harus terdiri dari 1 hingga 255 karakter dan dapat berisi karakter Tionghoa, huruf besar dan kecil, angka, titik (.), garis bawah (_), dan tanda hubung (-).
   Save as Default Template	Templat proteksi default tidak mengharuskan Anda menentukan objek yang akan diterapkan templat tersebut. Templat ini berlaku untuk semua objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan templat proteksi kustom. Ini mencakup objek yang dilindungi dan kelompok objek yang baru ditambahkan serta yang dihapus dari templat proteksi kustom. Anda juga dapat menghapusnya secara manual dari templat default. Anda hanya dapat mengatur satu templat default untuk satu modul proteksi, dan Anda hanya dapat mengatur templat default saat membuat templat.
   Rule Configuration	Konfigurasikan pengaturan aturan. Templat proteksi modul proteksi pemindaian hanya mendukung satu set aturan. Satu set aturan terdiri dari tiga jenis aturan berikut: High-Frequency Scanning Protection Jika Anda mengaktifkan High-frequency Scanning Blocking, konfigurasi berikut secara otomatis berlaku: Jika alamat IP (Statistical and Blocked Object) memicu aturan proteksi Core web protection rules yang dikonfigurasi untuk objek yang dilindungi saat ini lebih dari 20 kali (Trigger of Protection Rules of Core Protection Rule) dan memicu lebih dari 2 (Maximum Number of Triggered Rules) aturan proteksi berbeda dari modul Core Web Protection dalam 60 detik (Time Range), alamat IP tersebut akan ditambahkan ke blacklist dan tetap dalam blacklist selama 1.800 detik (Blocking Period). WAF memblokir atau memantau permintaan yang dikirim dari alamat IP tersebut. Untuk memodifikasi konfigurasi aturan, klik Advanced Settings: Statistical and Blocked Object IP: mengumpulkan frekuensi serangan yang berasal dari alamat IP client yang sama. Session: mengumpulkan frekuensi serangan yang berasal dari sesi client yang sama. Catatan You can use the setcookie() function to define cookies that start with acw_t in the response. The cookies are used to identify sessions of different clients. If you select this option, the value of acw_tc cookie that triggers the rule is blocked. Account: Mengukur frekuensi serangan dari akun yang sama. Catatan Account-level blocking takes effect only after you configure account or token extraction settings on the Account Extraction Settings tab. To go to the tab, find your protected object and click Settings in the Actions column. You can view the tab in the panel that appears. Custom: Mengumpulkan frekuensi serangan dari objek dengan fitur permintaan yang sama. Anda dapat menentukan karakteristik permintaan dengan salah satu cara berikut: Custom Header: mengumpulkan frekuensi permintaan serangan yang berisi header tertentu. Custom Parameter: mengumpulkan frekuensi permintaan serangan yang berisi parameter tertentu. Custom Cookie: mengumpulkan frekuensi permintaan serangan yang berisi cookie tertentu. Rule details Anda dapat mengubah nilai parameter berikut: Time Range, Trigger of Protection Rules of Core Protection Rule, Blocking Period, dan Maximum Number of Triggered Rules. Directory Traversal Blocking Jika Anda mengaktifkan Directory Traversal Blocking, konfigurasi berikut secara otomatis berlaku: Jika alamat IP (Statistical and Blocked Object) digunakan untuk meminta objek yang dilindungi lebih dari 50 kali (Maximum Number of Requests) dan mengakses lebih dari 50 (Maximum Number of Non-existent Directories) direktori yang tidak ada dalam 10 detik (Time Range), dan kode status HTTP 404 mencakup 70% (Maximum HTTP 404 Status Code Percentage) dari kode status yang dikembalikan dalam respons, alamat IP tersebut akan ditambahkan ke blacklist. WAF memblokir atau memantau permintaan yang dikirim dari alamat IP tersebut. Catatan Statistik untuk pemindaian direktori tidak mencakup jenis file web statis seperti .js dan .png . Untuk memodifikasi konfigurasi aturan, klik Advanced Settings: Statistical and Blocked Object IP: mengumpulkan frekuensi serangan yang berasal dari alamat IP client yang sama. Session: mengumpulkan frekuensi serangan yang berasal dari sesi client yang sama. Catatan You can use the setcookie() function to define cookies that start with acw_t in the response. The cookies are used to identify sessions of different clients. If you select this option, the value of acw_tc cookie that triggers the rule is blocked. Account: Mengukur frekuensi serangan dari akun yang sama. Catatan Account-level blocking takes effect only after you configure account or token extraction settings on the Account Extraction Settings tab. To go to the tab, find your protected object and click Settings in the Actions column. You can view the tab in the panel that appears. Custom: Mengumpulkan frekuensi serangan dari objek dengan fitur permintaan yang sama. Anda dapat menentukan karakteristik permintaan dengan salah satu cara berikut: Custom Header: mengumpulkan frekuensi permintaan serangan yang berisi header tertentu. Custom Parameter: mengumpulkan frekuensi permintaan serangan yang berisi parameter tertentu. Custom Cookie: mengumpulkan frekuensi permintaan serangan yang berisi cookie tertentu. Rule details Anda dapat mengubah nilai parameter berikut: Time Range, Maximum Number of Requests, Maximum HTTP 404 Status Code Percentage, Blocking Period, dan Maximum Number of Non-existent Directories. Scanner Blocking: Jika Anda mengaktifkan Scanner Blocking, pemindai umum akan ditambahkan ke blacklist. Pemindai tersebut mencakup sqlmap, AWVS, Nessus, Appscan, Webinspect, Netsparker, Nikto, dan RSAS. WAF memblokir atau memantau permintaan dari pemindai tersebut.
   Rule Action	Pilih aksi yang ingin dilakukan WAF ketika permintaan sesuai dengan aturan. Nilai yang valid: Block: memblokir permintaan yang sesuai dengan aturan dan mengembalikan halaman blokir ke client yang menginisiasi permintaan. Catatan Secara default, WAF mengembalikan halaman blokir yang telah dikonfigurasi sebelumnya. Anda dapat menggunakan fitur respons kustom untuk mengonfigurasi halaman blokir kustom. Untuk informasi selengkapnya, lihat Configure custom response pages. Monitor: mencatat permintaan yang sesuai dengan aturan dalam log tanpa memblokir permintaan tersebut. Anda dapat mengkueri log tentang permintaan yang sesuai dengan aturan dan menganalisis kinerja proteksi. Misalnya, Anda dapat memeriksa apakah permintaan sah diblokir berdasarkan log. Penting Anda hanya dapat mengkueri log ketika fitur Simple Log Service for WAF diaktifkan. Untuk informasi selengkapnya, lihat Enable or disable the Simple Log Service for WAF feature. Jika Anda memilih Monitor, Anda dapat melakukan dry run pada aturan untuk memeriksa apakah aturan tersebut memblokir permintaan normal. Jika aturan lolos dry run, Anda dapat mengatur parameter Action menjadi Block. Catatan Di halaman Security Reports, Anda dapat melihat detail aturan yang sesuai dalam mode Monitor atau Block. Untuk informasi selengkapnya, lihat Security reports.
   Apply To	Dari objek yang dilindungi dan kelompok objek yang dilindungi yang telah dikonfigurasi, pilih yang ingin Anda terapkan templat ini. Objek yang dilindungi atau kelompok objek hanya dapat dikaitkan dengan satu templat proteksi pemindaian. Jika Anda mengatur templat proteksi default, templat tersebut berlaku untuk semua objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan templat proteksi kustom secara default. Jika Anda tidak mengatur templat default, tidak ada objek yang dilindungi atau kelompok objek yang dipilih secara default. Anda dapat mengubah objek yang diterapkan templat tersebut secara manual.

   Secara default, templat proteksi yang baru dibuat diaktifkan. Anda dapat melakukan operasi berikut pada templat proteksi di daftar templat:

   • Lihat jumlah Protected Object/Group yang dikaitkan dengan templat tersebut.

   • Aktifkan atau nonaktifkan sakelar di kolom Status untuk mengaktifkan atau menonaktifkan templat.

   • Klik Edit atau Delete di kolom Actions untuk memodifikasi atau menghapus templat.

   • Klik ikon di sebelah kiri nama templat untuk melihat dan mengelola aturan dalam templat tersebut.

     • Temukan aturan dan klik Unblock IP Addresses untuk membuka blokir alamat IP yang diblokir oleh aturan tersebut.

       Penting

       • Anda dapat Unblock IP Addresses hanya jika alamat IP diblokir oleh aturan proteksi High-Frequency Scanning Protection atau Directory Traversal Blocking.

       • Anda dapat Unblock IP Addresses hanya jika aturan dan templat terkait diaktifkan.

Langkah selanjutnya

Di tab Scanning Protection pada halaman Security Reports, Anda dapat melihat detail proteksi untuk aturan tersebut. Untuk informasi selengkapnya, lihat Security Reports.

Referensi

• Untuk informasi selengkapnya tentang objek proteksi, modul proteksi, dan proses proteksi WAF 3.0, lihat Protection configuration overview.

• Untuk informasi selengkapnya tentang cara membuat templat proteksi melalui API, lihat CreateDefenseTemplate.

• Untuk informasi selengkapnya tentang cara membuat dan mengonfigurasi aturan proteksi untuk modul Core Web Protection, lihat CreateDefenseRule.