Konfigurasi aturan proteksi pemindaian - Web Application Firewall

Setelah menambahkan layanan web Anda ke Web Application Firewall (WAF), Anda dapat mengonfigurasi aturan proteksi pada modul Proteksi Pemindaian untuk mengidentifikasi perilaku dan karakteristik pemindai, serta mencegah penyerang atau alat pemindai melakukan pemindaian skala besar terhadap situs web. Hal ini membantu mengurangi risiko penyusupan terhadap layanan web dan memblokir lalu lintas pemindaian yang tidak valid. Topik ini menjelaskan cara membuat templat dan aturan proteksi pemindaian.

Informasi latar belakang

Modul Proteksi Pemindaian menyediakan jenis aturan berikut:

High-frequency Scanning Blocking: Jika suatu sumber memicu aturan proteksi modul aturan proteksi inti yang dikonfigurasi untuk objek yang dilindungi saat ini beberapa kali dalam periode waktu singkat, sumber tersebut akan ditambahkan ke blacklist. WAF memblokir atau memantau permintaan dari sumber tersebut selama periode tertentu.
Directory Traversal Blocking: Jika suatu sumber mengakses banyak direktori yang tidak ada dari objek yang dilindungi dalam periode waktu singkat, sumber tersebut akan ditambahkan ke blacklist. WAF memblokir atau memantau permintaan dari sumber tersebut selama periode tertentu.
Scanner Blocking: Pemindai umum ditambahkan ke blacklist, termasuk sqlmap, AWVS, Nessus, Appscan, Webinspect, Netsparker, Nikto, dan RSAS. WAF memblokir atau memantau permintaan dari pemindai tersebut.

Jenis templat

Modul Proteksi Pemindaian menyediakan dua jenis templat berikut.

Template perlindungan	Deskripsi	Berlaku untuk
Template perlindungan default	Template perlindungan default awal yang disediakan oleh WAF. Template perlindungan ini diaktifkan secara default. Catatan Template perlindungan default awal yang diaktifkan secara default hanya tersedia untuk instans WAF berlangganan yang menjalankan edisi Pro, Enterprise, atau Ultimate.	Saat Anda membuat template perlindungan default, template tersebut berlaku untuk semua objek yang dilindungi atau kelompok yang tidak dikaitkan dengan template perlindungan kustom. Template ini juga secara otomatis berlaku untuk objek yang dilindungi yang baru ditambahkan. Anda dapat menyesuaikan pengaturannya secara manual.
Template perlindungan kustom	Template perlindungan yang Anda sesuaikan berdasarkan kebutuhan bisnis Anda. Anda harus membuat template perlindungan kustom secara manual. Template perlindungan kustom cocok untuk skenario di mana satu template perlindungan default tidak dapat memenuhi kebutuhan bisnis Anda.	Anda perlu menentukan Apply To. Template hanya berlaku untuk objek yang dilindungi dan kelompok objek yang dikaitkan dengan template tersebut.

Prasyarat

Anda memiliki layanan aktif WAF 3.0 Bayar Sesuai Pemakaian.
Anda telah menambahkan layanan web Anda ke WAF 3.0 sebagai objek yang dilindungi dan kelompok objek yang dilindungi.

Membuat template proteksi pemindaian

WAF menyediakan template perlindungan default awal yang diaktifkan secara default. Untuk mengaktifkan aturan kustom, Anda harus membuat template perlindungan dan mengonfigurasi aturan terkait. Ikuti langkah-langkah berikut untuk membuat template proteksi pemindaian:

Masuk ke Konsol Web Application Firewall 3.0. Dari bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) untuk instans WAF.
Di panel navigasi sebelah kiri, pilih Protection Config > Core Web Protection.
Di bagian Scan Protection di halaman Core Web Protection, klik Create Template.

Di panel Create Template - Scan Protection, konfigurasi parameter dan klik OK.

Parameter	Deskripsi
Template Name	Tentukan nama untuk template. Nama harus terdiri dari 1 hingga 255 karakter dan dapat berisi karakter Tionghoa, huruf besar dan kecil, angka, titik (.), garis bawah (_), dan tanda hubung (-).
Save As Default Template	Template perlindungan default tidak mengharuskan Anda menentukan objek yang diterapkan oleh template. Template berlaku untuk semua objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan template perlindungan kustom. Ini mencakup objek yang dilindungi dan kelompok objek yang baru ditambahkan serta yang dihapus dari template perlindungan kustom. Anda juga dapat menghapusnya secara manual dari template default. Anda hanya dapat mengatur satu template default untuk modul proteksi, dan Anda hanya dapat mengatur template default saat membuat template.
Rule Configuration	Konfigurasikan pengaturan aturan. Template perlindungan modul proteksi pemindaian hanya mendukung satu set aturan. Satu set aturan terdiri dari tiga jenis aturan berikut: High-frequency Scanning Blocking Jika Anda mengaktifkan Pemblokiran Pemindaian Frekuensi Tinggi, konfigurasi berikut secara otomatis berlaku: Jika alamat IP (Statistical And Blocked Object) memicu aturan proteksi modul aturan proteksi inti yang dikonfigurasi untuk objek yang dilindungi saat ini lebih dari 20 kali (Trigger Of Protection Rules Of Core Protection Rule) dan memicu lebih dari 2 (Maximum Number Of Triggered Rules) aturan proteksi dalam 60 detik (Time Range), alamat IP tersebut akan ditambahkan ke blacklist dan tetap berada di blacklist selama 1.800 detik (Blocking Period). WAF memblokir atau memantau permintaan yang dikirim dari alamat IP tersebut. Untuk memodifikasi konfigurasi aturan, klik Advanced Settings: Objek Statistik dan Diblokir IP: mengumpulkan frekuensi serangan yang berasal dari alamat IP klien yang sama. Session: mengumpulkan frekuensi serangan yang berasal dari sesi klien yang sama. Catatan You can use the setcookie() function to define cookies that start with acw_t in the response. The cookies are used to identify sessions of different clients. If you select this option, the value of acw_tc cookie that triggers the rule is blocked. Account: Mengukur frekuensi serangan dari akun yang sama. Catatan Account-level blocking takes effect only after you configure account or token extraction settings on the Account Extraction Settings tab. To go to the tab, find your protected object and click Settings in the Actions column. You can view the tab in the panel that appears. Custom: Mengumpulkan frekuensi serangan dari objek dengan fitur permintaan yang sama. Anda dapat menentukan karakteristik permintaan dengan salah satu cara berikut: Custom Header: mengumpulkan frekuensi permintaan serangan yang berisi header tertentu. Custom Parameter: mengumpulkan frekuensi permintaan serangan yang berisi parameter tertentu. Custom Cookie: mengumpulkan frekuensi permintaan serangan yang berisi cookie tertentu. Detail aturan Anda dapat mengubah nilai parameter berikut: Time Range, Trigger Of Protection Rules Of Core Protection Rule, Blocking Period, dan Maximum Number Of Triggered Rules. Directory Traversal Blocking Jika Anda mengaktifkan Pemblokiran Traversal Direktori, konfigurasi berikut secara otomatis berlaku: Jika alamat IP (Statistical And Blocked Object) digunakan untuk meminta objek yang dilindungi lebih dari 50 kali (Maximum Number Of Requests) dan mengakses lebih dari 50 (Maximum Number Of Non-existent Directories) direktori yang tidak ada dalam 10 detik (Time Range), dan kode status HTTP 404 mencakup 70% (Maximum HTTP 404 Status Code Percentage) dari kode status yang dikembalikan dalam tanggapan, alamat IP tersebut akan ditambahkan ke blacklist. WAF memblokir atau memantau permintaan yang dikirim dari alamat IP tersebut. Catatan Statistik untuk pemindaian direktori tidak mencakup jenis file web statis seperti `.js` dan `.png` . Untuk memodifikasi konfigurasi aturan, klik Advanced Settings: Objek Statistik dan Diblokir IP: mengumpulkan frekuensi serangan yang berasal dari alamat IP klien yang sama. Session: mengumpulkan frekuensi serangan yang berasal dari sesi klien yang sama. Catatan You can use the setcookie() function to define cookies that start with acw_t in the response. The cookies are used to identify sessions of different clients. If you select this option, the value of acw_tc cookie that triggers the rule is blocked. Account: Mengukur frekuensi serangan dari akun yang sama. Catatan Account-level blocking takes effect only after you configure account or token extraction settings on the Account Extraction Settings tab. To go to the tab, find your protected object and click Settings in the Actions column. You can view the tab in the panel that appears. Custom: Mengumpulkan frekuensi serangan dari objek dengan fitur permintaan yang sama. Anda dapat menentukan karakteristik permintaan dengan salah satu cara berikut: Custom Header: mengumpulkan frekuensi permintaan serangan yang berisi header tertentu. Custom Parameter: mengumpulkan frekuensi permintaan serangan yang berisi parameter tertentu. Custom Cookie: mengumpulkan frekuensi permintaan serangan yang berisi cookie tertentu. Detail aturan Anda dapat mengubah nilai parameter berikut: Time Range, Maximum Number Of Requests, Maximum HTTP 404 Status Code Percentage, Blocking Period, dan Maximum Number Of Non-existent Directories. Scanner Blocking: Jika Anda mengaktifkan Pemblokiran Pemindai, pemindai umum akan ditambahkan ke blacklist. Pemindai tersebut meliputi sqlmap, AWVS, Nessus, Appscan, Webinspect, Netsparker, Nikto, dan RSAS. WAF memblokir atau memantau permintaan dari pemindai tersebut.
Action	Pilih aksi yang ingin dilakukan WAF ketika permintaan cocok dengan aturan. Nilai yang valid: Block: memblokir permintaan yang cocok dengan aturan dan mengembalikan halaman blokir ke klien yang menginisiasi permintaan. Catatan Secara default, WAF mengembalikan halaman blokir yang telah dikonfigurasi sebelumnya. Anda dapat menggunakan fitur respons kustom untuk mengonfigurasi halaman blokir kustom. Untuk informasi selengkapnya, lihat Konfigurasi aturan proteksi untuk modul respons kustom guna mengonfigurasi halaman blokir kustom. Monitor: mencatat permintaan yang cocok dengan aturan dalam log tanpa memblokir permintaan tersebut. Anda dapat mengkueri log tentang permintaan yang cocok dengan aturan dan menganalisis kinerja proteksi. Misalnya, Anda dapat memeriksa apakah permintaan sah diblokir berdasarkan log. Penting Anda hanya dapat mengkueri log jika fitur Simple Log Service for WAF diaktifkan. Untuk informasi selengkapnya, lihat Aktifkan atau nonaktifkan fitur Simple Log Service for WAF. Jika Anda memilih Monitor, Anda dapat melakukan uji coba pada aturan untuk memeriksa apakah aturan tersebut memblokir permintaan normal. Jika aturan lulus uji coba, Anda dapat mengatur parameter Aksi menjadi Block. Catatan Di halaman Security Reports, Anda dapat melihat detail aturan yang cocok dalam mode Pantau atau Blokir. Untuk informasi selengkapnya, lihat Laporan Keamanan.
Apply To	Dari objek yang dilindungi dan kelompok objek yang dilindungi yang telah dikonfigurasi, pilih yang ingin Anda terapkan template ini. Objek yang dilindungi atau kelompok objek hanya dapat dikaitkan dengan satu template proteksi pemindaian. Jika Anda mengatur template perlindungan default, template tersebut berlaku untuk semua objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan template perlindungan kustom secara default. Jika Anda tidak mengatur template default, tidak ada objek yang dilindungi atau kelompok objek yang dipilih secara default. Anda dapat memodifikasi objek yang diterapkan template secara manual.

Secara default, template perlindungan yang baru dibuat diaktifkan. Anda dapat melakukan operasi berikut pada template perlindungan di daftar template:

Lihat jumlah Protected Object/Group yang dikaitkan dengan template.
Nyalakan atau matikan sakelar di kolom Status untuk mengaktifkan atau menonaktifkan template.
Klik Edit atau Delete di kolom Aksi untuk memodifikasi atau menghapus template.
Klik ikon di sebelah kiri nama template untuk melihat dan mengelola aturan dalam template.
- Temukan aturan dan klik Unblock IP Addresses untuk membuka blokir alamat IP yang diblokir oleh aturan tersebut.
  Penting
  - Anda dapat Unblock IP Addresses hanya jika alamat IP diblokir oleh aturan proteksi High-frequency Scanning Blocking atau Directory Traversal Blocking.
  - Anda dapat Unblock IP Addresses hanya jika aturan dan template terkait diaktifkan.

Langkah selanjutnya

Di tab Scan Protection halaman Security Reports, Anda dapat melihat detail proteksi untuk aturan tersebut. Untuk informasi selengkapnya, lihat Laporan Keamanan.

Referensi

Untuk informasi selengkapnya tentang objek proteksi, modul proteksi, dan proses proteksi WAF 3.0, lihat Ikhtisar konfigurasi proteksi.
Untuk informasi selengkapnya tentang cara membuat template proteksi dengan memanggil operasi API, lihat CreateDefenseTemplate.
Untuk informasi selengkapnya tentang cara membuat aturan proteksi untuk modul aturan proteksi inti dan mengonfigurasi aturan tersebut, lihat CreateDefenseRule.