Edge Security Acceleration: Security FAQ

Sim. É possível receber notificações por e-mail e mensagem interna. Por padrão, as notificações são enviadas para as informações de contato da sua conta Alibaba Cloud. Para alterar ou adicionar um contato, consulte Add message recipients.

Toda a resolução de DNS do site é negada e os pontos de presença (POPs) de borda do ESA bloqueiam todo o acesso ao site.

Na página Account Overview, o sistema agrega e analisa automaticamente o número de solicitações de todos os sites da sua conta que receberam ações de proteção do ESA. Caso note um volume anormalmente alto de dados de solicitações protegidas, utilize o procedimento a seguir para identificar a origem da anomalia:

1. No painel Traffic Statistics, selecione um período como Yesterday. Clique em Protected Requests para visualizar os Top 5 Websites by Protected Requests de ontem.

2. Na lista Top 5 Websites by Protected Requests, clique em Overview referente ao site com dados anormais.

3. No painel de navegação à esquerda, selecione Security > Events. Selecione Custom Time Range, por exemplo 2025-01-28 00:00:00 ~ 2025-01-29 00:00:00, para exibir as estatísticas de ações de proteção.

4. Role até a seção Sampling Logs para visualizar informações detalhadas sobre a proteção.

A Proteção de Origem exige uma arquitetura de cache com pelo menos duas camadas. Não é possível ativar a Proteção de Origem se a política de Tiered Cache estiver definida como Edge Tiered Cache. Para alterar essa configuração, passe o mouse sobre o botão Configure e clique em Modify na dica de ferramenta para acessar a página de configuração de Tiered Cache.

Na página Tiered Cache, clique em Configure, selecione uma arquitetura de cache em camadas adequada e, em seguida, ative a Proteção de Origem.

O grupo de segurança de uma instância ECS funciona como um firewall virtual que controla o tráfego de entrada e saída da instância. Para configurar rapidamente a Proteção de Origem, adicione a lista de IPs de busca na origem fornecida pelo ESA às regras de entrada de um grupo de segurança.

1. Acesse a página ECS console - Prefix lists. Alternativamente, no ECS console, passe o mouse sobre Network & Security no painel de navegação e clique em Prefix lists.

2. Mude para a região onde sua instância de servidor de origem está localizada .

3. Clique em Create prefix list para criar uma lista de prefixos para endereços IPv4:

   • Prefix list name: Insira um nome para a lista, como list-esa-ipv4.

   • Address family: Selecione IPv4.

   • Max entries: Insira 200.

   • Prefix list entries: Clique em Add Entry. Na coluna CIDR block, cole a lista IPv4 obtida quando você enabled Origin Protection e, em seguida, clique em OK.

4. Clique em Create prefix list para criar uma lista de prefixos para endereços IPv6:

   • Prefix list name: Insira um nome para a lista, como list-esa-ipv6.

   • Address family: Selecione IPv6.

   • Max entries: Insira 200.

   • Prefix list entries: Clique em Add Entry. Na coluna CIDR block, cole a lista IPv6 obtida quando você enabled Origin Protection e, em seguida, clique em OK

     .

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

5. Acesse a página ECS console - Security groups e clique em Create security group.

6. Selecione a VPC onde a instância está localizada. Na seção Access rule, exclua as regras padrão. Clique em Add Manually. Em Authorization object, selecione as listas de prefixos IPv4 e IPv6 criadas, escolha as portas de serviço e clique em Create security group.

7. Acesse ECS console - Instances.

8. Na lista de instâncias, clique no ID da instância para a qual deseja configurar a Proteção de Origem. Acesse a aba Security groups e clique em Change security groups.

9. Na página Change security groups, selecione apenas o grupo de segurança recém-criado e clique em OK.

Sintoma: Quando o site example.com não tem a Proteção de Origem ativada (porque o plano não oferece suporte ou o site não foi adicionado ao ESA) e a lista de permissões de IP do servidor de origem está configurada para incluir apenas a lista de IPs de Proteção de Origem do ESA, as chamadas para example.com podem falhar se você usar a função fetch() do Function e Pages do ESA.

Solução:

• Se o site example.com estiver adicionado ao ESA, ative o recurso de Proteção de Origem.

• Caso o site example.com não esteja adicionado ao ESA, add the website to ESA ou modifique a lista de permissões de IP do servidor de origem.

Se o número de intervalos de endereços IP fornecidos pela Proteção de Origem ultrapassar o limite configurável no seu servidor de origem, entre em contato com seu representante de vendas para ativar o recurso de convergência de retorno à origem (disponível apenas para clientes do plano Enterprise). Esse recurso reduz ainda mais a quantidade de intervalos de endereços IP de retorno à origem.

Quando configurado corretamente, o recurso causa impacto mínimo nos usuários legítimos. O ESA utiliza um modelo de IA para identificar comportamentos anômalos, e a atividade normal dos usuários geralmente não aciona as regras de proteção. Recomendamos as seguintes práticas recomendadas:

• Inicie no modo de monitoramento.

• Ajuste gradualmente a política com base nas suas observações.

• Configure uma lista de permissões para fontes confiáveis.

É possível validar a configuração das seguintes formas:

1. Verifique a página Security Events para confirmar se os eventos estão sendo registrados.

2. Utilize uma conta de teste para provocar intencionalmente múltiplas tentativas de login com falha e observe se elas são detectadas.

3. Confirme se as pontuações de risco estão sendo calculadas conforme o esperado.

Verifique os seguintes itens:

1. Certifique-se de que o tráfego do seu site passa pelo ESA.

2. Garanta que a API recebeu solicitações HTTP com código de status diferente de 5xx nos últimos 30 dias.

3. Para sites novos ou APIs com pouco tráfego, a descoberta pode levar 24 horas ou mais para ser concluída.

Sim, isso é possível. Para mais informações, consulte Add an API manually.

Um JSON Web Token (JWT) é um formato de token aberto baseado em JSON, definido na RFC7519, utilizado para transmitir declarações entre aplicações web. Geralmente, o JWT funciona como um token de autenticação autônomo. Ele pode transportar informações como identificador de usuário, funções e permissões, permitindo que um cliente obtenha recursos de um servidor de recursos. Também é possível incluir declarações adicionais exigidas por outras lógicas de negócio. Essas características tornam o JWT ideal para cenários de login em sites distribuídos.

O JWT é composto por três partes: Header, Payload e Signature. Cada parte é codificada em Base64URL, formando uma string no formato Header.Payload.Signature:

• Header: cabeçalho do JWT. Contém o tipo de declaração (JWT) e o algoritmo usado para assinar o token.

• Payload: parte de dados do JWT. Armazena as informações efetivas e pode incluir campos personalizados necessários ao seu sistema de usuários.

• Signature: parte da assinatura do JWT. Valida o conteúdo do cabeçalho e do payload.

  O exemplo a seguir mostra um JWT:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

Utilize https://mkjwk.org para gerar a chave privada e a chave pública. A chave privada serve para gerar tokens, enquanto a chave pública é usada para validá-los.

1. Abra https://mkjwk.org em um navegador.

2. Clique na aba EC.

3. Especifique os seguintes parâmetros:

   • Curve: Selecione P-256.

   • Key Use: Selecione Signature como finalidade da chave pública.

   • Algorithm: Selecione ES256: ECDSA using P-256 and SHA-256 como identificador de algoritmo.

   • KeyID: Insira um identificador de chave personalizado, como esa.

4. Clique em Generate. Em seguida, selecione Public Key e clique em Copy to Clipboard para copiar a chave pública.