Edge Security Acceleration (ESA) inspeciona e filtra o tráfego nos PoPs por meio de WAF de borda, gerenciamento de bots, proteção contra DDoS e proteção de origem. Esses recursos bloqueiam ataques maliciosos antes que eles cheguem ao seu servidor de origem, protegem seu data center e melhoram a velocidade de acesso e a experiência do usuário.
Recursos
Recurso | Descrição | |
A análise de segurança exibe dados de WAF e gerenciamento de bots, incluindo métricas de solicitações bloqueadas, observadas e outras. Utilize esses dados para ajustar suas regras de proteção. | ||
A análise de eventos agrega e examina dados de eventos de segurança para ajudar você a identificar ameaças, avaliar riscos e responder adequadamente. | ||
Proteção inteligente | O Smart Rate Limiting aprimora as Rate Limiting Rules com o mecanismo de IA do ESA. Em vez de analisar manualmente o tráfego e definir regras, você seleciona um nível de proteção. O sistema treina uma linha de base com o tráfego dos últimos sete dias do seu site e a atualiza diariamente. | |
O recurso de prevenção de abusos do ESA combina monitoramento global de tráfego anômalo com um banco de dados de reputação de IP de código aberto atualizado diariamente. Esse recurso mitiga eficazmente o abuso de tráfego proveniente de fontes como plataformas de CDN Peer-to-Peer (PCDN) e scripts automatizados, ajudando você a evitar perdas financeiras significativas. | ||
Se o seu site exigir políticas personalizadas de controle de acesso, crie regras personalizadas. Uma regra personalizada permite definir condições de correspondência para solicitações recebidas e especificar uma ação, como bloquear ou monitorar, para as solicitações correspondentes. Isso oferece controle flexível sobre o conteúdo acessível aos usuários. | ||
As regras de limitação de taxa controlam a frequência de solicitações recebidas que atendem a condições específicas. Quando um cliente excede o limiar de solicitações configurado, a limitação de taxa aplica ações como verificação por CAPTCHA deslizante ou bloqueio temporário de IP. | ||
As regras gerenciadas são regras de proteção inteligentes e integradas do ESA que defendem contra ataques da OWASP e as vulnerabilidades mais recentes de servidores de origem, incluindo injeção de SQL, XSS, execução de código, CRLF, inclusão remota de arquivos e WebShell. Ative a proteção sem precisar configurar ou atualizar regras manualmente. | ||
A proteção contra varredura identifica comportamentos e assinaturas de scanners para bloquear varreduras em larga escala contra o seu site. Em seguida, bloqueia ou coloca a fonte do ataque na lista de bloqueios para reduzir o risco de intrusão e o tráfego indesejado. | ||
As regras de lista de permissões permitem que solicitações específicas contornem todos os módulos de proteção do WAF ou apenas alguns selecionados, evitando falsos positivos de serviços internos ou parceiros conhecidos. | ||
As regras de acesso por IP permitem permitir, desafiar ou bloquear tráfego com base no IP de origem, ASN ou localização geográfica. As regras de acesso por IP HTTP (Camada 7) estão disponíveis em todos os planos. Já as regras de acesso por IP TCP/UDP (Camada 4) exigem um plano Enterprise. | ||
O ESA oferece dois modos, Smart Mode e Professional Mode, para atender a diferentes necessidades de proteção. | ||
O ESA monitora o tráfego em tempo real para identificar padrões de ataque, como inundações SYN, inundações ACK e ataques CC. Ao detectar tráfego incomum, o ESA bloqueia prontamente as solicitações maliciosas e permite a passagem do tráfego legítimo, garantindo a continuidade dos negócios. | ||
Iterações rápidas de negócios frequentemente introduzem pontos críticos, como ativos de API pouco claros, superfícies de ataque desconhecidas e gerenciamento descentralizado de políticas de segurança. O recurso de Segurança de API do Edge Security Acceleration (ESA) foi projetado para resolver esses problemas. Ele ajuda você a criar uma barreira de segurança de API unificada na camada de borda. Este recurso fornece descoberta automática, monitoramento contínuo e proteção de segurança para suas APIs de negócios, analisando solicitações de acesso que fluem pelos pontos de presença (POPs) e utilizando modelos de aprendizado de máquina. | ||
Adicione a lista de endereços IP dos nós do ESA às regras de firewall do seu servidor de origem. Essa configuração protege o servidor de origem ao permitir que apenas solicitações ou tráfego provenientes dos endereços IP na lista de permissões o acessem. | ||
Configure definições de IP do cliente, níveis de desafio de segurança e limites de inspeção do corpo da solicitação para o seu site. | ||
Níveis de limitação de taxa inteligente
Loose: Indicado quando ocorrem falsos positivos. Ative o modo flexível ou desative totalmente a limitação de taxa inteligente. Limite inicial: 4.000 solicitações a cada 10 segundos por IP. O ajuste automático ocorre a cada 24 horas com base em dados históricos.
Medium: Recomendado para operações diárias. Limite inicial: 200 solicitações a cada 10 segundos por IP. O ajuste automático ocorre a cada 24 horas com base em dados históricos.
Strict: Mais adequado durante abusos ativos ou tráfego malicioso. Limite inicial: 40 solicitações a cada 10 segundos por IP. O ajuste automático ocorre a cada 24 horas com base em dados históricos.
Ações
-
Block: Bloqueia as solicitações correspondentes e retorna uma página de bloqueio ao cliente.
NotaPersonalize as páginas de bloqueio por meio de Configure custom pages.
-
Monitor: Permite a passagem das solicitações correspondentes, mas registra o evento. Utilize o modo de monitoramento para testar novas regras e verificar os logs do WAF em busca de falsos positivos. Após confirmar a ausência de falsos positivos, altere a ação para Block.
NotaÉ necessário ativar o Log Service para usar o recurso de consulta de logs.
JavaScript Challenge: O ESA retorna um trecho de JavaScript ao cliente. Se o navegador executar o script com êxito, o ESA permitirá todas as solicitações subsequentes desse cliente por um período padrão de 30 minutos, sem outro desafio. Caso contrário, a solicitação será bloqueada.
-
Slider CAPTCHA: O ESA retorna uma página de CAPTCHA deslizante. Se o cliente resolver o CAPTCHA, o ESA permitirá todas as solicitações subsequentes desse cliente por um período padrão de 30 minutos. Caso contrário, a solicitação será bloqueada.
NotaAs solicitações que passam pelo Slider CAPTCHA são faturadas; as solicitações bloqueadas não são.
O JavaScript Challenge e o Slider CAPTCHA para regras personalizadas do WAF e regras de limitação de taxa aplicam-se apenas a páginas estáticas. Para APIs assíncronas (
XMLHttpRequesteFetch), ative esses desafios em Bots. Quando uma solicitação correspondente passa pelo desafio, o ESA adiciona umCookie acw_sc__v2ouacw_sc__v3ao cabeçalho HTTP para marcar o cliente como verificado.
Strict Slider CAPTCHA: No modo estrito de CAPTCHA, cada solicitação do cliente deve passar pela verificação (diferentemente do Slider CAPTCHA, que permite a passagem livre por 30 minutos para clientes previamente verificados). Ative com cautela. O Strict Slider CAPTCHA está disponível apenas para planos Enterprise mediante solicitação.
Disponibilidade por plano
As tabelas abaixo apresentam o suporte de cada plano para proteção inteligente, bots, DDoS e proteção de origem. Para detalhes sobre a disponibilidade do WAF, consulte WAF plan details.