Edge Security Acceleration:Security rules

Avaliação de ameaças

A detecção de ameaças do ESA utiliza a biblioteca de inteligência contra ameaças do Alibaba Cloud, que agrega dados globais de ameaças cibernéticas em tempo real.

• Fontes de inteligência: IP maliciosos conhecidos, attack source, botnets e serviços de proxy.

• Dimensões de detecção: O sistema avalia a reputação do IP, a localização geográfica, os padrões de acesso e os atributos da requisição, como o User-Agent, e então gera uma pontuação dinâmica de ameaças para determinar o nível de segurança.

Níveis de segurança personalizáveis

Os níveis de segurança controlam a sensibilidade da detecção de ameaças e o rigor das contramedidas. Níveis mais altos oferecem proteção mais forte, mas aumentam o risco de falsos positivos.

Crie uma regra de segurança

1. No console do ESA, selecione Websites e, na coluna Websites, clique em site de destino.

2. No painel de navegação à esquerda, escolha Websites > Website.

3. Clique em Create Rule e insira um Rule Name.

4. Na seção If requests match..., configure os request attributes de correspondência e, na seção Then execute..., selecione um nível de segurança. Por exemplo: For requests with the hostname www.example.com, set the security level to Medium.

   Importante

   Escolher um nível de segurança mais alto aumenta o risco de falsos positivos. Equilibre segurança e experiência do usuário.

5. (Opcional) Para alterar a precedência da regra, arraste o ícone na coluna Order ou clique em Move to na coluna Actions.

Verifique o efeito da regra

A regra entra em vigor imediatamente. Quando uma requisição que corresponde às condições da regra chega a www.example.com, o visitante recebe uma página de desafio.

Após a validação do desafio, a página carrega normalmente. O sistema anexa os parâmetros u_atoken e u_asession à URL da requisição para identificar usuários verificados.

Lidar com falsos positivos e otimizar regras

Os IP de usuários legítimos ou clientes de API podem gerar falsos positivos. Considere o seguinte cenário:

Seu service está sob um ataque de alto risco e você definiu o nível de segurança como High. No entanto, você deseja permitir requisições do endereço IP de teste interno 1.2.3.4.

• Método 1: Adicionar uma regra de lista de permissões

  Adicione uma whitelist rule de WAF para endereços IP conhecidos, garantindo que o tráfego crítico do negócio não seja interrompido.

  1. Na página Security Rules, copie o Rule ID correspondente.

  2. No painel de navegação à esquerda, escolha Security > WAF. Selecione a aba Whitelist Rules e, em seguida, clique em Create Rule.

  3. Configure as opções conforme mostrado no exemplo a seguir e clique em OK:

     • Rule Name: Insira um nome de regra personalizado, como rule-allow-test-ip.

     • If requests match...: Na lista suspensa do campo de correspondência, selecione Client IP. Na lista suspensa de operadores, selecione is in. Na caixa de texto, insira 1.2.3.4.

     • Rule: Selecione Specific Rule Category/ID.

     • Rule Category: Na lista suspensa, selecione Security Level.

     • Rule ID: Insira o Rule ID da Etapa 1.

• Método 2: Ajustar a precedência da regra

  Como o ESA avalia as regras sequencialmente, crie uma regra com nível de segurança mais baixo para o tráfego de teste e posicione-a antes da regra de bloqueio para que ela entre em vigor primeiro.

  1. No painel de navegação à esquerda, escolha Rules > Security Rules e, em seguida, clique em Rules.

  2. Configure as opções conforme mostrado no exemplo a seguir e clique em Security Rules: Na seção Create Rule, crie uma condição que corresponda ao endereço IP afetado, ao User-Agent ou ao caminho da requisição. Em seguida, na seção OK, defina o If requests match... como Then execute... ou Security Level para ignorar as verificações de segurança.

     • Rule Name: Insira um nome de regra personalizado, como rule-allow-test-ip.

     • Apply to: Rule Name está selecionado por padrão. Para o campo de correspondência, selecione Client IP. Para o operador, selecione Filtered Requests. Na caixa de texto, insira 1.2.3.4.

     • Client IP: Selecione Essentially Off ou Off (Available in Enterprise Plans) para ignorar as verificações de segurança.

  3. Na página Essentially Off, arraste o ícone para ajustar a ordem de execução das regras. Posicione a regra rule-allow-test-ip antes da regra original.