O agente Runtime Application Self Protection (RASP) monitora sua aplicação em tempo de execução. Ele usa análise semântica e verificações de linha de base comportamental para detectar ameaças com baixa taxa de falsos positivos. A maioria dos alertas gerados indica ataques reais. Este tópico explica como revisar as evidências do alerta, determinar se ele é um verdadeiro positivo e suprimir falsos positivos usando regras de lista de permissões.
Pré-requisitos
Antes de começar, verifique se você tem:
Application Protection ativado no Security Center
Acesso ao console do Security Center
(Opcional) Agente RASP versão 0.5.2 ou posterior, necessário para configurar regras de lista de permissões com base em características maliciosas ou parâmetros de entrada. Reinicie a aplicação protegida para atualizar automaticamente para a versão mais recente.
Revisar um alerta e responder
O exemplo a seguir demonstra o fluxo de análise de um alerta acionado pelo upload de um arquivo malicioso.
Faça login no console do Security Center. Na barra de navegação superior, selecione a região dos ativos que deseja gerenciar: China ou Outside China.
No painel de navegação à esquerda, escolha Protection Configuration > Application Protection.
Na aba Attack Alerts, localize o alerta e clique em Details na coluna Actions.
Na página de detalhes do alerta, examine as evidências e decida se o alerta é um verdadeiro positivo.
Compreender as evidências do alerta
A página de detalhes está organizada em quatro seções. Revise cada uma para determinar se o alerta representa um ataque real ou um falso positivo.
|
Seção |
Campo |
O que indica |
Como utilizar |
|
Basic alert |
Attacker IP address |
Endereço IP de origem que acessou sua aplicação. |
Verifique se este IP pertence a um sistema interno conhecido, usuário confiável ou ferramenta de varredura de segurança. IPs externos inesperados exigem investigação adicional. |
|
Basic alert |
Vulnerability name |
Vulnerabilidade explorada pelo atacante, quando aplicável. |
Clique no ID da vulnerabilidade para visualizar os detalhes. Aplique patches para reduzir a superfície de ataque. |
|
Advanced alert |
Malicious characteristics |
Dados maliciosos enviados à sua aplicação. Neste exemplo: uma solicitação de upload para |
Determine se essa solicitação é um comportamento esperado. Em caso afirmativo, adicione-a à lista de permissões. Caso contrário, trate como um ataque real. |
|
Advanced alert |
Trigger function |
Função sensível à segurança dentro da aplicação que acionou o alerta. |
Identifique qual função interna esteve envolvida. |
|
Advanced alert |
Specified parameters |
Objeto JSON exibindo o comportamento e logs de eventos gerados quando a aplicação processou a solicitação. |
Examine os pares chave-valor em busca de padrões suspeitos. |
|
Advanced alert |
Stack calling |
Pilha de chamadas no momento do evento, registrando a sequência de invocações de funções. |
Rastreie o caminho de execução para entender como o atacante alcançou o código vulnerável. |
|
More information |
Request URL |
Informações sobre a solicitação HTTP que acessou a aplicação. |
Confirme se a solicitação veio de uma fonte legítima. Se não, aplique controle de acesso ou bloqueie solicitações dessa origem. |
Consulte também o resumo gerado por IA na seção Alert Analysis para obter um sinal adicional sobre a veracidade do alerta.
Responder com base na avaliação
Após revisar as evidências, tome medidas conforme a natureza do alerta (ataque real ou falso positivo) e o modo de proteção ativo:
|
Cenário |
Monitor mode |
Block mode |
|
Ataque real |
A solicitação não foi bloqueada. Localize e exclua imediatamente quaisquer arquivos maliciosos. |
O ataque foi bloqueado e o arquivo não foi gravado no servidor. Nenhuma limpeza imediata é necessária. |
|
Falso positivo |
Adicione o alerta a uma lista de permissões para suprimir avisos semelhantes. |
Adicione o alerta a uma lista de permissões para suprimir avisos semelhantes. |
Suprimir falsos positivos com regras de lista de permissões
Quando um alerta for acionado por uma solicitação legítima, adicione-o à lista de permissões. A página de detalhes do alerta preenche previamente os campos da regra com valores extraídos do próprio alerta, permitindo ação direta sem necessidade de inserção manual de dados.
Para criar regras de lista de permissões baseadas em Malicious characteristics ou Specified parameters, atualize o agente RASP para a versão 0.5.2 ou posterior. Para instruções de atualização, consulte View the version of the RASP agent.
Adicionar um alerta à lista de permissões
Faça login no console do Security Center. Na barra de navegação superior, selecione a região dos ativos que deseja gerenciar: China ou Outside China.
No painel de navegação à esquerda, escolha Protection Configuration > Application Protection.
Na aba Attack Alerts, localize o alerta e escolha Handle > Create Protection Whitelist na coluna Actions.
-
No painel Create Protection Whitelist, configure as regras da lista de permissões e clique em OK.
O sistema preenche automaticamente os campos da regra com base nos detalhes do alerta. Esses valores criam regras precisas direcionadas ao padrão específico da solicitação.
Para ampliar o escopo — por exemplo, suprimir todos os alertas de um diretório inteiro em vez de um único arquivo — ajuste os campos Match Mode e Content to Match.
Exemplo: O alerta foi acionado por
/usr/local/tomcat/webapps/upload/1.jsp. Se todas as solicitações para o diretório/upload/forem legítimas, altere Match Mode para Prefix Match e defina Content to Match como/usr/local/tomcat/webapps/upload/.
Modos de correspondência:
|
Modo de correspondência |
Condição para não acionar alerta |
|
Exact Match |
O conteúdo transmitido corresponde exatamente ao valor em Content to Match. |
|
Partial Match |
O conteúdo transmitido contém a string definida em Content to Match. |
|
Prefix Match |
O conteúdo transmitido começa com a string especificada em Content to Match. |
|
Suffix Match |
O conteúdo transmitido termina com a string indicada em Content to Match. |
Após salvar, visualize e gerencie a regra na página Whitelists.
Gerenciar regras de lista de permissões
Visualizar regras de lista de permissões
Faça login no console do Security Center. Na barra de navegação superior, selecione a região dos ativos que deseja gerenciar: China ou Outside China.
No painel de navegação à esquerda, escolha Protection Configuration > Application Protection.
Na aba Attack Alerts, clique em Whitelists.
-
Na página Whitelists, visualize e gerencie as regras utilizando as seguintes ações:
Ativar ou desativar uma regra: Alterne o interruptor na coluna Rule Switch.
Editar uma regra: Clique em Edit na coluna Actions.
Excluir uma regra: Clique em Delete na coluna Actions.
Criar uma regra: Clique em Create Protection Whitelist. Consulte Criar regras de lista de permissões para mais detalhes.
Criar regras de lista de permissões
Criar uma regra diretamente pela página Whitelists permite aplicar uma única regra a múltiplos grupos de aplicações e tipos de ameaça simultaneamente, sendo mais eficiente do que adicionar alertas individualmente.
Faça login no console do Security Center. Na barra de navegação superior, selecione a região dos ativos que deseja gerenciar: China ou Outside China.
No painel de navegação à esquerda, escolha Protection Configuration > Application Protection.
Na aba Attack Alerts, clique em Whitelists.
Na página Whitelists, clique em Create Protection Whitelist.
-
No painel Create Protection Whitelist, configure os parâmetros da regra e clique em OK.
Parâmetro
Descrição
Rule Name
Nome descritivo para a regra de lista de permissões.
Allowlist Mode
Base da lista de permissões: Malicious Characteristics, Specified Parameters ou Request URL.
Threat Type
Tipo de ameaça a ser suprimido. Clique em Select para escolher no painel Threat Type.
Match Mode
Define como o conteúdo transmitido é comparado com Content to Match. Consulte a tabela de modos de correspondência acima.
Content to Match
Valor a ser correspondido, baseado nas Malicious Characteristics, Specified Parameters ou Request URL dos detalhes do alerta.
Destination Application Groups
Grupos de aplicações aos quais a regra se aplica. Clique em Select para escolher no painel Destination Application Groups.
Próximos passos
Ative o recurso de prevenção de webshell em memória para aprimorar suas capacidades gerais de detecção. Para mais informações, consulte Use the in-memory webshell prevention feature.