O agente Runtime Application Self Protection (RASP) monitora sua aplicação em tempo de execução. Ele usa análise semântica e verificações de linha de base comportamental para detectar ameaças com baixa taxa de falsos positivos. A maioria dos alertas gerados indica ataques reais. Este tópico explica como revisar as evidências do alerta, decidir se ele é um verdadeiro positivo e suprimir falsos positivos com regras de lista de permissões.
Pré-requisitos
Antes de começar, verifique se você tem:
Application Protection ativado no Security Center
Acesso ao console do Security Center
(Opcional) Agente RASP versão 0.5.2 ou posterior, necessário para configurar regras de lista de permissões com base em características maliciosas ou parâmetros de entrada. Reinicie a aplicação protegida para atualizar automaticamente para a versão mais recente.
Revisar um alerta e responder
O exemplo a seguir descreve um alerta acionado pelo upload de um arquivo malicioso.
Faça login no console do Security Center. Na barra de navegação superior, selecione a região dos ativos que deseja gerenciar: China ou Outside China.
No painel de navegação à esquerda, escolha Protection Configuration > Application Protection.
Na aba Attack Alerts, localize o alerta e clique em Details na coluna Actions.
Na página de detalhes do alerta, examine as evidências e decida se o alerta é um verdadeiro positivo.
Entender as evidências do alerta
A página de detalhes divide-se em quatro seções. Revise cada uma para determinar se o alerta representa um ataque real ou um falso positivo.
|
Seção |
Campo |
O que indica |
Como utilizar |
|
Basic alert |
Attacker IP address |
Endereço IP de origem que acessou sua aplicação. |
Verifique se este IP pertence a um sistema interno conhecido, usuário confiável ou ferramenta de varredura de segurança. IPs externos inesperados exigem investigação adicional. |
|
Basic alert |
Vulnerability name |
Vulnerabilidade explorada pelo atacante, se aplicável. |
Clique no ID da vulnerabilidade para visualizar os detalhes. Corrija a vulnerabilidade para reduzir a superfície de ataque. |
|
Advanced alert |
Malicious characteristics |
Dados maliciosos enviados à sua aplicação. Neste exemplo: uma solicitação de upload de |
Determine se esta solicitação é um comportamento esperado. Em caso afirmativo, adicione-a a uma lista de permissões. Caso contrário, trate como um ataque real. |
|
Advanced alert |
Trigger function |
Função sensível à segurança na aplicação que acionou o alerta. |
Identifique qual função interna esteve envolvida. |
|
Advanced alert |
Specified parameters |
Objeto JSON que mostra o comportamento e os logs de eventos gerados durante o processamento da solicitação pela aplicação. |
Examine os pares chave-valor em busca de padrões suspeitos. |
|
Advanced alert |
Stack calling |
Pilha de chamadas no momento do evento, registrando a sequência de chamadas de função. |
Rastreie o caminho de execução para entender como o atacante chegou ao código vulnerável. |
|
More information |
Request URL |
Informações sobre a solicitação HTTP que acessou a aplicação. |
Verifique se a solicitação veio de uma fonte legítima. Se não, aplique controle de acesso ou bloqueie solicitações dessa origem. |
Consulte o resumo gerado por IA na seção Alert Analysis para obter um indicador adicional sobre se o alerta é um verdadeiro positivo.
Responder com base na avaliação
Após revisar as evidências, tome medidas conforme o alerta seja um ataque real e o modo de proteção ativo:
|
Cenário |
Monitor mode |
Block mode |
|
Ataque real |
A solicitação não foi bloqueada. Localize e exclua imediatamente quaisquer arquivos maliciosos. |
O ataque foi bloqueado e o arquivo não foi gravado no servidor. Nenhuma limpeza imediata é necessária. |
|
Falso positivo |
Adicione o alerta a uma lista de permissões para suprimir alertas semelhantes. |
Adicione o alerta a uma lista de permissões para suprimir alertas semelhantes. |
Suprimir falsos positivos com regras de lista de permissões
Se uma solicitação legítima acionar um alerta, adicione-o a uma lista de permissões. A página de detalhes do alerta preenche previamente os campos da lista de permissões com valores do próprio alerta, permitindo ação direta sem inserção manual de dados.
Para criar regras de lista de permissões com base em Malicious characteristics ou Specified parameters, atualize o agente RASP para a versão 0.5.2 ou posterior. Para instruções de atualização, consulte Visualizar a versão do agente RASP.
Adicionar um alerta a uma lista de permissões
Faça login no console do Security Center. Na barra de navegação superior, selecione a região dos ativos que deseja gerenciar: China ou Outside China.
No painel de navegação à esquerda, escolha Protection Configuration > Application Protection.
Na aba Attack Alerts, localize o alerta e escolha Handle > Add to Whitelist na coluna Actions.
-
No painel Add to Whitelist, configure as regras da lista de permissões e clique em OK.
O sistema preenche previamente os campos da regra com base nos detalhes do alerta. Esses valores criam regras precisas direcionadas ao padrão de solicitação específico.
Para ampliar o escopo — por exemplo, suprimir todos os alertas de um diretório inteiro em vez de um único arquivo — ajuste os campos Match Mode e Content to Match.
Exemplo: O alerta foi acionado por
/usr/local/tomcat/webapps/upload/1.jsp. Se todas as solicitações para o diretório/upload/forem legítimas, altere Match Mode para Prefix Match e defina Content to Match como/usr/local/tomcat/webapps/upload/.
Modos de correspondência:
|
Modo de correspondência |
Quando nenhum alerta é acionado |
|
Exact Match |
O conteúdo transmitido corresponde exatamente ao valor em Content to Match. |
|
Partial Match |
O conteúdo transmitido contém a string em Content to Match. |
|
Prefix Match |
O conteúdo transmitido começa com a string em Content to Match. |
|
Suffix Match |
O conteúdo transmitido termina com a string em Content to Match. |
Após salvar, visualize e gerencie a regra na página Whitelists.
Gerenciar regras de lista de permissões
Visualizar regras de lista de permissões
Faça login no console do Security Center. Na barra de navegação superior, selecione a região dos ativos que deseja gerenciar: China ou Outside China.
No painel de navegação à esquerda, escolha Protection Configuration > Application Protection.
Na aba Attack Alerts, clique em Whitelists.
-
Na página Whitelists, visualize e gerencie as regras usando as seguintes ações:
Ativar ou desativar uma regra: Alterne o interruptor na coluna Rule Switch.
Editar uma regra: Clique em Edit na coluna Actions.
Excluir uma regra: Clique em Delete na coluna Actions.
Criar uma regra: Clique em Configure Whitelist. Consulte Criar regras de lista de permissões para obter detalhes.
Criar regras de lista de permissões
Criar uma regra de lista de permissões na página Whitelists permite aplicar uma única regra a vários grupos de aplicações e tipos de ameaça simultaneamente. Isso é mais eficiente do que adicionar alertas individualmente.
Faça login no console do Security Center. Na barra de navegação superior, selecione a região dos ativos que deseja gerenciar: China ou Outside China.
No painel de navegação à esquerda, escolha Protection Configuration > Application Protection.
Na aba Attack Alerts, clique em Whitelists.
Na página Whitelists, clique em Configure Whitelist.
-
No painel Configure Whitelist, configure os parâmetros da regra e clique em OK.
Parâmetro
Descrição
Rule Name
Nome descritivo para a regra da lista de permissões.
White Mode
Base para a lista de permissões: Malicious Characteristics, Specified Parameters ou Request URL.
Threat Type
Tipo de ameaça a ser suprimido. Clique em Select para escolher no painel Threat Type.
Match Mode
Modo de comparação do conteúdo transmitido com Content to Match. Consulte a tabela de modos de correspondência acima.
Content to Match
Valor a ser correspondido, com base nas Malicious Characteristics, Specified Parameters ou Request URL dos detalhes do alerta.
Destination Application Groups
Grupos de aplicações aos quais a regra se aplica. Clique em Select para escolher no painel Destination Application Groups.
Próximos passos
Ative o recurso de prevenção de webshell em memória para aprimorar suas capacidades gerais de detecção. Para mais informações, consulte Usar o recurso de prevenção de webshell em memória.