Gerencie regras de acesso, incluindo listas de bloqueios, listas de permissões e políticas de acesso total, para obter controle refinado sobre o escopo de proteção de processos de servidor. Este recurso é ideal para cenários de O&M de segurança. - Security Center: Central de Documentação do Alibaba Cloud

As regras de acesso definem o escopo dos processos de servidor conectados ao Application Protection no modo de acesso automático. Configure três tipos de políticas: lista de bloqueios, lista de permissões e acesso total automático. Este tópico descreve a lógica de configuração, a prioridade e as instruções operacionais de cada regra. Essas regras são ideais para cenários de O&M de segurança que exigem controle refinado sobre o escopo de proteção e redução de falsos positivos.

Regras de lista de bloqueios e lista de permissões

Como as regras entram em vigor

As listas de bloqueios e de permissões aplicam-se apenas ao modo de acesso automático e não afetam o modo de acesso manual.
As listas de bloqueios têm prioridade maior que as listas de permissões. Se um processo corresponder às condições de ambas as listas, o Application Protection não o conecta.
Se configuradas antes da conexão de um processo, as listas de bloqueios e de permissões entram em vigor imediatamente. Caso a configuração ocorra após a conexão do processo, as regras passam a valer depois que ele for reiniciado ou durante o próximo acesso automático. A exclusão de uma regra da lista de bloqueios tem efeito imediato.

Casos de uso

Tipo de lista

Descrição

Caso de uso

Tipos de processo

Lista de bloqueios

Use uma lista de bloqueios para excluir processos específicos da proteção. Isso evita interferências em processos reconhecidamente seguros ou que não precisam de proteção, prevenindo problemas como sobrecarga de desempenho ou falsos positivos. O Application Protection não conecta nenhum processo que corresponda a uma regra da lista de bloqueios.
Para que a lista de bloqueios entre em vigor, atualize o agente RASP para a versão 1.0.5 ou posterior.

A maioria dos processos precisa de proteção, com poucas exceções.
O desempenho da aplicação tem prioridade maior que a proteção abrangente.

Processos que consomem muitos recursos, como bancos de dados
Processos de sistema confiáveis
Processos com problemas de compatibilidade
Processos de ambiente de teste

Lista de permissões

Use uma lista de permissões para proteger apenas um conjunto específico de processos. Essa abordagem é ideal para garantir a segurança de aplicações críticas com alta precisão.

O Application Protection conecta somente os processos que correspondem a uma regra da lista de permissões. Se nenhuma regra de lista de permissões ou de bloqueios for configurada, o Application Protection conectará automaticamente todos os processos do ativo.
Para que a lista de permissões entre em vigor, atualize o agente RASP para a versão 0.9.4 ou posterior.

Proteger apenas processos críticos para seguir o princípio do menor privilégio.

Processos de negócios altamente sensíveis

Reforce a segurança dos processos de negócios principais, como serviços de pagamento e dados de usuários, para eliminar pontos cegos de segurança. Por exemplo, escolha conectar apenas processos de transações financeiras, como payment_gateway e user_auth_service.
Requisitos de isolamento em ambientes híbridos

Em ambientes de multitenancy ou implantação híbrida, limite o escopo de proteção para definir limites de responsabilidade. Por exemplo, proteja apenas processos de contêiner pertencentes a um cliente específico, como docker-app-xxx, sem conectar processos de outros tenants.

Adicionar uma lista de bloqueios ou de permissões

Os passos a seguir descrevem como adicionar uma lista de bloqueios. O procedimento para adicionar uma lista de permissões é semelhante.

Faça logon no Security Center console.
No painel de navegação à esquerda, escolha Protection Configuration > RASP. No canto superior esquerdo do console, selecione a região onde seus ativos estão localizados: Chinese Mainland ou Outside Chinese Mainland.
Na aba Application Configurations, clique em Management Settings no canto superior direito.
No painel Management Settings, na aba Auto Onboarding Rules, clique na aba Blacklist e, em seguida, clique em Add Blacklist.

Na caixa de diálogo Add Blacklist, configure os parâmetros a seguir e clique em OK.

Parâmetro	Descrição
Rule Name	Insira um nome para a regra da lista de bloqueios.
Rule Toggle	A regra é ativada por padrão.
Effective Application Type	Selecione a linguagem da aplicação à qual a lista de bloqueios se aplica: Java ou PHP.
Match Condition	Selecione uma condição de correspondência para a regra da lista de bloqueios. Valores válidos: cmdline: Corresponde aos processos a serem excluídos com base em seus parâmetros de linha de comando. Os operadores de correspondência suportados são: contém, não contém, contém um de vários valores e não contém nenhum dos valores. Environment Variables: Corresponde aos processos a serem excluídos com base nas variáveis de ambiente acessadas. O único operador de correspondência suportado é igual a. -D Parameter: Corresponde aos processos a serem excluídos com base nas propriedades de sistema definidas na inicialização do programa Java. O único operador de correspondência suportado é igual a. Nota Esta opção está disponível apenas quando Effective Application Type está definido como Java. Container Name: Corresponde aos processos a serem excluídos com base no nome do contêiner ao qual pertencem. Os operadores de correspondência suportados são: contém, não contém, contém um de vários valores e não contém nenhum dos valores. Nota Esta opção está disponível apenas quando Effective Application Type está definido como PHP. Clique em Add Condition para adicionar múltiplas condições de correspondência. A relação lógica entre as condições é E, ou seja, um processo deve atender a todas as condições para corresponder à regra. Exemplos: Para excluir processos cujos parâmetros de inicialização contenham a string `tomcat`: Em Condition, selecione cmdline. Em Match Mode, selecione Include. Em Content to Match, insira tomcat. Para excluir processos cujos parâmetros de inicialização não contenham as strings `apache` ou `test`: Em Condition, selecione cmdline. Em Match Mode, selecione Does Not Contain Any Value. Em Content to Match, insira apache,test.
Match Mode	Selecione um operador de correspondência para a regra.
Match Field	Insira o campo para correspondência. Nota Este parâmetro é obrigatório apenas quando Match Condition está definido como Environment Variables ou -D Parameter.
Content to Match	Insira o conteúdo para correspondência.
Destination Application Groups	Selecione os grupos de aplicações aos quais esta regra da lista de bloqueios se aplica. O tipo de aplicação dos grupos selecionados deve corresponder ao tipo especificado em Effective Application Type.

Editar ou excluir uma lista de bloqueios ou de permissões

Faça logon no Security Center console.
No painel de navegação à esquerda, escolha Protection Configuration > RASP. No canto superior esquerdo do console, selecione a região onde seus ativos estão localizados: Chinese Mainland ou Outside Chinese Mainland.
Na aba Application Configurations, clique em Management Settings no canto superior direito.
No painel Management Settings, na aba Auto Onboarding Rules, acesse a subaba Blacklist ou Application Access Whitelist. Localize a regra que deseja gerenciar e clique em Edit ou Delete na coluna Actions.

Só é possível excluir uma regra se nenhum grupo de aplicações estiver utilizando-a. Antes de excluir uma regra, remova-a de todos os grupos de aplicações associados.

Acesso total automático (apenas processos Java)

Cenários suportados

Ao ativar o pagamento conforme o uso para o Application Protection, caso nenhuma vinculação personalizada sob demanda seja configurada, o sistema adiciona por padrão os processos Java de todos os seus ativos ao Application Protection para gerenciamento, utilizando o método Slow Access.

Se o Application Protection estiver ativado, mas nenhum processo estiver conectado, uma caixa de diálogo será exibida com duas opções: Automatic Full Access e Custom Access. Ao selecionar Automatic Full Access, o sistema utiliza o método Slow Access por padrão. Clique em Configure para alterar o método de acesso para Fast Access, Regular Access ou Slow Access.

Métodos de acesso

Método de acesso	Descrição
Fast Access	Recomendado para ambientes com poucos processos e baixos requisitos de estabilidade da aplicação. O tempo de instalação é curto.
Regular Access	Adequado para ambientes com quantidade moderada de processos e baixos requisitos de estabilidade da aplicação. O tempo de instalação é médio.
Slow Access	Projetado para cenários com grande volume de processos e altos requisitos de estabilidade da aplicação. O tempo de instalação é longo.

Interromper o acesso total automático

Após ativar o Automatic Full Access, interrompa o processo a qualquer momento. Acesse a aba Application Analysis em Protection Configuration. Em seguida, clique em Stop Accessing no aviso de status de acesso.

Importante

Após interromper o processo, não é possível iniciar o acesso total automático novamente. O Application Protection não conectará servidores com status de acesso Queuing. Servidores com status de acesso In Progress continuarão a instalação.

Depois de interromper o processo, clique em View Details no aviso para verificar o status de conexão dos processos Java em seus ativos.