Security Center:Gerencie políticas de proteção

Grupos de políticas integrados

Para atender aos requisitos de segurança em diferentes cenários de negócios, a proteção de aplicação oferece regras de detecção em camadas e grupos de políticas de proteção integrados: Business First (grupo de regras flexíveis padrão), Normal Operations (grupo de regras padrão) e Protection First (grupo de regras restritas padrão).

Todas as regras dentro de um grupo de políticas integrado compartilham o mesmo modo de detecção. Por exemplo, todas as regras de ataque no grupo Business First (grupo de regras flexíveis padrão) usam o modo de detecção Loose. Use um grupo de regras integrado conforme necessário ou crie um grupo de regras personalizado.

Modos de detecção

Para equilibrar as taxas de falsos positivos e a força da proteção em diferentes cenários de negócios, a proteção de aplicação define vários modos de detecção: Loose, Standard e Strict. Esses três modos oferecem capacidade de proteção crescente e taxas de falsos positivos crescentes.

• Loose: Corresponde apenas a assinaturas de ataque conhecidas. Taxa de falsos positivos muito baixa.

• Standard (padrão): Corresponde a padrões de ataque comuns e aplica alguma inferência generalizada. Adequado para O&M diário.

• Strict: Detecta comportamentos de ataque mais ocultos. Adequado para cenários de suporte a grandes eventos, mas apresenta certo risco de falsos positivos.

Crie um grupo de políticas de proteção

Se nenhum dos grupos de políticas integrados atender às suas necessidades, crie um grupo personalizado. Para basear um novo grupo em uma configuração existente, clique em Copy na coluna Actions desse grupo.

1. Faça logon no Security Center console.

2. No painel de navegação à esquerda, escolha Protection Configuration > RASP. No canto superior esquerdo, selecione a região onde seu ativo está localizado: Chinese Mainland ou Outside Chinese Mainland.

3. Na aba Application Configurations, clique em Management Settings no canto superior direito.

4. No painel Management Settings, na aba Protection Policy Management, clique em Create Protection Policy Group.

5. No painel Create Protection Policy Group, insira um nome, selecione uma linguagem de aplicação e clique em Select à direita de Threat Type para configurar os tipos de detecção.

6. No painel Select Threat Type, selecione os tipos de detecção a serem incluídos, defina o Detection Mode para cada tipo e clique em OK.

   Por exemplo, se os alertas de injeção de SQL contiverem muitos falsos positivos, defina o modo de detecção para esse tipo como Loose.

   Os tipos de detecção disponíveis incluem Malicious Outbound Connection (risco médio), Expression Injection (alto risco), Arbitrary File Deletion (baixo risco), JNI Injection (alto risco), entre outros. Cada tipo inclui uma descrição e nível de risco para referência.

7. Clique em OK.

Adicionar uma regra de lista de permissões a partir de um alerta

Se um alerta for confirmado como falso positivo, adicione-o à lista de permissões de proteção para evitar que alertas semelhantes sejam gerados no futuro. Ao adicionar um alerta à lista de permissões, o sistema cria automaticamente uma regra a partir dos detalhes do alerta e a aplica ao grupo de aplicações que contém o processo afetado.

Para ver as etapas, consulte Add an alert to a whitelist.

Visualize e gerencie regras de lista de permissões

1. Faça logon no Security Center console.

2. No painel de navegação à esquerda, escolha Protection Configuration > RASP. No canto superior esquerdo, selecione a região onde seu ativo está localizado: Chinese Mainland ou Outside Chinese Mainland.

3. Na aba Application Configurations, clique em Management Settings no canto superior direito.

   Também é possível clicar em Protection Whitelist na aba Attack Alerts para visualizar a lista de regras de lista de permissões.

4. No painel Management Settings, na aba Protection Whitelist da aba Protection Policy Management, visualize a lista de regras de lista de permissões.

   Gerencie as regras de lista de permissões usando as seguintes operações:

   • Ativar ou desativar: Alterne o botão na coluna Rule Toggle para ativar ou desativar uma regra de lista de permissões.

   • Edite ou exclua: Clique em Edit ou Delete na coluna Actions para modificar ou excluir uma regra de lista de permissões.

Crie uma regra de lista de permissões manualmente

Uma regra criada manualmente permite configurar listas de permissões para vários tipos de detecção em múltiplos grupos de aplicações.

1. Faça logon no Security Center console.

2. No painel de navegação à esquerda, escolha Protection Configuration > RASP. No canto superior esquerdo, selecione a região onde seu ativo está localizado: Chinese Mainland ou Outside Chinese Mainland.

3. Na aba Application Configurations, clique em Management Settings no canto superior direito.

   Também é possível clicar em Protection Whitelist na aba Attack Alerts.

4. No painel Management Settings, na aba Protection Whitelist da aba Protection Policy Management, clique em Create Protection Whitelist.

5. No painel Create Protection Whitelist, configure os parâmetros da regra e clique em OK.

   A seguir estão descritos alguns dos parâmetros. Para outros parâmetros, consulte as descrições no console.

   • Match Mode: Selecione o método de correspondência para a regra de lista de permissões. Opções:

     • Exact Match: Suprime alertas quando o conteúdo transmitido é idêntico ao conteúdo de correspondência.

     • Partial Match: Suprime alertas quando o conteúdo transmitido contém o conteúdo de correspondência.

     • Prefix Match: Suprime alertas quando o conteúdo transmitido começa com o conteúdo de correspondência.

     • Suffix Match: Suprime alertas quando o conteúdo transmitido termina com o conteúdo de correspondência.

   • Content to Match: Defina o conteúdo de correspondência com base no método de correspondência selecionado. Use o valor de Malicious Characteristics, Specified Parameters ou Request URL da página de detalhes do alerta como conteúdo de correspondência.