O mecanismo de regras de proteção defende seu site contra ataques web comuns, incluindo injeção SQL, cross-site scripting (XSS), execução remota de código e ataques de webshell. Esta página explica como configurar o mecanismo para o seu tráfego, interpretar os resultados da proteção e agir quando solicitações legítimas forem bloqueadas.
O mecanismo de regras de proteção não cobre invasões de servidor causadas por problemas de segurança do host, como acesso não autorizado ao ApsaraDB for Redis ou ApsaraDB RDS for MySQL.
Como funciona
Ao adicionar um site ao WAF, o mecanismo de regras de proteção é ativado por padrão e aplica o grupo de regras Medium. O sistema avalia as solicitações recebidas com base no grupo de regras ativo. Dependendo do modo selecionado:
Block — O WAF bloqueia as solicitações correspondentes e registra o ataque no log.
Warn — O WAF registra o ataque no log, mas permite a passagem da solicitação.
Configure o mecanismo de regras de proteção
Acesse a página Website Protection para visualizar e atualizar as configurações do Protection Rules Engine. Para obter instruções passo a passo, consulte Configure the protection rules engine.
Etapa 1: Escolha um grupo de regras
Selecione o grupo de regras adequado ao seu tráfego e à sua tolerância a falsos positivos.
|
Grupo de regras |
Descrição |
Compromisso |
|
Loose rule group |
Bloqueia ataques comuns a aplicações web |
Menor cobertura de detecção; menor taxa de falsos positivos |
|
Medium rule group (padrão) |
Bloqueia ataques comuns a aplicações web de forma padrão (ataques podem contornar políticas de proteção) |
Detecção equilibrada para ataques web comuns |
|
Strict rule group |
Bloqueia ataques a aplicações web de forma rigorosa (ataques podem contornar políticas de proteção complexas) |
Correspondência mais agressiva; maior risco de falsos positivos |
Comece com o Medium Rule Group padrão. Mude para Strict somente após validar que o tráfego normal não foi afetado no modo Warn (consulte a Etapa 2), pois os padrões de correspondência mais amplos do grupo Strict têm maior probabilidade de sinalizar solicitações legítimas.
Caso utilize o WAF Business ou Enterprise na China continental, ou o WAF Enterprise fora da China continental, você também pode customize protection rule groups para combinar regras conforme suas necessidades específicas.
Etapa 2: Validar no modo Warn antes de bloquear
Defina o Mode como Alert antes de ativar o bloqueio. Nesse modo, o WAF registra possíveis ataques no log sem afetar o tráfego, o que permite identificar falsos positivos antes que impactem os usuários. Manter o modo Warn ativo por uma ou duas semanas proporciona diversidade suficiente ao tráfego — incluindo solicitações de casos extremos — para revelar padrões que seriam bloqueados.
Após uma ou duas semanas, revise os logs de ataque na aba Web Intrusion Prevention:
Se nenhum tráfego normal aparecer nos logs, defina o Mode como Block.
Se o tráfego normal estiver sendo sinalizado, trate os falsos positivos antes de mudar para Block (consulte Tratar falsos positivos).
Se você adicionar o phpMyAdmin e fóruns de tecnologia de desenvolvimento ao WAF para proteção, o WAF poderá bloquear tráfego normal. Caso isso ocorra, recomendamos entrar em contato com os especialistas em segurança da Alibaba Cloud para resolver o problema.
Etapa 3: Evitar acionar regras de detecção na aplicação
Certos comportamentos da aplicação aumentam o risco de falsos positivos, independentemente do grupo de regras. Evite os seguintes padrões no tráfego normal de negócios:
Transmitir instruções SQL brutas ou código JavaScript nos parâmetros de solicitação HTTP.
Utilizar palavras-chave SQL como
UPDATEouSETem caminhos de URL — por exemplo,www.example.com/abc/update/mod.php?set=1.Fazer upload de arquivos maiores que 50 MB pelo navegador. Utilize o Object Storage Service (OSS) como alternativa.
Visualize resultados da proteção
Após ativar o mecanismo de regras de proteção, visualize os resultados em Security Report > Web Security > aba Web Intrusion Prevention.
Essa aba exibe registros de ataques dos últimos 30 dias, com gráficos e uma lista detalhada. Para inspecionar um evento específico:
Selecione Protection Rules Engine no filtro.
Localize o registro de ataque e clique em View Details.
A figura a seguir mostra um exemplo de solicitação de injeção SQL bloqueada pelo WAF.
Tratar falsos positivos
Se o WAF bloquear tráfego legítimo, recomendamos configurar uma lista de permissões para as URLs bloqueadas na seção Web Intrusion Prevention e, em seguida, entrar em contato com os especialistas em segurança da Alibaba Cloud para encontrar uma solução.
Identificar a URL bloqueada. Localize a solicitação específica nos logs de ataque na aba Web Intrusion Prevention e anote qual URL está sendo bloqueada.
Configure uma lista de permissões para a URL afetada. Adicione a URL à lista de permissões na seção Web Intrusion Prevention. Isso isenta essas solicitações da inspeção do mecanismo sem desativar a proteção para o restante do site. Para obter instruções, consulte Configure a whitelist for web intrusion prevention.
Entrar em contato com os especialistas em segurança da Alibaba Cloud. Se a lista de permissões não resolver totalmente o problema, ou se o escopo de falsos positivos for amplo, entre em contato com os especialistas em segurança da Alibaba Cloud para análise e uma solução personalizada.
Acompanhar as atualizações de regras
O WAF atualiza as regras de proteção e publica boletins para lidar com vulnerabilidades conhecidas e de dia zero. Para verificar as atualizações mais recentes, acesse a página Service Information. Para obter instruções, consulte View service information.
Ataques web possuem mais de uma prova de conceito (POC). Os especialistas em segurança da Alibaba Cloud analisam minuciosamente os princípios das vulnerabilidades para garantir que as regras de proteção publicadas cubram todas as vulnerabilidades divulgadas e não divulgadas.