Web Application Firewall:Domain asset center

Visão geral

Com o crescimento do seu negócio, sites não autorizados ou ambientes de teste esquecidos podem acumular ativos "zumbis" sem gerenciamento. Esses ativos geralmente executam componentes desatualizados e se tornam vetores de ataque que contornam as defesas de perímetro e comprometem as redes internas. Para mitigar esse risco, o WAF oferece identificação global de ativos:

• Descoberta e mapeamento abrangentes: Ao correlacionar configurações de service de domínio da Alibaba Cloud, resolução de DNS e certificados SSL, o WAF descobre recursos de domínio tanto na Alibaba Cloud quanto fora dela (incluindo outros provedores e data centers on-premises). Isso elimina pontos cegos causados por proteções isoladas. A combinação de sondagem ativa e análise passiva identifica com precisão middlewares e frameworks de desenvolvimento, gerenciando riscos de segurança na cadeia de suprimentos.

• Avaliação de risco e integração de proteção: O WAF avalia os níveis de risco dos domínios e calcula pontuações de segurança combinando análise de tráfego com a inteligência de ameaças mais recente. Assim, você identifica rapidamente alvos de alto risco, define prioridades de proteção e ativa a defesa prontamente para evitar comprometimento de domínios.

Ativar o Asset Center

1. Faça login no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, clique em Onboarding. Na aba CNAME Record, clique em Asset Center à direita.

3. Na página Asset Center, clique em Enable Now. Para instâncias do WAF no modelo pagamento conforme o uso, a ativação deste recurso gera cobranças adicionais. Para detalhes de preços, consulte Pay-as-you-go billing.

4. Ao ativar o Asset Center pela primeira vez, o WAF cria automaticamente a função vinculada ao service AliyunServiceRoleForWAF para acessar recursos em outros serviços cloud. Visualize essa função na página Roles no console do RAM.

5. Após a conclusão da autorização, o WAF detecta automaticamente os ativos de domínio da conta Alibaba Cloud atual e exibe os resultados no Asset Center.

6. Para melhorar a precisão da detecção, ative a Active Fingerprint Scanning no canto superior direito. Com esse recurso ativado, o WAF identifica informações de fingerprint dos ativos conectados combinando aprendizado passivo de tráfego com sondagem ativa. As varreduras ativas ocorrem a cada duas semanas. Mantenha este recurso sempre ativado.

Adicionar um ativo

Caso um domínio raiz que você deseja monitorar não apareça na lista de ativos, adicione-o manualmente.

1. Na página Asset Center, acesse a aba Overview e clique em Add Asset.

2. Na caixa de diálogo Add Asset, insira o nome de domínio e conclua a verificação de propriedade.

   • Validação DNS (recomendado): Adicione o registro TXT fornecido pelo WAF no provedor de DNS do seu domínio.

   • Validação por arquivo: Faça upload do arquivo de verificação fornecido pelo WAF em um diretório raiz especificado no seu servidor de origem. É necessário ter acesso ao servidor de origem e configure uma política de grupo de segurança que permita o acesso de todos os endereços IP, para que o WAF possa alcançar o arquivo de verificação pela internet.

   Validação DNS

   1. Na área de prompt de verificação, clique na aba Method 1: DNS Record.

   2. No seu provedor de DNS, adicione um registro TXT utilizando o Record Type, Hostname e Record Value fornecidos no console do WAF.

      Se você utiliza o Alibaba Cloud DNS, siga estas etapas. Caso utilize outro provedor de DNS, siga os procedimentos específicos do sistema deles.

      1. Na página Public Zone, localize o nome de domínio primário desejado e clique em Settings na coluna Actions.

      2. Clique em Add Record, configure os parâmetros abaixo e clique em OK. Os demais parâmetros podem permanecer com os valores padrão.

         • Record Type: Selecione TXT.

         • Hostname: Copie e insira o prefixo do nome de domínio. Exemplo: verification.

         • Record Value: Copie e insira o valor do registro gerado pelo WAF. Exemplo: verify_8fca29dec226****.

   3. Aguarde a propagação do registro TXT. Um novo registro TXT entra em vigor imediatamente. Se você modifique um registro TXT existente, a alteração geralmente leva cerca de 10 minutos para propagar. O tempo exato depende do TTL (Time to Live) configurado nas definições de DNS do seu domínio. O TTL padrão é de 10 minutos.

      Nota

      • Vários valores de registro TXT podem coexistir sob o mesmo hostname sem afetar a verificação do WAF. O WAF exige apenas que o valor de verificação correto esteja presente entre os registros.

      • Para verificação de subdomínio (como oa.example.com), defina o Hostname como verification. O domínio completo de verificação será verification.oa.example.com.

      • Em certos ambientes de rede (como redes universitárias), a propagação de DNS pode demorar mais que o normal. Recomendamos usar uma ferramenta de consulta DNS de terceiros para confirme que o registro TXT foi propagado antes de clicar em Verify no console do WAF.

   4. Retorne ao console do WAF e clique em Verify.

      • Se a mensagem The verification succeeds. for exibida, a propriedade do seu domínio está verificada.

      • Caso seja exibida a mensagem Verification failed, execute as etapas a seguir para solucionar o problema:

        1. Verifique o registro TXT: Certifique-se de que o hostname e o valor do registro correspondem às informações no console do WAF. Se não coincidirem, exclua o registro incorreto, adicione-o novamente e refaça a verificação.

        2. Aguarde a entrada em vigor do registro DNS: Um registro DNS pode não entrar em vigor imediatamente após a configuração. O tempo de propagação depende do TTL definido no servidor de nomes de domínio. Aguarde 10 minutos e verifique novamente.

        3. Altere o método de verificação: Se a verificação falhar várias vezes, tente o Method 2: File validation.

   Validação por arquivo

   1. Na área de prompt de verificação, clique na aba Method 2: Verification File.

   2. Clique no link para baixe o arquivo de verificação.

      Importante

      • O arquivo de verificação é válido por três dias após o download. Se você não concluir a validação por arquivo nesse período, baixe o arquivo novamente.

      • Não modifique o arquivo de verificação. Por exemplo, não edite nem renomeie o arquivo.

      • O WAF acessa o servidor de origem com base no tipo de protocolo selecionado. Garanta que as regras de grupo de segurança ou firewall do seu servidor de origem permitam o tráfego correspondente:

        • Se selecionar HTTP, permita tráfego TCP de entrada na porta 80 proveniente de 0.0.0.0/0.

        • Se selecionar HTTPS, permita tráfego TCP de entrada na porta 443 proveniente de 0.0.0.0/0.

   3. Faça upload do arquivo de verificação no diretório raiz do seu site no servidor de origem. O servidor de origem pode ser uma instância do ECS (Elastic Compute Service), um bucket do OSS (Object Storage Service), uma instância CVM (Cloud Virtual Machine), um bucket COS (Cloud Object Storage) ou uma instância EC2 (Elastic Compute Cloud).

      Nota

      Se adicionar um nome de domínio curinga como *.aliyun.com, você deve fazer upload do arquivo de verificação no diretório raiz de aliyun.com.

      • Diretório raiz padrão de um servidor Nginx: /usr/share/nginx/html

      • Diretório raiz padrão de um servidor IIS: C:\inetpub\wwwroot

   4. Retorne ao console do WAF e clique em Verify.

      • Se a mensagem The verification succeeds. for exibida, a propriedade do seu domínio está verificada.

      • Caso seja exibida a mensagem Verification failed, solucione o problema com base na mensagem de erro:

        Problema	Solução
        Impossível acessar o nome de domínio	Verifique a resolução de DNS do nome de domínio para garantir que existe um registro DNS apontando para o servidor de origem. Para Alibaba Cloud DNS, consulte Add a DNS record. Verifique as regras de grupo de segurança ou firewall do servidor de origem para garantir que requisições da internet são permitidas. Para grupos de segurança do ECS, consulte Add a security group rule.
        Arquivo de verificação inexistente	Faça upload do arquivo de verificação no servidor de origem novamente.
        Conteúdo do arquivo incorreto	No servidor de origem do seu domínio, exclua o arquivo de verificação incorreto. Faça upload do arquivo de verificação novamente.

   5. Uma regra de grupo de segurança que permite acesso de todos os endereços IP (0.0.0.0/0) representa um risco de segurança. Após a verificação de propriedade, remova a regra temporária 0.0.0.0/0 para manter a segurança do seu servidor.

3. Após concluir a configuração, clique em Add. Os ativos adicionados manualmente aparecem na lista do Asset Center no dia seguinte (T+1).

Visualizar detalhes do ativo

Na página Asset Center, visualize os seguintes detalhes dos seus ativos de domínio:

• Visão geral: Localizada no topo da página, esta seção exibe estatísticas de ativos de domínio da conta Alibaba Cloud atual, incluindo Second-level Domain Names, Subdomains e Unprotected Subdomains (subdivididos em níveis de risco alto, médio e baixo).

• Visão geral do domínio raiz: Localizada na área de lista na parte inferior da página, esta seção exibe o Second-level Domain Name juntamente com seu IP Address, a quantidade de subdomínios protegidos pelo WAF e a quantidade de subdomínios ainda não protegidos. Insira palavras-chave na caixa de pesquisa acima da lista para consultar um domínio raiz específico.

• Detalhes do domínio: Clique no ícone à esquerda de um domínio raiz para visualizar sua lista de subdomínios. Também é possível filtrar subdomínios usando a caixa de pesquisa. Cada entrada de subdomínio inclui:

  • IP Address: O endereço IP ou CNAME para o qual o domínio resolve.

  • Fingerprint: Informações de fingerprint do servidor web, identificadas por meio de análise passiva de tráfego e varredura ativa de fingerprint. Para visualizar essas informações, garanta que a Active Fingerprint Scanning esteja ativada no canto superior direito.

  • Severity: O nível de risco cloud do domínio, avaliado com base nas tendências de ataque e dados de inteligência de ameaças dos últimos 30 dias.

  • Status: Indica se o domínio está protegido pelo WAF. Para ativar a proteção, consulte Add a domain to WAF via CNAME.

  • Details: Eventos de ameaça específicos e registros de informações do subdomínio.

Baixar detalhes do ativo

1. Na página Asset Center, acesse a aba Overview, selecione os domínios raiz a serem exportados e clique no ícone no canto superior direito.

2. Acesse a aba Export Record e clique em Download na coluna Actions do arquivo desejado.

Limitações

• Details: Disponível apenas para instâncias do WAF nos modelos pagamento conforme o uso, assinatura Enterprise Edition e Flagship Edition.

• Download de ativos: Disponível apenas para instâncias do WAF nos modelos assinatura Enterprise Edition e Flagship Edition, sendo obrigatório o uso de uma conta primária da Alibaba Cloud.