Web Application Firewall:Web core protection rules

Tratamento de falsos positivos

1. No painel de navegação à esquerda, escolha Detection and Response > Security Reports.

   Nota

   Se você ativou o Log Service, também pode acesse Detection and Response > Log Service para visualize logs completos de solicitações.

2. Filtre os logs por Time, Protected Objects (o domínio/instância de service cloud acessado) e Action para localizar a solicitação bloqueada específica.

   Na página Security Reports, defina as condições de filtro: selecione um intervalo de tempo Custom, selecione o Domain/Instance alvo e defina a Action como Block para visualize as tendências de bloqueio de ataques e a distribuição de tipos de ataque no período especificado.

3. Se confirme que uma solicitação legítima foi bloqueada, localize-a nos Logs e clique em Suppress False Positive na coluna Actions para crie uma regra de lista de permissões e permitir a solicitação.

   Se notar que as solicitações compartilham características comuns (por exemplo, um endereço IP confiável aciona várias regras de proteção diferentes), recomendamos adicionar o endereço IP como uma Match Condition em uma única regra de lista de permissões. Isso é mais eficiente do que crie listas de permissões para cada entrada de log bloqueada individualmente. Para mais informações, consulte Whitelist.

Tratamento de falsos negativos

Se um ataque não for bloqueado pelo WAF, considere as seguintes causas comuns e soluções recomendadas:

• A solicitação não é processada pelo WAF

  • Causa: O certificado SSL ou porta de escuta configurada no WAF não corresponde ao do servidor de origem.Recomendação: Verifique se as configurações de certificado SSL e porta no WAF e no servidor de origem são consistentes.

  • Causa: Para integração via CNAME, o registro DNS não foi alterado corretamente, então o tráfego não é direcionado ao WAF.Recomendação: Confirme se o registro DNS aponta corretamente para o endereço CNAME fornecido pelo WAF.

  • Causa: Para integração via CNAME, o atacante contorna o WAF acessando diretamente o endereço IP do servidor de origem.

    Recomendação: No grupo de segurança do seu servidor, permita tráfego apenas dos endereços IP de back-to-origin do WAF.

  • Causa: Para integração de service cloud, a instância de service cloud adicionada ao WAF não é aquela para a qual o tráfego do domínio é realmente roteado.

    Recomendação: Confirme se a instância correta do service cloud foi adicionada ao WAF.

• A solicitação é processada pelo WAF, mas nenhuma regra a cobre

  O modelo de proteção padrão não cobre todos os tipos de ataque. Pode ser necessário ative outros módulos de proteção com base nas características do ataque:

  • Para ataques CC (floods HTTP de baixa a média frequência): Use CC Protection ou limitação de taxa custom rules.

  • Para ataques DDoS na camada de rede (alta frequência, alto volume): Use produtos Anti-DDoS.

  • Para scripts automatizados ou ataques de bots: Use Bot Management.

  • Para ataques com características específicas (como User-Agent fixo ou caminho de URL): Use custom rules.

  • Para ataques provenientes de um endereço IP de origem fixo: Use uma IP blocklist.

  • Para ataques de regiões ou países fora do escopo de negócios: Use Region Block.

  • Para ataques direcionados a APIs: Use API Security.

Manutenção rotineira

• Visualize um modelo de proteção: Clique em à esquerda do nome de um modelo para visualize as informações do mecanismo que ele contém.

• Ative ou desative um modelo de proteção: Use o interruptor de Status para ative ou desative um modelo.

• Edite um modelo de proteção: Clique em Edit na coluna Actions de um modelo para modifique suas Template Information, Engine Configuration ou Apply To.

• Exclua um modelo de proteção: Quando um modelo não for mais necessário, clique em Delete em sua coluna Actions e, em seguida, clique em Delete na caixa de diálogo de confirmação.

  Importante

  • Se um modelo de proteção personalizado for excluído, qualquer objeto protegido associado a ele será adicionado automaticamente ao modelo de proteção padrão.

  • Se o modelo de proteção padrão for excluído enquanto ainda contiver objetos protegidos, esses objetos deixarão de ser protegidos pelas regras de proteção essenciais.

FAQ

Como verifique se uma regra de proteção web essencial protege contra uma vulnerabilidade específica?

Para verifique se o Web Application Firewall (WAF) protege contra um tipo específico de vulnerabilidade, siga estas etapas:

1. Faça login no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF. No painel de navegação à esquerda, selecione Protection Config > Core Web Protection.

2. Na área Core Protection Rule, selecione o modelo de proteção desejado. Em seguida, clique em à esquerda do nome do modelo de proteção. Na coluna Actions, clique em Configure Engine.

3. Ajuste os critérios de busca e clique em Rule Name. Por exemplo, insira Openfire ou Fastjson para visualize as vulnerabilidades contra as quais o WAF protege. Atualmente, o WAF não suporta buscas por ID de vulnerabilidade.

4. Após encontrar uma vulnerabilidade que o WAF pode proteger, ajuste a Action e o Status conforme necessário. Para uma proteção eficaz, certifique-se de que a Action esteja definida como Block e o Status esteja ativado.

Como usar produtos de segurança da Alibaba Cloud para responder a vulnerabilidades importantes

Se uma vulnerabilidade importante for descoberta, utilize os seguintes produtos de segurança da Alibaba Cloud para proteção emergencial e correção:

• Security Center: Inventaria ativos de host, detecta vulnerabilidades de sistema, aplicação e emergenciais, e fornece sugestões de correção. Para algumas vulnerabilidades, correções com um clique estão disponíveis para reduzir o tempo de remediação. Para mais informações, consulte Manage vulnerabilities.

• Web Application Firewall (WAF): Protege o tráfego de service HTTP/HTTPS de seus sites e aplicações identificando características maliciosas. Após conectar seus ativos ao WAF, o sistema configure automaticamente regras de proteção web essenciais para bloquear tráfego de exploits comuns de vulnerabilidades importantes. Para mais informações sobre tipos de conexão, consulte Overview.

• Cloud Firewall: Por padrão, o Cloud Firewall ativa o Modo de Bloqueio para seu sistema de prevenção de intrusões (IPS) para detectar e bloquear tráfego de exploit de vulnerabilidades em tempo real. Após ative o firewall de Internet para seus ativos públicos, o firewall protege contra vulnerabilidades importantes conhecidas. Para mais informações sobre como ative o firewall, consulte Internet firewall.

Importante

Tanto o WAF quanto o Cloud Firewall fornecem proteção temporária usando patch virtual. Após conectar seus ativos ao WAF ou ative a proteção do Cloud Firewall, o product pode bloquear tráfego de exploit para vulnerabilidades suportadas sem necessidade de configuração adicional. Para obter uma lista de vulnerabilidades suportadas pelo WAF, consulte o FAQ anterior. No entanto, o patch virtual é apenas uma medida de proteção emergencial e não substitui a correção de vulnerabilidades. Corrija as vulnerabilidades usando o Security Center ou fazendo login no servidor para atualize componentes e instale patches oficiais. Esta é a única maneira de eliminar completamente a ameaça da vulnerabilidade.

É possível exportar regras de proteção web essenciais?

Não. O WAF não suporta a exportação de regras de proteção web essenciais.

Módulos de detecção suportados

As regras de proteção essenciais suportam os seguintes módulos de detecção, capazes de identificar e bloquear vários tipos de ataques contra aplicações web.

Tipo de ataque	Descrição
SQL Injection	Um ataque de injeção SQL envolve a inserção de código SQL malicioso em uma consulta para executar comandos de banco de dados não intencionais.
XSS	Um ataque de cross-site scripting (XSS) envolve a incorporação de scripts maliciosos em uma página web, fazendo com que sejam executados quando outros usuários visualizam a página.
Code Execution	Ataques de execução de código usam código malicioso injetado que é executado pelo servidor para atingir os objetivos do atacante.
CRLF Injection	Um ataque de injeção CRLF envolve a inserção de um retorno de carro (CR, \r) e uma alimentação de linha (LF, \n) em um cabeçalho HTTP para manipular respostas HTTP ou realizar divisão de resposta HTTP.
Local File Inclusion	Se a opção allow_url_include estiver ativada em um servidor, um atacante pode explorar funções PHP como include(), require(), include_once() e require_once() para incluir arquivos dinamicamente via URL. Se a source do arquivo não for estritamente validada, isso pode levar à leitura arbitrária de arquivos ou execução de comandos.
Remote File Inclusion	Um ataque de Remote File Inclusion (RFI) inclui um arquivo de um servidor remoto, permitindo que um atacante execute código malicioso no servidor local.
Webshell	Um webshell é um arquivo de script malicioso que, quando carregado ou injetado, permite que um atacante controle remotamente o servidor.
OS Command Injection	Um ataque de injeção de comando de SO envolve a incorporação de comandos maliciosos do sistema operacional em um programa, fazendo com que o servidor os execute.
Scanning Behavior	Refere-se ao comportamento e características de scanners de aplicações web. Essas ferramentas varrem automaticamente aplicações web para encontrar possíveis vulnerabilidades de segurança, como injeção SQL e XSS, gerando e enviando um grande número de solicitações para analisar as respostas da aplicação.
Logic Defect	Falhas de lógica de negócios são vulnerabilidades na implementação dos processos de negócios de uma aplicação. Essas falhas frequentemente não são preveníveis por validação de entrada tradicional e codificação de saída. Elas podem permitir que um atacante manipule o fluxo de trabalho normal da aplicação para obter acesso não autorizado ou realizar outras ações maliciosas.
Arbitrary File Read	Uma vulnerabilidade de leitura arbitrária de arquivos permite que um atacante leia qualquer arquivo no sistema, tipicamente através de um parâmetro de caminho de arquivo em uma solicitação HTTP. Ao explorar essa vulnerabilidade, um atacante pode acesse informações sensíveis como arquivos de configuração, credenciais e dados pessoais.
Arbitrary File Download	Uma vulnerabilidade de download arbitrário de arquivos é semelhante à leitura arbitrária, mas permite que um atacante baixe qualquer arquivo do sistema. Isso pode levar ao vazamento de informações sensíveis e pode até permitir que um atacante obtenha um backup completo do sistema para análise offline.
XXE Injection	Uma vulnerabilidade XXE explora a forma como os analisadores XML processam entidades externas, permitindo que um atacante leia arquivos do sistema, execute solicitações do lado do servidor (SSRF) ou cause uma negação de serviço (DoS). Esse ataque é tipicamente realizado através de entrada XML que contém uma entidade externa maliciosa.
Cross-site Request Forgery	Um ataque CSRF engana um usuário autenticado para enviar uma solicitação não autorizada a uma aplicação web. Tipicamente, o atacante induz o usuário a clique em um link malicioso ou visitar uma página maliciosa, que então executa uma ação em nome do usuário, como alterar uma configuração ou enviar um formulário.
Expression Injection	Um ataque de injeção de expressão envolve a incorporação de uma expressão maliciosa que é executada pelo servidor.
.NET Deserialization	Desserialização é o processo de converter dados de um formato (como JSON, XML ou binário) de volta para um objeto. Em aplicações .NET, desserialização insegura pode levar à execução arbitrária de código. Se um atacante conseguir controlar os dados desserializados, ele poderá injetar dados maliciosos e executar código arbitrário.
Java Deserialization	Um ataque de desserialização Java envolve a desserialização de um objeto malicioso, fazendo com que o servidor execute código malicioso no processo.
PHP Deserialization	Um ataque de desserialização PHP envolve a desserialização de um objeto malicioso, fazendo com que o servidor execute código malicioso no processo.
SSRF	Um ataque de Server-Side Request Forgery (SSRF) forja uma solicitação do lado do servidor, fazendo com que o servidor acesse recursos internos ou externos.
Path Traversal	Um ataque de path traversal envolve a injeção de sequências de caminho relativo (como ../) para acesse arquivos no servidor que não deveriam ser publicamente acessíveis.
Protocol Non-compliance	Violação de protocolo refere-se à manipulação maliciosa de protocolos (como HTTP ou HTTPS) para lançar um ataque ou contornar mecanismos de segurança.
Arbitrary File Upload	Um ataque de upload arbitrário de arquivos envolve o envio de um arquivo malicioso que é subsequentemente executado pelo servidor.