Quando sua aplicação web é alvo de ataques provenientes de endereços IP específicos, utilize o módulo de lista de bloqueios de IP do WAF para bloquear esses IPs e proteger seus serviços.
Cenários aplicáveis
O módulo de lista de bloqueios de IP do WAF é destinado a cenários em que você precisa bloquear com precisão IPs maliciosos conhecidos ou faixas de IP específicas.
-
Cenários recomendados
Bloqueio de fontes de ataque conhecidas: Quando a análise de logs ou exercícios de segurança confirmam que um IP específico é um scanner, crawler, ferramenta de força bruta ou nó de botnet, adicione-o à lista de bloqueios para barrar o tráfego diretamente.
Bloqueio emergencial temporário: Ao enfrentar um ataque repentino de um número reduzido de IPs fixos, crie rapidamente uma regra de lista de bloqueios como medida defensiva inicial enquanto conduz uma análise mais aprofundada.
Restrições de conformidade ou regionais: Se sua organização precisa atender a requisitos de soberania de dados ou aplicar restrições de acesso regional, e basta bloquear faixas de IP específicas, use o módulo de lista de bloqueios de IP.
-
Cenários não recomendados
Atacantes com IPs dinâmicos: Uma lista de bloqueios de IP é uma defesa ineficaz contra ataques originados de fontes dinâmicas, como IPs de cliente não fixos, pools de IP dinâmicos, proxies públicos (como em cenários de ataque CC) ou cloud functions. Recomendamos que você também utilize os módulos CC Protection ou Custom Rules - Rate Limiting.
Diferenciação de comportamento de usuários por detalhes da requisição: Se você precisa tratar requisições de forma diferente com base em caminhos, parâmetros ou cabeçalhos, o módulo de lista de bloqueios de IP não atende a essa necessidade. Use o módulo custom rule.
Conceitos-chave
IP Address Blacklist: Um módulo de proteção dentro do Web Core Protection. Antes de ativar este módulo, crie um modelo de proteção. O sistema suporta múltiplos modelos de proteção.
-
Modelo de proteção: Um conjunto de regras de proteção que define lógica e escopo específicos. Um modelo de proteção é composto por três partes: tipo de modelo, regras de proteção e objetos efetivos.
-
Tipo de modelo: Especifique o tipo de modelo ao criar um modelo de proteção. O tipo não pode ser alterado após a criação. Existem dois tipos de modelo:
Tipo de modelo
Descrição
Cenário aplicável
Modelo de proteção padrão
Um modelo padrão se aplica automaticamente a todos os objetos protegidos. Consulte Conceitos-chave para mais detalhes.
É possível excluir manualmente objetos específicos (definindo-os como "Not Effective").
O módulo de lista de bloqueios de IP permite a criação de apenas um modelo de proteção padrão.
Implante regras de proteção gerais que precisam ser aplicadas globalmente.
Modelo de proteção personalizado
Especifique manualmente os objetos protegidos ou grupos de objetos para que o modelo tenha efeito.
Implante regras de proteção granulares para serviços específicos (como APIs de login ou pagamento).
-
Regra de proteção: Define a lógica de detecção e as ações de resposta específicas. Um modelo de proteção pode conter várias regras de proteção. Cada regra é composta por duas partes:
Lista de bloqueios de IP: Especifica os endereços IP de cliente ou faixas de IP a bloquear ou monitorar.
Rule Action: Define a ação a ser executada quando uma requisição corresponde à regra. Suporta as ações Block e Monitor.
-
Objetos efetivos: Especifica os alvos aos quais o modelo de proteção se aplica. Por meio das configurações de objetos efetivos, as regras de proteção são aplicadas a objetos protegidos ou grupos de objetos protegidos específicos. Um único objeto protegido ou grupo de objetos pode estar associado a vários modelos de proteção.
Objeto protegido: Cada nome de domínio ou instância de cloud service conectada ao WAF gera automaticamente um objeto protegido.
Grupo de objetos protegidos: Você pode adicionar vários objetos protegidos a um grupo para gerenciamento centralizado.
-
Procedimento
Antes de começar, verifique se os objetos protegidos existem (seus serviços web estão conectados ao WAF). Caso ainda não tenha conectado seus serviços, consulte Connect web services to WAF.
Faça login no console do WAF 3.0. Na barra de navegação superior, selecione o grupo de recursos e a região da sua instância do WAF (Chinese Mainland ou Outside Chinese Mainland). No painel de navegação à esquerda, escolha .
Etapa 1: Configure o tipo de modelo de proteção
Na página Core Web Protection, acesse a seção IP Address Blacklist e clique em Create Template. Em seguida, configure os parâmetros a seguir.
Template Name: Insira um nome para o modelo.
-
Save as Default Template: O módulo de lista de bloqueios de IP permite apenas um modelo de proteção padrão, que só pode ser definido durante a criação de um novo modelo.
Sim: Não é necessário configurar Apply To. Um modelo padrão se aplica automaticamente a todos os objetos protegidos. Consulte Conceitos-chave para mais detalhes.
Não: Configure Apply To para especificar manualmente os objetos protegidos ou grupos de objetos para que o modelo tenha efeito.
Etapa 2: Adicione regras de proteção ao modelo
Na seção Rule Configuration, clique em Create Rule e configure os parâmetros a seguir.
Rule Name: Insira um nome para a regra.
-
IP Address Blacklist: Especifique os endereços IP de cliente ou faixas de IP a bloquear ou monitorar. Siga estas orientações:
Suporta endereços IPv4 e IPv6 (por exemplo,
1.1.XX.XXe2001:XXXX:ffff:ffff:ffff:ffff:ffff:ffff).Suporta blocos CIDR IPv4 e IPv6 (por exemplo,
1.1.XX.XX/16e 2001:XXXX:XXXX:XXXX::/64).Pressione Enter após inserir cada endereço IP.
Uma única regra de proteção suporta até 200 endereços IP. Para adicionar mais, crie várias regras de proteção.
-
Rule Action: Selecione a ação a ser executada quando uma requisição corresponder à regra.
-
Block: Bloqueia a requisição e retorna uma página de bloqueio ao cliente.
NotaPor padrão, o WAF utiliza uma página de resposta de bloqueio unificada. Você também pode usar o recurso custom response para definir sua própria página de resposta de bloqueio.
Log: Não bloqueia a requisição, mas registra a correspondência no log. Ao testar uma regra, use primeiro o modo Log para analisar os logs do WAF e verificar a ausência de falsos positivos. Em seguida, altere para outra ação.
-
Etapa 3: Defina os objetos efetivos do modelo
Na seção Apply To, selecione os protection objects and protection object groups aos quais o modelo se aplica.
A forma como o modelo entra em vigor depende da configuração realizada na Step 1:
Definido como modelo de proteção padrão: Um modelo padrão se aplica automaticamente a todos os objetos protegidos. Consulte Conceitos-chave para mais detalhes.
Não definido como modelo de proteção padrão: Configure manualmente os objetos protegidos e grupos de objetos protegidos efetivos.
É possível ajustar manualmente o status efetivo dos objetos protegidos ou grupos de objetos protegidos tanto durante a criação do modelo quanto após sua criação.
Etapa 4: Verifique a configuração
Para verificar se a regra está funcionando, envie uma requisição de teste a partir de um endereço IP presente na lista de bloqueios e confirme que a requisição foi bloqueada. Você também pode consultar os logs do WAF para verificar os registros de correspondência.
Gerenciamento rotineiro
Gerencie modelos de proteção
Os modelos de proteção recém-criados ficam ativados por padrão. Na lista de modelos de proteção, é possível realizar as seguintes operações:
Visualize o número de Protected Object/Group associados ao modelo.
Ative ou desative o modelo por meio do botão de alternância Status.
Adicione regras ao modelo com Create Rule.
Use as opções Edit, Delete ou Copy para gerenciar o modelo de proteção.
Clique em o ícone
à esquerda do nome do modelo para visualizar as regras contidas nele.
Gerencie regras de proteção
As regras recém-criadas ficam ativadas por padrão. Na lista de regras, é possível realizar as seguintes operações:
Consulte informações como Rule ID e Rule Condition.
Ative ou desative a regra por meio do botão de alternância Status.
Use as opções Edit ou Delete para gerenciar uma regra.
Perguntas frequentes
Por que a regra de lista de bloqueios de IP configurada não está funcionando?
Se você configurou um modelo de lista de bloqueios de IP, mas a proteção não está funcionando, investigue na seguinte ordem:
Verifique o status do modelo e os objetos efetivos — Certifique-se de que tanto o modelo de lista de bloqueios de IP quanto suas regras estejam no estado "Enabled" e que os objetos efetivos estejam corretamente configurados e ativos.
Verifique as configurações da lista de permissões — O IP whitelist tem prioridade sobre a lista de bloqueios. Confira se alguma regra da lista de permissões corresponde ao tráfego atual. Se o tráfego corresponder a uma regra da lista de permissões, o WAF ignora a verificação da lista de bloqueios de IP.
Verifique as configurações de proxy de camada 7 — Se um proxy de camada 7, como CDN, está implantado antes do WAF, certifique-se de que a opção Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF esteja definida como Yes na configuração de acesso. Uma configuração incorreta impede o WAF de obter o endereço IP real do cliente, fazendo com que as regras de lista de bloqueios baseadas em IP falhem. Para mais detalhes, consulte Real client information.
-
Confirme a proteção do WAF em todas as portas
Garanta que todas as portas de service estejam adicionadas ao WAF. Por exemplo, se uma instância ECS adicionada no modo cloud native utiliza a porta HTTP 80 e a porta HTTPS 443, adicione ambas as portas ao WAF. Isso é obrigatório mesmo que uma regra de redirecionamento forçado esteja configurada no servidor de origem. Caso contrário, o tráfego direcionado à porta não adicionada ignora o WAF e alcança diretamente o servidor de origem.
Configurar uma regra de lista de bloqueios de IP em um WAF com pagamento conforme o uso reduz as tarifas de tráfego?
Configurar uma regra de lista de bloqueios de IP não reduz as tarifas de tráfego do WAF. Requisições bloqueadas pela lista de bloqueios de IP ainda são processadas pelo WAF e contabilizadas nas suas Queries Per Second (QPS), o que gera tarifas de processamento. No entanto, essas requisições não são encaminhadas ao servidor de origem. Adicionar endereços IP maliciosos conhecidos à lista de bloqueios é uma forma eficaz de reduzir a carga no servidor de origem.
Qual é a diferença entre uma lista de bloqueios de IP e regras personalizadas?
As principais diferenças entre listas de bloqueios de IP e regras personalizadas são:
1. Diferenças nas condições de correspondência
Lista de bloqueios de IP: Suporta correspondência com base em uma única condição: o endereço IP de origem ou segmento de endereço IP do cliente.
Regras personalizadas: Suportam correspondência multicondição com base em diversos campos HTTP, como IP de origem, URL, cabeçalhos de requisição (como User-Agent e Referer) e parâmetros de requisição. As regras personalizadas também oferecem limites de frequência de acesso.
2. Ações
Lista de bloqueios de IP: Quando há correspondência com uma regra, apenas as ações Block e Log são suportadas.
Regras personalizadas: Suportam diversas ações. Além de Block e Log, as regras personalizadas suportam outras ações, como Captcha e validação JavaScript.
3. Cenários
Lista de bloqueios de IP: Indicada para bloquear globalmente endereços IP maliciosos conhecidos ou endereços IP de regiões específicas.
Regras personalizadas: Projetadas para proteção precisa e controle de acesso granular direcionado a caminhos de URL específicos, características de requisição ou comportamento de acesso de alta frequência.
É possível visualizar os registros de ataques que corresponderam a uma regra de lista de bloqueios de IP?
Sim. Para cada requisição que corresponde à regra, o sistema gera um registro de ataque e o exibe no local especificado em Security reports.