Quando sua aplicação web é alvo de ataques provenientes de endereços IP específicos, utilize o módulo de lista de bloqueios de IP do WAF para bloquear esses IPs e proteger seus serviços.
Cenários aplicáveis
O módulo de lista de bloqueios de IP do WAF foi projetado para cenários em que é necessário bloquear com precisão IPs maliciosos conhecidos ou intervalos de IP específicos.
-
Cenários recomendados
Bloqueio de fontes de ataque conhecidas: Quando a análise de logs ou exercícios de segurança confirmam que um IP específico é um scanner, crawler, ferramenta de força bruta ou nó de botnet, adicione-o à lista de bloqueios para impedir o tráfego diretamente.
Bloqueio emergencial temporário: Ao enfrentar um ataque repentino originado de um pequeno número de IPs fixos, crie rapidamente uma regra de lista de bloqueios como medida defensiva inicial enquanto realiza uma análise mais profunda.
Conformidade ou restrições regionais: Caso sua organização precise cumprir requisitos de soberania de dados ou impor restrições de acesso regional, e seja necessário bloquear apenas intervalos de IP específicos, utilize o módulo de lista de bloqueios de IP.
-
Cenários não recomendados
Atacantes que usam IPs dinâmicos: Uma lista de bloqueios de IP é uma defesa ineficaz contra ataques originados de fontes dinâmicas, como IPs de clientes não fixos, pools de IP dinâmicos, proxies públicos (como em cenários de ataque CC) ou funções cloud. Recomendamos que você também utilize os módulos CC Protection ou Custom Rules - Rate Limiting.
Diferenciação de comportamentos de usuário por detalhes da solicitação: Se for necessário tratar solicitações de forma diferente com base em caminhos, parâmetros ou cabeçalhos, o módulo de lista de bloqueios de IP não atenderá a esse requisito. Utilize o módulo custom rule.
Conceitos principais
IP Address Blacklist: Módulo de proteção dentro da Proteção Web Principal. Antes de ativar este módulo, é necessário criar um modelo de proteção. O sistema suporta múltiplos modelos de proteção.
-
Modelo de proteção: Conjunto de regras de proteção que define a lógica e o escopo específicos das regras. Um modelo de proteção consiste nas três partes seguintes: tipo de modelo, regras de proteção e objetos efetivos.
-
Tipo de modelo: É necessário especificar um tipo de modelo ao criar um modelo de proteção. O tipo não pode ser alterado após a criação. Existem dois tipos de modelo:
Tipo de modelo
Descrição
Cenário aplicável
Modelo de proteção padrão
Um modelo padrão se aplica automaticamente a todos os objetos de proteção. Consulte Conceitos Principais para obter detalhes.
É possível excluir manualmente objetos específicos (definindo-os como "Não Efetivo").
Apenas um modelo de proteção padrão pode ser criado para o módulo de lista de bloqueios de IP.
Implantar regras gerais de proteção que precisam ser aplicadas globalmente.
Modelo de proteção personalizado
É necessário especificar manualmente os objetos de proteção ou grupos de objetos para que o modelo entre em vigor.
Implantar regras de proteção granulares para serviços específicos (como APIs de login ou pagamento).
-
Regra de proteção: Define a lógica de detecção específica e as ações de resposta. Um modelo de proteção pode conter várias regras de proteção. Cada regra consiste nas duas partes seguintes:
Lista de bloqueios de endereços IP: Especifica os endereços IP de cliente ou intervalos de IP a serem bloqueados ou monitorados.
Rule Action: Define a ação a ser tomada quando uma solicitação corresponde à regra. Suporta Block e Monitor.
-
Objetos efetivos: Especifica os alvos aos quais o modelo de proteção se aplica. Por meio das configurações de objetos efetivos, as regras de proteção são aplicadas a objetos de proteção específicos ou grupos de objetos de proteção. Um único objeto de proteção ou grupo de objetos pode ser associado a vários modelos de proteção.
Objeto de proteção: Cada nome de domínio ou instância de service cloud conectado ao WAF tem automaticamente um objeto de proteção criado para ele.
Grupo de objetos de proteção: É possível adicionar vários objetos de proteção a um grupo de objetos de proteção para gerenciamento centralizado.
-
Procedimento
Antes de começar, certifique-se de que existam objetos de proteção (seus serviços web estão conectados ao WAF). Se você ainda não conectou seus serviços, consulte Connect web services to WAF.
Faça login no console do WAF 3.0. Na barra de navegação superior, selecione o grupo de recursos e a região da sua instância do WAF (Chinese Mainland ou Outside Chinese Mainland). No painel de navegação à esquerda, escolha .
Etapa 1: Configurar o tipo de modelo de proteção
Na página Core Web Protection, vá até a seção IP Address Blacklist e clique em Create Template. Em seguida, configure os seguintes parâmetros.
Template Name: Insira um nome para o modelo.
-
Save as Default Template: O módulo de lista de bloqueios de IP permite apenas um modelo de proteção padrão, que só pode ser definido durante a criação de um novo modelo.
Yes: Não é necessário configurar Apply To. Um modelo padrão se aplica automaticamente a todos os objetos de proteção. Consulte Conceitos Principais para obter detalhes.
No: É necessário configurar Apply To para especificar manualmente os objetos de proteção ou grupos de objetos para que o modelo entre em vigor.
Etapa 2: Adicionar regras de proteção ao modelo
Na seção Rule Configuration, clique em Create Rule e configure os seguintes parâmetros.
Rule Name: Insira um nome para a regra.
-
IP Address Blacklist: Especifique os endereços IP de cliente ou intervalos de IP a serem bloqueados ou monitorados. Siga estas diretrizes:
Suporta endereços IPv4 e IPv6 (por exemplo,
1.1.XX.XXe2001:XXXX:ffff:ffff:ffff:ffff:ffff:ffff).Suporta blocos CIDR IPv4 e blocos CIDR IPv6 (por exemplo,
1.1.XX.XX/16e 2001:XXXX:XXXX:XXXX::/64).Pressione Enter após inserir cada endereço IP.
Uma única regra de proteção suporta até 200 endereços IP. Para adicionar mais, crie várias regras de proteção.
-
Rule Action: Selecione a ação a ser tomada quando uma solicitação corresponder à regra.
-
Block: Bloqueia a solicitação e retorna uma página de bloqueio ao cliente.
NotaPor padrão, o WAF usa uma página de resposta de bloqueio unificada. Você também pode usar o recurso custom response para definir sua própria página de resposta de bloqueio.
Log: Não bloqueia a solicitação, mas registra a correspondência. Ao testar uma regra, use primeiro o modo Log para analisar os logs do WAF e verificar se não ocorrem falsos positivos, e então altere para outra ação.
-
Etapa 3: Definir objetos efetivos para o modelo
Na seção Apply To, selecione o protection objects and protection object groups ao qual o modelo se aplica.
A forma como o modelo entra em vigor depende da sua configuração em Step 1:
Definido como modelo de proteção padrão: Um modelo padrão se aplica automaticamente a todos os objetos de proteção. Consulte Conceitos Principais para obter detalhes.
Não definido como modelo de proteção padrão: É necessário configurar manualmente os objetos de proteção efetivos e os grupos de objetos de proteção.
É possível ajustar manualmente o status efetivo dos objetos de proteção ou grupos de objetos de proteção tanto durante a criação do modelo quanto após a criação do modelo.
Etapa 4: Verificar a configuração
Para verificar se a regra está funcionando, envie uma solicitação de teste a partir de um endereço IP incluído na lista de bloqueios e confirme se a solicitação foi bloqueada. Você também pode verificar os logs do WAF em busca de registros de correspondência.
Gerenciamento de rotina
Gerencie modelos de proteção
Os modelos de proteção recém-criados são ativados por padrão. É possível realizar as seguintes operações na lista de modelos de proteção:
Visualize o número de Protected Object/Group associados ao modelo.
Ative ou desative o modelo usando o alternador de Status.
Create Rule regras para o modelo.
Edit, Delete ou Copy o modelo de proteção.
Clique no ícone
à esquerda do nome do modelo para visualizar as regras contidas no modelo.
Gerencie regras de proteção
As regras recém-criadas são ativadas por padrão. É possível realizar as seguintes operações na lista de regras:
Visualize informações como Rule ID e Rule Condition.
Ative ou desative a regra usando o alternador de Status.
Edit ou Delete uma regra.
Perguntas frequentes
Por que a regra de lista de bloqueios de IP configurada não entra em vigor?
Se você configurou um modelo de lista de bloqueios de IP, mas a proteção não está funcionando, solucione o problema na seguinte ordem:
Verifique o status do modelo e os objetos efetivosCertifique-se de que tanto o modelo de lista de bloqueios de IP quanto suas regras estejam no estado "Enabled", e que os objetos efetivos estejam configurados corretamente e ativos.
Verifique as configurações de lista de permissõesO IP whitelist tem prioridade sobre a lista de bloqueios. Verifique se alguma regra de lista de permissões corresponde ao tráfego atual. Se o tráfego corresponder a uma regra de lista de permissões, o WAF ignora a verificação da lista de bloqueios de IP.
Verifique as configurações de proxy de camada 7Se um proxy de camada 7, como uma CDN, estiver implantado na frente do WAF, certifique-se de que a opção Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF esteja definida como Yes na configuração de acesso. Uma configuração incorreta impede que o WAF obtenha o endereço IP real do cliente, fazendo com que as regras de lista de bloqueios baseadas em IP falhem. Para detalhes de configuração, consulte Real client information.
-
Verifique a proteção do WAF para todas as portas
Garanta que todas as portas de service sejam adicionadas ao WAF. Por exemplo, se uma instância ECS adicionada no modo cloud nativo usa a porta HTTP 80 e a porta HTTPS 443, você deve adicionar ambas as portas ao WAF. Isso é necessário mesmo que uma regra de redirecionamento forçado esteja configurada no servidor de source. Caso contrário, o tráfego para a porta não adicionada contorna o WAF e chega diretamente ao servidor de source.
Configurar uma regra de lista de bloqueios de IP para um WAF com pagamento conforme o uso reduz as taxas de tráfego?
Configurar uma regra de lista de bloqueios de IP não reduz as taxas de tráfego do WAF. As solicitações bloqueadas por uma lista de bloqueios de IP ainda são processadas pelo WAF e contribuem para suas Consultas Por Segundo (QPS), o que gera taxas de processamento. No entanto, essas solicitações não são encaminhadas ao servidor de source. Adicionar endereços IP maliciosos conhecidos à lista de bloqueios é uma maneira eficaz de reduzir a carga no seu servidor de source.
Qual é a diferença entre uma lista de bloqueios de IP e regras personalizadas?
As principais diferenças entre listas de bloqueios de IP e regras personalizadas são as seguintes:
1. Diferenças nas condições de correspondência
Lista de bloqueios de IP: Suporta correspondência baseada em uma única condição: o endereço IP de source ou segmento de endereço IP de um cliente.
Regras personalizadas: Suportam correspondência de múltiplas condições baseada em vários campos HTTP, como IP de source, URL, cabeçalhos de solicitação (como User-Agent e Referer) e parâmetros de solicitação. Regras personalizadas também suportam limites de frequência de acesso.
2. Ações
Lista de bloqueios de IP: Quando uma regra é correspondida, apenas as ações Block e Log são suportadas.
Regras personalizadas: Suportam várias ações. Além das ações Block e Log, as regras personalizadas suportam outras ações, como Captcha e validação JavaScript.
3. Cenários
Lista de bloqueios de IP: Usada para bloquear globalmente endereços IP maliciosos conhecidos ou endereços IP de regiões específicas.
Regras personalizadas: Usadas para proteção precisa e controle de acesso granular direcionado a caminhos de URL específicos, características de solicitação ou comportamento de acesso de alta frequência.
Posso visualizar os registros de ataques que atingiram uma regra de lista de bloqueios de IP?
Sim. Para cada solicitação que atinge a regra, o sistema gera um registro de ataque correspondente e o exibe no local especificado em Security reports.