Web Application Firewall:Scan protection

Informações básicas

Tipos de modelo

Pré-requisitos

• Você tem um service Pay-as-you-go WAF 3.0 ativo.

• Você adicionou seus serviços web ao WAF 3.0 como protected objects and protected object groups.

Criar um modelo de proteção contra varredura

O WAF fornece um modelo de proteção padrão inicial, ativado por padrão. Para ativar regras personalizadas, crie um modelo de proteção e configure as regras relacionadas. Execute as etapas a seguir para criar um modelo de proteção contra varredura:

1. Acesse o console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, escolha Protection Config > Core Web Protection.

3. Na seção Scanning Protection, na parte inferior da página Core Web Protection, clique em Create Template.

4. No painel Scanning Protection, configure os parâmetros e clique em OK.

   Parâmetro	Descrição
   Template Name	Especifique um nome para o modelo. O nome deve ter de 1 a 255 caracteres e pode conter caracteres chineses, letras maiúsculas e minúsculas, dígitos, pontos (.), sublinhados (_) e hifens (-).
   Save as Default Template	O modelo de proteção padrão não requer a especificação dos objetos aos quais se aplica. Ele se aplica a todos os objetos protegidos e grupos de objetos não associados a modelos de proteção personalizados. Isso inclui objetos protegidos e grupos de objetos recém-adicionados, bem como aqueles removidos de modelos de proteção personalizados. Você também pode removê-los manualmente do modelo padrão. É possível definir apenas um modelo padrão para um módulo de proteção, e só é possível defini-lo ao criar o modelo.
   Rule Configuration	Configure as definições das regras. Um modelo de proteção do módulo de proteção contra varredura aceita apenas um conjunto de regras. Um conjunto de regras consiste nos três tipos de regras a seguir: High-Frequency Scanning Protection Ao ativar o bloqueio de varredura de alta frequência, as seguintes configurações entram em vigor automaticamente: se um endereço IP (Statistical and Blocked Object) acionar as regras de proteção do Web core protection rules configurado para o objeto protegido atual mais de 20 vezes (Trigger of Protection Rules of Core Protection Rule) e disparar mais de 2 (Maximum Number of Triggered Rules) regras de proteção diferentes do módulo Core Web Protection em 60 segundos (Time Range), o WAF adiciona o endereço IP à lista de bloqueios e o mantém nela por 1.800 segundos (Blocking Period). O WAF bloqueia ou monitora as solicitações enviadas a partir desse endereço IP. Para modificar as configurações da regra, clique em Advanced Settings: Statistical and Blocked Object IP: coleta a frequência de ataques iniciados a partir do mesmo endereço IP de cliente. Session: coleta a frequência de ataques iniciados na mesma sessão de cliente. Nota You can use the setcookie() function to define cookies that start with acw_t in the response. The cookies are used to identify sessions of different clients. If you select this option, the value of acw_tc cookie that triggers the rule is blocked. Account: mede a frequência de ataques provenientes da mesma conta. Nota Account-level blocking takes effect only after you configure account or token extraction settings on the Account Extraction Settings tab. To go to the tab, find your protected object and click Settings in the Actions column. You can view the tab in the panel that appears. Custom: coleta a frequência de ataques de objetos com as mesmas características de solicitação. Especifique as características da solicitação de uma das seguintes maneiras: Custom Header: coleta a frequência de solicitações de ataque com um cabeçalho especificado. Custom Parameter: coleta a frequência de solicitações de ataque com um parâmetro especificado. Custom Cookie: coleta a frequência de solicitações de ataque com um cookie especificado. Rule details Altere os valores dos seguintes parâmetros: Time Range, Trigger of Protection Rules of Core Protection Rule, Blocking Period e Maximum Number of Triggered Rules. Directory Traversal Blocking Ao ativar o bloqueio de travessia de diretórios, as seguintes configurações entram em vigor automaticamente: se um endereço IP (Statistical and Blocked Object) solicitar um objeto protegido mais de 50 vezes (Maximum Number of Requests) e acessar mais de 50 (Maximum Number of Non-existent Directories) diretórios inexistentes em 10 segundos (Time Range), e os códigos de status HTTP 404 representarem 70% (Maximum HTTP 404 Status Code Percentage) dos códigos de status retornados nas respostas, o WAF adiciona o endereço IP à lista de bloqueios. O WAF bloqueia ou monitora as solicitações enviadas a partir desse endereço IP. Nota As estatísticas de varredura de diretórios excluem tipos de arquivos web estáticos, como .js e .png . Para modificar as configurações da regra, clique em Advanced Settings: Statistical and Blocked Object IP: coleta a frequência de ataques iniciados a partir do mesmo endereço IP de cliente. Session: coleta a frequência de ataques iniciados na mesma sessão de cliente. Nota You can use the setcookie() function to define cookies that start with acw_t in the response. The cookies are used to identify sessions of different clients. If you select this option, the value of acw_tc cookie that triggers the rule is blocked. Account: mede a frequência de ataques provenientes da mesma conta. Nota Account-level blocking takes effect only after you configure account or token extraction settings on the Account Extraction Settings tab. To go to the tab, find your protected object and click Settings in the Actions column. You can view the tab in the panel that appears. Custom: coleta a frequência de ataques de objetos com as mesmas características de solicitação. Especifique as características da solicitação de uma das seguintes maneiras: Custom Header: coleta a frequência de solicitações de ataque com um cabeçalho especificado. Custom Parameter: coleta a frequência de solicitações de ataque com um parâmetro especificado. Custom Cookie: coleta a frequência de solicitações de ataque com um cookie especificado. Rule details Altere os valores dos seguintes parâmetros: Time Range, Maximum Number of Requests, Maximum HTTP 404 Status Code Percentage, Blocking Period e Maximum Number of Non-existent Directories. Scanner Blocking: Ao ativar o bloqueio de scanners, o WAF adiciona os scanners mais comuns à lista de bloqueios. Esses scanners incluem sqlmap, AWVS, Nessus, Appscan, Webinspect, Netsparker, Nikto e RSAS. O WAF bloqueia ou monitora as solicitações desses scanners.
   Rule Action	Selecione a ação que o WAF deve executar quando uma solicitação corresponder à regra. Valores válidos: Block: bloqueia a solicitação correspondente à regra e retorna uma página de bloqueio ao cliente que a iniciou. Nota Por padrão, o WAF retorna uma página de bloqueio predefinida. Use o recurso de resposta personalizada para configurar uma página de bloqueio personalizada. Para obter mais informações, consulte Configure custom response pages. Monitor: registra a solicitação correspondente à regra nos logs, sem bloqueá-la. Consulte os logs das solicitações correspondentes à regra e analise o desempenho da proteção. Por exemplo, verifique nos logs se solicitações legítimas estão sendo bloqueadas. Importante Você só pode consultar logs se o recurso Simple Log Service for WAF estiver ativado. Para obter mais informações, consulte ative or disable the Simple Log Service for WAF feature. Ao selecionar Monitor, execute uma simulação da regra para verificar se ela bloqueia solicitações normais. Se a regra for aprovada na simulação, defina o parâmetro Action como Block. Nota Na página Security Reports, visualize os detalhes das regras correspondentes nos modos Monitor ou Block. Para obter mais informações, consulte Security reports.
   Apply To	Na lista de configured protected objects and protected object groups, selecione aqueles aos quais deseja aplicar este modelo. Um objeto protegido ou grupo de objetos aceita associação com apenas um modelo de proteção contra varredura. Ao definir um modelo de proteção padrão, ele se aplica por padrão a todos os objetos protegidos e grupos de objetos não associados a modelos de proteção personalizados. Caso não defina um modelo padrão, nenhum objeto protegido ou grupo de objetos é selecionado por padrão. Modifique manualmente os objetos aos quais o modelo se aplica.

   Por padrão, o WAF ativa um modelo de proteção recém-criado. É possível realizar as seguintes operações no modelo de proteção na lista de modelos:

   • Visualize o número de Protected Object/Group associados ao modelo.

   • Ative ou desative a chave na coluna Status para ativar ou desativar o modelo.

   • Clique em Edit ou Delete na coluna Actions para modificar ou excluir o modelo.

   • Clique no ícone à esquerda do nome do modelo para visualizar e gerenciar as regras no modelo.

     • Encontre uma regra e clique em Unblock IP Addresses para desbloquear os endereços IP bloqueados pela regra.

       Importante

       • Use a opção Unblock IP Addresses apenas quando os endereços IP forem bloqueados pela regra de proteção High-Frequency Scanning Protection ou Directory Traversal Blocking.

       • Use a opção Unblock IP Addresses apenas quando a regra e o modelo relacionados estiverem ativados.

Próximos passos

Na guia Scanning Protection da página Security Reports, visualize os detalhes de proteção das regras. Para obter mais informações, consulte Security Reports.

Referências

• Para obter mais informações sobre os objetos protegidos, os módulos de proteção e o processo de proteção do WAF 3.0, consulte Overview.

• Para saber mais sobre a criação de um modelo de proteção por meio de uma operação de API, consulte CreateDefenseTemplate.

• Para detalhes sobre como criar e configurar uma regra de proteção para o módulo de regras de proteção principal, consulte CreateDefenseRule.