Web Application Firewall:Configure website tamper-proofing rules

Limitações

Este recurso não suporta objetos protegidos que utilizam o modo hybrid cloud ou o modo cloud native (MSE, FC ).

Pré-requisitos

• Você possui um service ativo {{XREF_1}}.

• Você adicionou seus serviços web ao WAF 3.0 como {{XREF_2}}.

Etapa 1: Criar um modelo de proteção contra adulteração de site

O módulo de proteção contra adulteração de site não fornece um modelo de proteção padrão. Para utilizar a proteção contra adulteração de site, crie um novo modelo de proteção e adicione regras a ele.

1. Faça login no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, escolha Protection Config > Core Web Protection.

3. Na página Core Web Protection, localize a seção Website Tamper-proofing e clique em Create Template.

4. No painel Create Template, configure os parâmetros e clique em OK.

   Parâmetro	Descrição
   Template Name	Insira um nome para o modelo. O nome deve ter de 1 a 255 caracteres e pode conter caracteres chineses, letras maiúsculas e minúsculas, dígitos, pontos (.), sublinhados (_) e hifens (-).
   Rule Configuration	Clique em Create Rule para criar uma regra de proteção contra adulteração de site para o modelo. Também é possível pular esta etapa e criar as regras posteriormente. Para mais informações, consulte {{XREF_3}}.
   Apply To	Selecione os Protected Objects e Protected Object Groups aos quais o modelo será aplicado. Você só pode associar um objeto protegido ou grupo de objetos protegidos a um único modelo do mesmo módulo de proteção. Para mais informações sobre como adicionar um objeto protegido ou grupo de objetos protegidos, consulte {{XREF_4}}.

   Um novo modelo de proteção é ativado por padrão. Na lista de modelos de proteção, realize as seguintes operações:

   • Visualize o número de Protected Object/Group associados ao modelo.

   • Utilize o Status para ativar ou desativar o modelo.

   • Clique em Create Rule para criar uma nova regra para o modelo.

   • Edit, Delete ou Copy o modelo de proteção.

   • Clique no ícone ao lado do nome do modelo para visualizar informações sobre as regras no modelo de proteção.

Etapa 2: Adicionar uma regra de proteção contra adulteração de site

Um modelo de proteção contra adulteração de site entra em vigor somente após a adição de regras. Caso já tenha adicionado regras durante a criação do modelo, pule esta etapa.

1. Faça login no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, escolha Protection Config > Core Web Protection.

3. Na seção Website Tamper-proofing , localize o modelo de proteção e clique em Create Rule na coluna Actions.

4. Na caixa de diálogo Create Rule, configure os parâmetros e clique em OK.

   Parâmetro	Descrição
   Rule Name	Insira um nome para a regra. O nome pode ter até 30 caracteres e pode conter caracteres chineses, letras, dígitos e sublinhados (_).
   Address of Cached Page	Defina o protocolo e o caminho completo da página que você deseja armazenar em cache. Protocolo: http ou https. Caminho da página em cache: O valor padrão é www.waftest.cn/index.html. Você pode alterar esse valor. Caracteres curinga, como /*, e parâmetros não são suportados. Por exemplo, em /abc?xxx=yyy, xxx=yyy é um parâmetro. Importante Requisições que contêm parâmetros de URL não correspondem à regra de proteção contra adulteração e são encaminhadas ao servidor de origem pelo WAF. Por exemplo, se o caminho da página em cache estiver definido como /abc e a URL da requisição for /abc?xxx=yyy, a requisição não corresponderá à regra de proteção contra adulteração para o caminho de página em cache /abc. O arquivo no caminho especificado, que pode ser TXT, HTML, imagem ou outro tipo de arquivo, é protegido. O tamanho de um único arquivo protegido não pode exceder 1 MB. Importante Apenas uma URL específica pode ser armazenada em cache. Diretórios não são suportados.
   Specify User-Agent to Access	Especifique o cabeçalho User-Agent que o WAF utiliza ao buscar a página no servidor de origem. Se você não selecionar Specify User-Agent to Access, o User-Agent assumirá como padrão um identificador de navegador PC. Caso selecione Specify User-Agent to Access, será necessário especificar um User-Agent. Abra um navegador e pressione F12 para abrir as ferramentas de desenvolvedor. Na aba Network, clique em uma requisição. Na seção HTTP Header, localize o campo User-Agent para obter o identificador do navegador.

   Nota

   • Após criar uma regra de proteção contra adulteração de site, o sistema busca imediatamente o recurso e o armazena em cache no WAF. O WAF atende às requisições subsequentes a partir do cache.

   • Verificar se uma requisição corresponde a uma regra de proteção contra adulteração: Utilize as ferramentas de desenvolvedor do seu navegador para confirmar se uma requisição corresponde a uma regra de proteção contra adulteração.

     1. Pressione F12 para abrir as ferramentas de desenvolvedor.

     2. Navegue até a aba Network.

     3. Acesse a página protegida e clique na requisição correspondente.

     4. Na seção Response Headers, verifique os seguintes cabeçalhos:

        • Aliwaf-Cache: Se o valor for HIT, a requisição correspondeu a uma regra de proteção contra adulteração de site e o WAF retornou uma página em cache.

        • Server: Se o valor for Tengine, o WAF atuou como proxy para a requisição. Este cabeçalho aparece apenas quando você conecta um nome de domínio ao WAF. O WAF não adiciona este cabeçalho no modo de acesso CLB.

     Se o cabeçalho Aliwaf-Cache não existir ou seu valor não for HIT, a requisição não correspondeu à regra. Verifique se a regra está configurada corretamente e ativada.

   • Ao reativar o Specify User-Agent to Access ou ativar o Specify User-Agent to Access de uma regra, o sistema acessa novamente os recursos protegidos contra adulteração e atualiza o cache. Isso produz o mesmo efeito de clicar manualmente em HTTP Header.

   • Caso seu servidor de origem utilize uma lista de permissões para controle de acesso, adicione os seguintes endereços IP do WAF à lista de permissões:

     • China Continental: 121.196.106.101, 121.196.100.214, 121.196.110.192 e 121.196.107.0.

     • Fora da China Continental: 8.219.104.2 e 8.219.41.212.

   Uma nova regra é ativada por padrão. Na lista de regras, realize as seguintes operações:

   • Visualize informações como o Status e a Status.

   • Use o interruptor de Update Cache para ativar ou desativar a regra.

   • Rule ID ou Rule Condition a regra.

Operações relacionadas

Para proteger um diretório específico no seu servidor, utilize o recurso de proteção contra adulteração web do Security Center. Para mais informações, consulte {{XREF_5}}.

Referências

• Para mais informações sobre objetos protegidos, módulos de proteção e fluxos de trabalho de proteção no WAF 3.0, consulte {{XREF_6}}.

• Para criar um modelo de proteção usando a API, consulte {{XREF_7}}.

• Para criar e configurar uma regra de Core Web Protection, consulte {{XREF_8}}.