Web Application Firewall:Bot management

Para identificar sua versão atual, acesse Protection Config > Bot Management no painel de navegação à esquerda e verifique o estilo da página:

Recursos

O recurso de gerenciamento de bots oferece as seguintes capacidades principais para identificar tráfego de bots e proteger contra riscos de crawlers:

• AI Insights/Traffic Analytics: Mesmo sem ativar o gerenciamento de bots, visualize dados de risco das interfaces, incluindo informações como tendências de tráfego e clientes de risco. Isso ajuda a identificar e localizar rapidamente interfaces com risco potencial. Após ativar a versão completa, visualize dados mais detalhados. Isso auxilia a equipe de O&M de segurança a identificar tráfego anormal e configure políticas de proteção mais granulares.

• AI Crawler Control: Programas automatizados, como crawlers de IA, agentes inteligentes e mecanismos de busca, costumam extrair conteúdo da web em alta frequência para treinamento de modelos, construção de bases de conhecimento e operação de aplicativos de IA. O controle de crawlers de IA identifica e gerencia com precisão esse tipo de tráfego para proteger sua propriedade intelectual e dados comerciais essenciais, evitando o consumo excessivo de largura de banda do servidor.

• Web Protection/App Protection: Para cenários web ou de aplicativos, use as políticas padrão de proteção de gerenciamento de bots para ativar rapidamente a proteção básica. Para uma proteção ideal, analise continuamente os acionamentos das regras e ajuste as ações de proteção.

• Advanced Custom Rules: Crie regras personalizadas de controle de acesso, regras de limitação de taxa e categorias de regras para bloquear solicitações que correspondam a condições específicas. As regras personalizadas avançadas suportam uma gama maior de condições de correspondência, como IDs de cliente, fingerprints JA3/JA4 e sinais coletados pelo SDK para Web/App, além de estatísticas deduplicadas baseadas em condições.

• Account Security: Este recurso usa algoritmos inteligentes para calcular pontuações de risco em tempo real, identificando e bloqueando com precisão atividades maliciosas, como credential stuffing, ataques de força bruta e registros em massa automatizados. Ele extrai credenciais de identidade multidimensionais da query, body, header e cookies das solicitações HTTP para criar um perfil de usuário unificado. Protege automaticamente os cenários principais de cadastro e login de contas, sem a necessidade de configurar regras complexas manualmente.

Pré-requisitos

• Você concluiu Web service provisioning na página Onboarding.

• Você ativou uma instância do WAF 3.0. A instância deve ser da edição de pagamento conforme o uso, ou das edições de assinatura Premium, Enterprise ou Ultimate. A edição Basic não suporta o gerenciamento de bots.

Ativar o gerenciamento de bots

1. Faça login no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, escolha Protection Config > Bot Management.

Primeiros passos

1. Traffic Analytics: Analise os dados de análise de tráfego para identificar ativos em risco e fontes de tráfego anormais no seu ambiente.

2. AI crawler control: Visualize um panorama e dados detalhados das solicitações de IA, e tome ações sobre o tráfego com um único clique.

3. Web Protection/App Protection: Configure e ative regras de proteção com base no tipo de carga de trabalho: ative o Web Protection para páginas web e H5; ative o App Protection para aplicativos nativos iOS ou Android.

4. Advanced Custom Rules: Para uma proteção granular, configure regras com base em dimensões como IDs de cliente e fingerprints JA3/JA4 para identificar e tratar o tráfego de bots com precisão.

Desativar o gerenciamento de bots

Mecanismo de proteção

Os diagramas de sequência a seguir ilustram como os modos de proteção JavaScript Validation e Token-based Authentication funcionam e como o WAF processa as solicitações.

JavaScript Validation

1. O cliente envia uma solicitação que corresponde a uma regra configurada com a ação JavaScript Validation.

2. O WAF retorna uma página HTML que contém o algoritmo de geração de desafio JavaScript.

3. O navegador carrega a página de desafio JavaScript, gera parâmetros criptografados, adiciona-os ao cookie e reenvia a solicitação.

4. O WAF recebe a solicitação e verifica os parâmetros:

   • Se os parâmetros forem válidos, o WAF considera a solicitação legítima, a encaminha para o servidor de origem e retorna a resposta da origem ao cliente.

   • Caso o cliente não insira o cookie do desafio JavaScript ou se o valor do cookie for inválido, o WAF considera que a solicitação vem de um script e retorna a página de desafio JavaScript novamente.

Token-based Authentication

1. O cliente envia uma solicitação que corresponde a uma regra configurada com a ação Token-based Authentication.

2. O WAF retorna uma página HTML que contém um token dinâmico para o cliente.

3. O navegador carrega a página HTML com o token dinâmico, gera parâmetros criptografados, adiciona-os à URL da solicitação e reenvia a solicitação.

4. O WAF recebe a solicitação e verifica os parâmetros:

   • Se os parâmetros forem válidos, o WAF considera a solicitação legítima, a encaminha para o servidor de origem e retorna a resposta da origem ao cliente.

   • Se os parâmetros estiverem ausentes ou inválidos, o WAF considera que a solicitação vem de um script e retorna a página de token dinâmico novamente.