Web Application Firewall:Proteção contra eventos críticos

O recurso de proteção contra eventos críticos oferece proteção personalizada e precisa para grandes eventos durante períodos específicos. Este tópico descreve como ativar e usar a proteção contra eventos críticos.

Faturamento

Pré-requisitos

• Você ativou o WAF 3.0. Para mais informações, consulte Purchase a subscription WAF 3.0 instance e Activate a pay-as-you-go WAF 3.0 instance.

  A forma de ativar a proteção contra eventos críticos varia de acordo com a edição da instância do WAF.

  Edição da instância do WAF	Ativada por padrão	Descrição
  Assinatura Ultimate Edition	Sim	Use este recurso diretamente, sem a necessidade de ativá-lo separadamente.
  Assinatura Pro Edition, assinatura Enterprise Edition e pagamento conforme o uso	Não. ative-o por meio de um upgrade temporário.	Faça upgrade da sua instância para a Ultimate Edition. Para mais informações, consulte Upgrade an instance. ative a proteção contra eventos críticos por meio de um upgrade temporário. Para mais informações, consulte Enable critical event protection.
  Assinatura Basic Edition	Não. Esta edição não oferece suporte a este recurso.	Faça upgrade da sua instância para a Ultimate Edition. Para mais informações, consulte Upgrade an instance. Faça upgrade da sua instância para a Pro Edition ou Enterprise Edition e, em seguida, ative a proteção contra eventos críticos por meio de um upgrade temporário. Para mais informações, consulte Enable critical event protection.

• Você adicionou seus service da web ao WAF 3.0 usando o modo de registro CNAME ou integrando-os a um service cloud como Classic Load Balancer (CLB) (HTTP/HTTPS), CLB (TCP) ou Elastic Compute Service (ECS). Para mais informações, consulte Overview of adding a website.

  Nota

  Este recurso não é compatível com objetos protegidos adicionados ao WAF por meio de ALB, MSE ou FC.

ative proteção contra eventos críticos

crie modelo de regra para eventos críticos

Ao configurar a proteção contra eventos críticos pela primeira vez, crie um modelo de regra. É possível crie até 20 modelos.

1. Faça logon no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, escolha Protection Config > Critical Event Protection.

3. Na aba Protection Templates, clique em Create Template.

4. No painel Create Protection Template for Critical Events, configure as seguintes configurações.

   1. Configure as informações básicas e clique em Next.

      Parâmetro	Descrição
      Template Name	especifique um nome para o modelo. O nome deve ter de 1 a 255 caracteres e pode conter caracteres chineses, letras maiúsculas e minúsculas, dígitos, pontos (.), sublinhados (_) e hifens (-).
      Protection rules	selecione as regras de proteção a aplicar e configure a ação da regra para cada uma. Critical Event Threat Intelligence: Usa uma biblioteca de inteligência de ameaças de endereços IP maliciosos para identificar invasores com precisão. Esta regra vem ativada por padrão, e a ação da regra é definida como Monitor. Critical Event Protection Rule Group: Gera um conjunto assertivo de regras de proteção para seus service com base em um modelo de proteção inteligente. Esta regra vem ativada por padrão, e a ação da regra é definida como Monitor. IP Address Blacklist for Protection for Critical Events: Quando esta regra está ativada, o WAF monitora ou bloqueia solicitações de endereços IP ou intervalos de endereços específicos. Você pode adicionar até 50.000 endereços IP personalizados ou blocos CIDR à lista de bloqueios. Shiro Deserialization Vulnerability Prevention: Quando esta regra está ativada, o WAF usa criptografia de cookies para proteger contra vulnerabilidades de desserialização Java do Apache Shiro.
      Apply To	Entre os configured protected objects and protected object groups, selecione aqueles aos quais deseja aplicar este modelo.

   2. Caso tenha ativado a regra IP Address Blacklist for Protection for Critical Events, configure a lista de bloqueios de endereços IP conforme descrito abaixo. Ao terminar, clique em Next.

      Parâmetro	Ações
      Next	clique em Add IP Address Blacklist para adicionar endereços IP manualmente à lista de bloqueios. Na caixa de texto Add IP Address Blacklist, insira os endereços IP a adicionar. Separe várias entradas com quebras de linha. Nota Você pode inserir até 500 endereços IP ou blocos CIDR. Há suporte para endereços IPv6. Separe várias entradas com uma quebra de linha ou vírgula (,). defina o prazo de expiração. Opções: IP Address Blacklist. Custom. Se selecionar esta opção, clique em seletor de horário para especificar uma data e hora de expiração. Na caixa de texto Remarks, insira uma observação e clique em OK. Após adicionar os endereços IP, visualize-os no painel Configure IP Address Blacklist.
      Import IP Address Blacklist	clique em Import IP Address Blacklist para importar endereços IP em massa. clique em Import IP Address Blacklist e selecione o arquivo da lista de bloqueios de endereços IP a importar. Importante São aceitos apenas arquivos CSV. Há suporte para endereços IPv4 e IPv6 e blocos CIDR. É possível importar um arquivo por vez. Cada arquivo pode conter até 2.000 entradas. Um bloco CIDR conta como uma entrada. O tamanho do arquivo não pode exceder 1 MB. Caso tenha muitos endereços IP para importar, você pode importá-los em lotes. defina o prazo de expiração. Opções: Permanently Effective. Permanently Effective. Se selecionar esta opção, clique em seletor de horário para especificar uma data e hora de expiração. Na caixa de texto Custom, insira uma observação e clique em Remarks. Após adicionar os endereços IP, visualize-os no painel OK.
      Configure IP Address Blacklist	Para remover todos os endereços IP da lista de bloqueios, clique em Delete All IP Addresses.
      Delete All IP Addresses	Se alguns endereços IP da lista de bloqueios expiraram, clique em Delete Expired IP Addresses para removê-los.

5. clique em Delete Expired IP Addresses.

   O novo modelo de regra vem ativado por padrão. Na lista de modelos de regras, é possível executar as seguintes ações:

   • Visualize o número de Complete e o Protection Features associado a um modelo.

   • Use o seletor para Protected Object/Group ou Enable um modelo.

   • Use edite, Delete ou Copy em um modelo de regra.

   • Se um modelo tiver a regra Close ativada, clique em Edit para adicionar ou modifique a lista de bloqueios.

Visualizar dados da proteção contra eventos críticos

1. Faça logon no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Copy) da instância do WAF.

2. No painel de navegação à esquerda, escolha IP Address Blacklist for Protection for Critical Events > Edit IP Address Blacklist.

3. Visualize as seguintes informações:

   • No cartão Chinese Mainland, visualize as Outside Chinese Mainland, as Protection Config e um gráfico de pizza que mostra a distribuição dos tipos de regras de proteção para o intervalo de tempo especificado.

   • No cartão Critical Event Protection, visualize o número de Statistics, Total Requests e Blocked Requests no intervalo de tempo especificado.

   • Na aba Protection Plan for Critical Events, selecione um objeto protegido e um intervalo de tempo para visualizar o relatório de segurança correspondente.

     • Objeto protegido: Por padrão, a opção Protection Rules for Critical Events vem selecionada, o que recupera dados de todos os objetos protegidos pelo WAF. Você pode selecionar um objeto específico.

     • Intervalo de tempo: Por padrão, o sistema exibe os dados de Threat Intelligence Rules. Você também pode selecionar Added IP Addresses In Blacklist/Total, Security Reports, All, Today ou um intervalo de tempo personalizado dentro dos últimos 30 dias.

     A tabela a seguir descreve os dados no relatório de segurança.

     Tipo	Descrição	Ações disponíveis
     Estatísticas de ataque (identificadas por ① na figura)	Exibe a análise estatística dos ataques ao objeto protegido no intervalo de tempo especificado, incluindo: Yesterday: Um gráfico de pizza que mostra a distribuição dos tipos de ataque. Today: Lista os cinco objetos mais atacados na aba Last 7 days e os cinco principais endereços IP de invasores na aba Last 30 days. Os resultados são exibidos em ordem decrescente de acordo com o número de ataques.	Nenhuma
     Logs de eventos de ataque (identificados por ② na figura)	Lista solicitações de ataque que acionaram regras centrais de proteção da web. A lista inclui as seguintes informações: Distribution of Attack Types: O endereço IP de source da solicitação de ataque. Top 5 Attacks: A região em que o endereço IP do invasor se encontra. Attacked Object: O horário em que o ataque começou. Attacker IP Address: O tipo de ataque, como injeção SQL ou execução de código. Attacker IP Address: O tipo de regra acionado, como Grupo de Regras de Proteção para Eventos Críticos ou Inteligência de Ameaças para Proteção de Eventos Críticos. Area: A ação executada pelo WAF. Attack Time: O WAF bloqueou a solicitação. Attack Type: O WAF registrou o ataque, mas não bloqueou a solicitação.	Filtrar eventos de ataque Use os seguintes campos na parte superior da tabela de eventos de ataque para filtrar eventos: Tipo de ataque: Por padrão, a opção Rule Type vem selecionada. Outras opções incluem Rule Action, Block, Log, Local File Inclusion, All, Webshell e SQL Injection. Tipo de regra: Por padrão, a opção XSS vem selecionada. Outras opções incluem Code Execution, Remote File Inclusion, Others e All. Ação da regra: Por padrão, a opção Critical Event Protection Rule Group vem selecionada. Outras opções são Critical Event Threat Intelligence e IP Address Blacklist for Protection for Critical Events. Visualizar detalhes do ataque Na coluna Shiro Deserialization Vulnerability Prevention de um evento, clique em All para visualizar mais informações sobre o ataque e a regra acionada, como o Block, Monitor, Actions, View Details e Rule ID.
     Inteligência de ameaças em tempo real (identificada por ③ na figura)	Exibe inteligência de ameaças em tempo real para endereços IP de invasores, incluindo: O endereço IP do invasor e seus atributos. A região do endereço IP do invasor. O número de ataques na última hora. O tipo de ataque.	Consultar inteligência de ameaças em tempo real para um endereço IP de invasor Insira um endereço IP na caixa de pesquisa e clique no ícone para consultar a inteligência de ameaças associada.