Web Application Firewall:Configure threat intelligence rules

Conceitos principais

• inteligência de ameaças: Módulo de proteção do WAF que identifica e bloqueia automaticamente endereços IP de origem de ataques web em todo o mundo, sem exigir a configuração manual de regras complexas. Para ativar esse módulo, crie um modelo de proteção de inteligência de ameaças. É possível criar vários modelos.

• modelo de proteção: Conjunto de regras que define o conteúdo específico da regra e seu escopo. Um modelo consiste em três partes: tipo de modelo, regras de proteção e escopo.

  • Tipo de modelo: Especifique um tipo ao criar o modelo; essa escolha não pode ser alterada posteriormente. Existem dois tipos de modelos:

    Tipo de modelo	Descrição	Casos de uso
    modelo padrão	Ao ser criado, o modelo se aplica a todos os objetos protegidos e grupos de objetos por padrão. Novos objetos adicionados também são incluídos automaticamente. É possível excluir manualmente objetos específicos definindo seu status como "Não aplicado". O módulo de inteligência de ameaças permite apenas um modelo padrão.	Implantar regras de uso geral com aplicação global.
    modelo personalizado	Especifique manualmente os objetos protegidos ou grupos de objetos protegidos aos quais o modelo se aplica.	Implantar regras granulares para services específicos.

  • regra de proteção: Define a lógica de detecção específica e a ação de resposta. Cada regra consiste em duas partes:

    • tipo de regra: Especifica o tipo de ameaça a ser detectado. Os tipos suportados incluem Website Scanning, Exploitation e Tor IP.

    • ação da regra: Define a ação a ser executada quando uma solicitação corresponde a uma regra. As ações seguem esta ordem de prioridade, da maior para a menor: bloquear, CAPTCHA deslizante estrito, CAPTCHA deslizante, desafio JS e monitorar.

  • escopo: Especifica os alvos aos quais o modelo se aplica. Ao definir o escopo, você aplica regras de proteção a objetos protegidos ou grupos de objetos protegidos específicos. Um objeto protegido ou grupo de objetos pode ser associado a apenas um modelo de inteligência de ameaças.

    • objeto protegido: O sistema cria automaticamente um objeto protegido para cada nome de domínio ou instância de cloud service adicionada ao WAF.

    • grupo de objetos protegidos: Adicione vários objetos protegidos a um grupo para gerenciamento centralizado.

Etapa 1: Configure o tipo de modelo de inteligência de ameaças

Na página Core Web Protection, na seção Threat Intelligence, clique em Create Template. No painel Create Template - Threat Intelligence, conclua as configurações a seguir.

• Template Name: Insira um nome para o modelo.

• Save as Default Template: O módulo de inteligência de ameaças aceita apenas um modelo padrão, e essa definição só pode ser feita durante a criação.

  • Yes: Não é necessário configurar o campo Apply To. Após a criação, o modelo se aplica automaticamente a todos os objetos protegidos e grupos de objetos. Novos objetos adicionados também são incluídos. É possível excluir objetos específicos manualmente.

  • No: Configure o campo Apply To especificando manualmente os objetos protegidos ou grupos de objetos protegidos aos quais o modelo se aplica.

Etapa 2: Configure regras de proteção

Na seção Rule Configuration, conclua as configurações abaixo.

• Tipo de regra: Selecione o tipo de regra conforme suas necessidades de negócio para defender contra tipos específicos de ataques.

  Tipo de regra	Descrição
  Website Scanning	Endereços IP que utilizam ferramentas automatizadas para sondar sites, identificando pilhas tecnológicas, portas abertas, possíveis vulnerabilidades de segurança ou coletando outras informações relacionadas.
  Exploitation	Endereços IP que exploram vulnerabilidades de segurança em aplicações web para executar operações maliciosas, obter acesso não autorizado e potencialmente causar danos.
  Tor IP	Endereços IP que funcionam como nós de saída da rede Tor. Representam tráfego de usuários que acessam a internet anonimamente via Tor.

• Rule Action: Selecione a ação a ser executada quando uma solicitação corresponder à regra.

  Parâmetro	Descrição
  JavaScript Validation	O WAF retorna um trecho de JavaScript ao cliente para validação. Navegadores padrão executam esse código automaticamente. Se o navegador do cliente executar o código com sucesso, o WAF permite todas as solicitações desse cliente por um período (30 minutos por padrão). Caso contrário, o WAF bloqueia as solicitações.
  Block	Bloqueia solicitações que correspondem à regra e retorna uma página de resposta de bloqueio ao cliente. Nota O WAF utiliza uma página de bloqueio padrão. Também é possível usar o recurso Custom Response para personalizar a página de bloqueio.
  Log	Permite solicitações que correspondem à regra, mas registra a ocorrência nos logs. Ao testar uma nova regra, utilize primeiro o modo Log para analisar os logs do WAF e confirmar que a regra não bloqueia solicitações legítimas antes de mudar para outra ação de regra.
  CAPTCHA	O WAF retorna uma página CAPTCHA ao cliente. Se o cliente concluir o CAPTCHA com sucesso, o WAF permite todas as solicitações desse cliente por um período (30 minutos por padrão). Caso contrário, o WAF bloqueia as solicitações. Nota Para instâncias WAF com método de faturamento pagamento conforme o uso, esta ação de regra gera taxas adicionais. Para mais informações, consulte Detalhes de faturamento pay-as-you-go.
  Strict CAPTCHA	O WAF retorna uma página CAPTCHA ao cliente. Se o cliente concluir o CAPTCHA com sucesso, o WAF permite a solicitação. Caso contrário, o WAF a bloqueia. Neste modo, toda solicitação do cliente que corresponder a esta regra exige verificação por CAPTCHA. Nota Para instâncias WAF com método de faturamento pagamento conforme o uso, esta ação de regra gera taxas adicionais. Para mais informações, consulte Detalhes de faturamento pay-as-you-go.

  Nota

  • A ação CAPTCHA está disponível apenas em instâncias WAF por assinatura (Enterprise ou Ultimate Edition) e pagamento conforme o uso.

  • As ações JavaScript Validation e CAPTCHA aplicam-se apenas a solicitações síncronas. Para solicitações assíncronas, como aquelas feitas com XMLHttpRequest ou Fetch API, injete o Web SDK. Caso contrário, esses recursos não funcionarão corretamente. Para mais informações, consulte as seções sobre validação JavaScript e CAPTCHA em Gerenciamento de bots.

  • Após ativar a JavaScript Validation ou o CAPTCHA e o cliente passar na verificação, o WAF usa Set-Cookie para definir um cookie chamado acw_sc__v2 (para JavaScript Validation) ou acw_sc__v3 (para CAPTCHA) no cabeçalho de resposta. O cliente então inclui esse identificador no cabeçalho Cookie das solicitações subsequentes.

• Advanced Settings (Opcional):

  Parâmetro	Descrição
  Canary Rule	Configura a porcentagem de tráfego à qual a regra se aplica, com base em uma dimensão específica. Ao ativar o canary release, configure também a Dimension e a Canary Release Proportion. A Dimension inclui: IP, Custom Header, Custom Parameter, Custom Cookie e Session. Nota O canary release entra em vigor com base na Dimension configurada, em vez de aplicar a regra a uma porcentagem aleatória de todas as solicitações. Por exemplo, se você definir a Dimension como IP e a Canary Release Proportion como 10%, o WAF selecionará aproximadamente 10% de todos os endereços IP de origem. Todas as solicitações provenientes desses endereços IP selecionados estarão sujeitas à regra; a regra não é aplicada aleatoriamente a 10% de todas as solicitações.
  Effective Mode	Permanently Effective (Padrão): A regra permanece sempre ativa enquanto o modelo de proteção estiver ativado. Fixed Schedule: A regra de proteção fica ativa apenas durante um intervalo de tempo especificado. Recurring Schedule: A regra de proteção fica ativa apenas durante um período recorrente especificado.

Etapa 3: Defina o escopo do modelo

Na seção Apply To, selecione os objetos protegidos e grupos de objetos protegidos aos quais deseja aplicar este modelo.

A forma como o modelo é aplicado depende da sua configuração em Etapa 1:

• Se definido como modelo padrão: Não é necessário configurar o escopo. O modelo se aplica automaticamente a todos os objetos protegidos e grupos de objetos existentes e futuros. É possível excluir objetos específicos manualmente.

• Se não definido como modelo padrão: Especifique manualmente os objetos protegidos e grupos de objetos protegidos para o escopo.

Operações comuns