Configuración de reglas básicas de protección web

Prerrequisitos

Se ha agregado un sitio web a WAF.

• Para ver el modo en la nube, consulte Conexión de un sitio web a WAF (Cloud Mode).
• Para el modo dedicado, consulte Conexión de un sitio web a WAF (Modo dedicado).

Restricciones

• La protección web básica tiene dos modos: Block y Log only.
• Se necesitan varios minutos para que una nueva regla entre en vigor. Una vez que la regla surta efecto, los eventos de protección activados por la regla se mostrarán en la página Events.
• Si selecciona Block para Basic Web Protection, puede configurar los criterios de control de acceso para un origen de ataque conocido. WAF bloqueará las solicitudes que coincidan con la dirección IP, la cookie o los parámetros configurados durante un período de tiempo configurado como parte de la regla.
• Actualmente, la inspección profunda y la inspección del jefe se apoyan en CN-Hong Kong, y AP-Bangkok.
• Actualmente, la comprobación de descifrado de Shiro es compatible con China-Hong Kong.

Procedimiento

1. Inicie sesión en la consola de gestión
2. Haga clic en la esquina superior izquierda de la consola de gestión y seleccione una región o proyecto.
3. Haga clic en la esquina superior izquierda y elija Web Application Firewall en Security & Compliance.
4. In the navigation pane, choose Website Settings.
5. En la columna Policy de la fila que contiene el nombre de dominio, haga clic en Configure Policy.
6. En el área de configuración de Basic Web Protection, cambie Status y Mode según sea necesario haciendo referencia a Tabla 1.
   Figura 1 Área de configuración de Protección web básica
   

   Tabla 1 Descripción del parámetro

   Parámetro	Descripción
   Status	Estado de la protección web básica : habilitado. : deshabilitado.
   Mode	Block: WAF bloquea y registra los ataques detectados. Log only: WAF solo registra los ataques detectados.

7. En el área de Basic Web Protection, haga clic en Advanced Settings.
8. Click the Protection Status tab, and enable protection types one by one by referring to Tabla 3. Figura 2 shows an example.shows an example.
   Figura 2 Protección web básica
   
   

   Si selecciona Mode para Block en la pestaña Protection Status, puede seleccionar una regla de origen de ataque conocida para permitir que WAF bloquee las solicitudes en consecuencia. Para más detalles, consulte Configuración de una regla de origen de ataque conocida.

   1. Establezca el nivel de protección.

      En la parte superior de la página, establezca Protection Level en Low, Medium, o High. El valor predeterminado es Medium.

      Tabla 2 Niveles de protección

      Nivel de protección	Descripción
      Low	WAF solo bloquea las solicitudes con firmas de ataque obvias. Si se reporta un gran número de falsas alarmas, se recomienda Low.
      Medium	El nivel predeterminado es Medium, que cumple con la mayoría de los requisitos de protección web.
      High	En este nivel, WAF proporciona la mejor protección granular y puede interceptar ataques con características complejas de bypass, como ciberataques Jolokia, detección de vulnerabilidades de interfaz de puerta de enlace común (CGI) y ataques de inyección de Druid SQL. Se recomienda observar sus cargas de trabajo durante un período de tiempo antes de configurar una regla de enmascaramiento de falsas alarmas y luego seleccionar High para que WAF pueda defenderse contra más ataques con un efecto mínimo en las solicitudes normales.

   2. Establezca el tipo de protección.
      

      De forma predeterminada, General Check está habilitada. Puede habilitar otros tipos de protección haciendo referencia a Tabla 3.

   Tabla 3 Tipos de protección

   Tipo	Descripción
   Verificación general	Protege contra ataques como inyecciones SQL, XSS, vulnerabilidades de desbordamiento remoto, inclusiones de archivos, vulnerabilidades Bash, ejecución remota de comandos, recorrido de directorios, acceso a archivos confidenciales e inyecciones de código/comando. Los ataques de inyección de SQL se detectan principalmente en base a la semántica. NOTA: Si habilita General Check, WAF comprueba sus sitios web basándose en las reglas incorporadas.
   Detección de webshell	Protege contra shells web de la interfaz de carga. NOTA: Si habilita la Webshell Detection, WAF detecta los caballos de Troya de la página web insertados a través de la interfaz de carga.
   Inspección profunda	Identifica y bloquea los ataques de evasión, como los que usan ofuscación de caracteres homomórficos, inyección de comandos con caracteres comodín deformados, UTF7, esquema de URI de datos y otras técnicas. NOTA: Si habilita Deep Inspection, WAF detecta y defiende contra ataques de evasión en profundidad.
   Inspección de cabecera	Esta función está deshabilitada por defecto. Cuando está deshabilitada, General Check comprobará algunos de los campos de encabezado, como User-Agent, Content-type, Accept-Language y Cookie. NOTA: Si habilita esta función, WAF comprueba todos los campos de encabezado de las solicitudes.
   Comprobación de descifrado de Shiro	Esta función está deshabilitada por defecto. Después de activar esta función, WAF utiliza AES y Base64 para descifrar el campo de memoria de cookies y comprueba si este campo es atacado. Hay cientos de claves filtradas conocidas incluidas y comprobadas.

9. Haga clic en la pestaña Protection Rules para ver los detalles. Figura 3 muestra un ejemplo. Para obtener más información sobre los parámetros, consulte Tabla 4.
   Figura 3 Visualización de reglas de protección
   
   

   Haga clic para buscar una regla por CVE ID, Risk Severity, Application Type, o Protection Type.

   Tabla 4 Reglas de protección

   Parámetro	Descripción
   Rule ID	El ID de regla de protección, que se genera automáticamente.
   Rule Description	Detalles de los ataques para los que está configurada la regla de protección.
   CVE ID	ID de vulnerabilidades y exposiciones comunes (CVE), que corresponde a la regla de protección. Para vulnerabilidades que no son CVE, se muestra un guion doble (--).
   Risk Severity	La gravedad de la vulnerabilidad, incluyendo: High Medium Low
   Application Type	El tipo de aplicaciones a las que se aplica la regla de protección, por ejemplo, WordPress.
   Protection Type	El tipo de ataque que la regla de protección está configurada para, por ejemplo, inyecciones de comandos.

Ejemplo - Bloqueo de Ataques de Inyección SQL

Si el nombre de dominio www.example.com se ha conectado a WAF, realice los siguientes pasos para verificar que WAF pueda bloquear ataques de inyección SQL.

1. Habilite General Check en Basic Web Protection y establezca el modo de protección en Block.
   Figura 4 Habilitación de la comprobación general
   

2. Habilite la protección web básica WAF.
   Figura 5 Habilitación de la protección web básica WAF
   

3. Borre la caché del navegador e introduzca una inyección SQL simulada (por ejemplo, http://www.example.com?id=' o 1=1) en el cuadro de dirección.

   WAF bloquea la solicitud de acceso. Figura 6 muestra una página de bloque de ejemplo.

   Figura 6 Página de bloqueo
   

4. Vaya a la consola WAF. En el panel de navegación de la izquierda, seleccione Events. Vea el evento en la página Events.
   Figura 7 Evento de inyección SQL