Возможности защиты приложений PT AF PRO. Часть 2

Приветствуем вас на портале TS University!

В предыдущей части «Возможностей защиты приложений» мы рассмотрели настройку профиля трафика для корректной обработки направления движения трафика от опубликованного внешнего адреса до защищаемого приложения и обратно. А в этой приступим к изучению функции для настройки шаблона политик безопасности, который в последствии будем применять для проверки данных из профиля трафика.

Как раз здесь мы добавляем шаблон политики безопасности, профиль трафика (на который её применяем) и при необходимости SSL-сертификат.

Также на выбор доступны три действия (при соответствии данной политике):

• Без мер защиты. В этом случае PT AF PRO просто пропускает трафик в соответствии с профилем и не осуществляет никаких мер (даже логирования). Можно сказать, он просто отключает проверку безопасности для данного веб-приложения;
• Обнаружение и изменение содержимого. В данном случае трафик будет отображаться во вкладке событий. При необходимости PT AF может изменять содержимое трафика;
• Все меры защиты. При выборе такого пункта трафик будет как логироваться и изменяться при необходимости, так и блокироваться. Тем самым он обеспечивает невозможность нарушения работоспособности вашего сервиса или сервера, на котором расположено веб-приложение

В поле «узлы» и «расположение» можно (в рамках профиля трафика) детально настроить при обращении на какой ip-адрес и по какому пути на сайте (URL) будет осуществляться фильтрация согласно установленной политике.

То есть в первом случае, например, для одного и того же трафика создано несколько политик безопасности. И применить их мы хотим на разные ip-адреса наших веб-сервисов.

В случае с конкретным url мы можем указать путь до защищаемого веб-приложения. То есть часть его адреса после доменного имени или IP-адреса, защищая, например, только страницу авторизации или регистрации пользователя.

Если перед PT AF PRO установлен прокси-сервер или балансировщик, то вам необходимо будет указать, каким способом будет передаваться ip-адрес клиента:

• из протокола прокси-сервера;
• либо из HTTP-заголовка

Шаблон политики безопасности - это неотъемлемая часть раздела «веб-приложения».

В PT AF PRO есть ряд предустановленных политик, которыми можно воспользоваться для быстрой настройки. Однако если требуются специфические правила, то их возможно добавить.

Для создания необходимо задать лишь название политики (и на основе чего она работает):

Рассмотрим пример системного правила.

Состоит оно из списка «сигнатур» относящихся к тому или иному набору. Заходя внутрь него, можно изучить расширенную информацию по действиям при срабатывании: на какой фазе проверяется, с чем классифицируется и т.д:

Каждое системное правило имеет описание того, на безопасность чего оно нацелено.
Однако этого может быть недостаточно для более тонкой настройки шаблона политики.

В этом случае PT AF PRO позволяет сконфигурировать данные правила самостоятельно, используя синтаксис языка пользовательских правил.

Первая часть носит информационный характер правила для облегчения в поиске классификации по типу и степени опасности:

Однако уже во второй части пользователю необходимо осуществить конфигурацию правила (что проверяется и какие действия предпринимаются).

Для создания правила необходимо задать переменные и указать код согласно синтаксису. Более детально вы можете ознакомиться с этой информацией в руководстве пользователя. Там есть список всех контекстных переменных и примеры, описывающие сам синтаксис. Если говорить более точно - это разделы с заголовками: «Структура синтаксис языка пользовательских правил» и «Контекстные переменные».

Последним пунктом составления пользовательского правила является «Действие при срабатывании». Его также можно тонко настроить.

• Отправлять свой ответ. В этом случае запрос будет заблокирован, и можно будет вернуть свой ответ при срабатывании правила.

Например: мы хотим оповещать пользователей о том, чтобы они не совершали много запросов. Для этого нужно указать причину блокировки доступа.

Перейдём к завершающей части о возможностях в настройке безопасности PT AF PRO.

Глобальный список — это список IP-адресов, который доступен для настройки защиты веб-приложений. Глобальные списки используются как условие срабатывания правил. Например, если какой-то ip-адрес содержится в заданном списке, то будет блокироваться любой трафик, поступающий от него.

По умолчанию в системе доступен динамический список Aggregation blacklist, в который при агрегации запросов добавляются адреса, необходимые к блокировке.
Блокировка ip-адресов согласно глобальному списку настраивается (и настроена для шаблонов) в соответствующих правилах. Например, в группе правил: репутация IP-адресов - Блокировать клиентов по IP-адресу в результате агрегации (динамические списки). В заданном правиле уже установлено шаблонное действие: «блокировать при соответствии данных из также заданного динамического списка».

В нашем случае это как раз Aggregation blacklist:

Глобальные списки делятся на статические и динамические.
IP-адреса для статических списков загружаются из текстового файла и не изменяются при работе системы.

Динамические списки заполняются при срабатывании правил и хранят IP-адреса не более одной недели. Также вы можете вручную добавлять IP-адреса в динамический список.

Глобальные списки используются:

• в системных правилах для блокировки запроса по IP-адресу (продемонстрирован выше);
• в пользовательских правилах;
• для исключения ложных срабатываний правила;

• для настройки агрегации событий (только динамические списки). Её мы рассмотрим в статье анализа событий;
• для создания действия типа «Добавлять IP-адрес клиента в глобальный динамический список» (только динамические списки).

Работа со статическими списками осуществляется посредством загрузки .txt файла. Который в случае обновления списка можно выгрузить и, например, использовать где-то ещё.
На этом пятая статья подходит к концу. В следующем материале мы с вами приступим к базовой настройке политики PT AF PRO и её тестированию при помощи GoTestWaf.

Оставайтесь с нами!