Beispiele und Ergebnisanalyse für Traffic-Filterregeln, einschließlich WAF-Regeln

Erfahren Sie, wie Sie verschiedene Arten von Traffic-Filterregeln deklarieren und die Ergebnisse mit den CND-Protokollen und Dashboard-Tools von Adobe Experience Manager as a Cloud Service (AEMCS) analysieren.

In diesem Abschnitt werden praktische Beispiele für Traffic-Filterregeln, einschließlich WAF-Regeln, vorgestellt. Sie erfahren, wie Sie Anfragen basierend auf URI (oder Pfad), IP-Adresse, Anzahl der Anfragen und verschiedenen Angriffstypen protokollieren, zulassen und blockieren, indem Sie das AEM WKND Sites-Projekt verwenden.

Darüber hinaus erfahren Sie, wie Sie Dashboard-Tools verwenden, die AEMCS-CDN-Protokolle erfassen, um wichtige Metriken über von Adobe bereitgestellten Beispiel-Dashboards zu visualisieren.

Um Ihre spezifischen Anfragen zu erfüllen, können Sie benutzerdefinierte Dashboards erweitern und erstellen, um tiefere Einblicke zu erhalten und die Regelkonfigurationen für Ihre AEM Sites zu optimieren.

Beispiele

Im Folgenden werden verschiedene Beispiele für Traffic-Filterregeln, einschließlich WAF-Regeln, vorgestellt. Vergewissern Sie sich, dass Sie den erforderlichen Einrichtungsprozess wie zuvor im Abschnitt Einrichtung abgeschlossen haben und dass Sie das AEM WKND Sites-Projekt geklont haben.

Protokollierung von Anfragen

Beginnen Sie mit der Protokollierung der Anfragen von WKND-Anmelde- und Abmeldepfaden für den Publish-Service von AEM.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    # On AEM Publish service log WKND Login and Logout requests
      - name: publish-auth-requests
        when:
          allOf:
            - reqProperty: tier
              matches: publish
            - reqProperty: path
              in:
                - /system/sling/login/j_security_check
                - /system/sling/logout
        action: log

Analysieren analyzing

Im Folgenden analysieren wir die Ergebnisse der Regel publish-auth-requests, indem wir die AEMCS-CDN-Protokolle aus Cloud Manager herunterladen und die Dashboard-Tools verwenden, die Sie im vorherigen Kapitel eingerichtet haben.

Blockieren von Anfragen

In diesem Beispiel fügen wir eine Seite in einem internen Ordner im Pfad /content/wknd/internal im bereitgestellten WKND-Projekt hinzu. Deklarieren Sie dann eine Traffic-Filterregel, die Traffic zu Unterseiten von allen anderen Adressen als einer angegebenen IP-Adresse, die Ihrer Organisation entspricht (z. B. ein Unternehmens-VPN), blockiert.

Sie können entweder eine eigene interne Seite erstellen (z. B. demo-page.html) oder das angehängte Paket verwenden.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...

    # Block requests to (demo) internal only page/s from public IP address but allow from internal IP address.
    # Make sure to replace the IP address with your own IP address.
      - name: block-internal-paths
        when:
          allOf:
            - reqProperty: path
              matches: /content/wknd/internal
            - reqProperty: clientIp
              notIn: [192.150.10.0/24]
        action: block

Analysieren

Um die Ergebnisse der Regel block-internal-paths zu analysieren, führen Sie dieselben Schritte aus wie im früheren Beispiel beschrieben.

Diesmal sollten Sie jedoch die blockierten Anfragen und die entsprechenden Werte in den Spalten Client-IP (cli_ip), Host, URL, Aktion (waf_action) und Regelname (waf_match) sehen.

Vermeiden von DoS-Angriffen

Wir vermeiden DoS-Angriffe durch das Blockieren von Anfragen von einer IP-Adresse, die 100 Anfragen pro Sekunde stellt. Die Adresse wird 5 Minuten lang blockiert.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    #  Prevent DoS attacks by blocking client for 5 minutes if they make more than 100 requests in 1 second.
      - name: prevent-dos-attacks
        when:
          reqProperty: path
          like: '*'
        rateLimit:
          limit: 100
          window: 1
          penalty: 300
          groupBy:
            - reqProperty: clientIp
        action: block

Analysieren

Um die Ergebnisse der Regel prevent-dos-attacks zu analysieren, führen Sie dieselben Schritte aus wie im früheren Beispiel beschrieben.

Diesmal sollten Sie viele blockierte Anfragen und die entsprechenden Werten in den Spalten Client-IP (cli_ip), Host, URL, Aktion (waf_action) und Regelname (waf_match) sehen.

Außerdem zeigen die Bedienfelder zu den Top 100 der Angriffe nach Client-IP, Land und Benutzeragent zusätzliche Details an, die zur weiteren Optimierung der Regelkonfiguration verwendet werden können.

Weitere Informationen zur Abwehr von DoS- und DDoS-Angriffen finden Sie im Tutorial Blockieren von DoS- und DDoS-Angriffen mithilfe von Traffic-Filter-Regeln.

WAF-Regeln

Die Beispiele für Traffic-Filterregeln können bisher von allen Kundinnen und Kunden von „Sites and Forms“ konfiguriert werden.

Als Nächstes sollten wir das Erlebnis einer Kundin oder eines Kunden untersuchen, die bzw. der eine Enhanced Security- oder WAF-DDoS-Schutzlizenz erworben hat, mit der erweiterte Regeln konfiguriert werden können, um Websites vor komplexeren Angriffen zu schützen.

Bevor Sie fortfahren, aktivieren Sie den WAF-DDoS-Schutz für Ihr Programm, wie in der Dokumentation zu Traffic-Filterregeln beschrieben. Einrichtungsschritte.

Ohne WAF-Flags

Lassen Sie uns zunächst das Erlebnis sehen, noch bevor WAF-Regeln deklariert werden. Wenn das WAF-DDoS in Ihrem Programm aktiviert ist, protokolliert Ihr CDN standardmäßig alle Übereinstimmungen mit bösartigem Traffic, sodass Sie über die richtigen Informationen verfügen, um geeignete Regeln zu finden.

Beginnen wir damit, die WKND-Site anzugreifen, ohne eine WAF-Regel hinzuzufügen (oder die Eigenschaft wafFlags) und analysieren Sie die Ergebnisse.

Analysieren

Um die Ergebnisse der Angriffsimulation zu analysieren, führen Sie dieselben Schritte aus wie im früheren Beispiel beschrieben.

Diesmal sollten Sie jedoch die gekennzeichneten Anfragen und die entsprechenden Werte in den Spalten Client-IP (cli_ip), Host, URL, Aktion (waf_action) und Regelname (waf_match) sehen. Mithilfe dieser Informationen können Sie die Ergebnisse analysieren und die Regelkonfiguration optimieren.

Beachten Sie, dass die Bedienfelder Verteilung von WAF-Flags und Top-Angriffe zusätzliche Details anzeigen, die zur weiteren Optimierung der Regelkonfiguration verwendet werden können.

Mit WAF-Flags

Fügen wir nun eine WAF-Regel hinzu, die die Eigenschaft wafFlags als Teil der Eigenschaft action enthält und die simulierten Angriffsanfragen blockiert.

Aus der Syntaxperspektive ähneln die WAF-Regeln den zuvor erkannten Regeln. Die Eigenschaft action verweist auf einen oder mehrere wafFlags-Werte. Weitere Informationen über wafFlags finden Sie im Abschnitt WAF-Flags-Liste.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    # Enable WAF protections (only works if WAF is enabled for your environment)
      - name: block-waf-flags
        when:
          reqProperty: tier
          matches: "author|publish"
        action:
          type: block
          wafFlags:
            - SANS
            - TORNODE
            - NOUA
            - SCANNER
            - USERAGENT
            - PRIVATEFILE
            - ABNORMALPATH
            - TRAVERSAL
            - NULLBYTE
            - BACKDOOR
            - LOG4J-JNDI
            - SQLI
            - XSS
            - CODEINJECTION
            - CMDEXE
            - NO-CONTENT-TYPE
            - UTF8

Analysieren

Wiederholen Sie die Schritte wie im früheren Beispiel beschrieben.

Dieses Mal sollten Einträge unter blockierte Anfragen und die entsprechenden Werte in den Spalten Client-IP (cli_ip), Host, URL, Aktion (waf_action) und Regelname (waf_match) zu sehen sein.

Außerdem zeigen die Bedienfelder WAF-Flags-Verteilung und Top-Angriffe zusätzliche Details an.

Umfassende Analyse

In vorherigen Abschnitt Analyse haben Sie erfahren, wie Sie die Ergebnisse bestimmter Regeln mithilfe des Dashboard-Tools analysieren können. Sie können die Analyseergebnisse mithilfe anderer Dashboard-Bedienfelder weiter untersuchen, darunter:

Nächster Schritt

Machen Sie sich mit empfohlenen Best Practices vertraut, um das Risiko von Sicherheitsverletzungen zu reduzieren.

Zusätzliche Ressourcen

Syntax für Traffic-Filterregeln

CDN-Protokollformat