Exemples et analyse des résultats de règles de filtrage du trafic, y compris des règles WAF

Découvrez comment déclarer différents types de règles de filtrage du trafic et analyser les résultats à l’aide des journaux du réseau CDN Adobe Experience Manager as a Cloud Service (AEMCS) et des outils de tableau de bord.

Dans cette section, découvrez quelques exemples pratiques de règles de filtrage du trafic, y compris les règles WAF. Vous apprendrez à consigner, autoriser et bloquer les demandes en fonction de l’URI (ou chemin), de l’adresse IP, du nombre de demandes et de différents types d’attaques à l’aide du Projet AEM Sites WKND.

Vous découvrirez également comment utiliser des outils de tableau de bord qui ingèrent des journaux du réseau CDN AEMCS pour visualiser des mesures essentielles au moyen d’exemples de tableaux de bord Adobe fournis.

Pour répondre à vos besoins spécifiques, vous pouvez améliorer et créer des tableaux de bord personnalisés, afin d’obtenir des informations approfondies et d’optimiser les configurations de règles pour AEM Sites.

Exemples

Consultons quelques exemples de règles de filtrage du trafic, y compris des règles WAF. Assurez-vous d’avoir effectué le processus de configuration requis, comme décrit dans la section de configuration précédente et que vous avez cloné le Projet AEM Sites WKND.

Journaliser les requêtes

Commencez par journaliser les demandes de connexion et de déconnexion de WKND sur le service de publication AEM.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    # On AEM Publish service log WKND Login and Logout requests
      - name: publish-auth-requests
        when:
          allOf:
            - reqProperty: tier
              matches: publish
            - reqProperty: path
              in:
                - /system/sling/login/j_security_check
                - /system/sling/logout
        action: log

Analyser analyzing

Analysons les résultats de la règle publish-auth-requests en téléchargeant les journaux du réseau CDN AEM à partir de Cloud Manager et en utilisant les outils du tableau de bord, que vous avez configurés dans le chapitre précédent.

Bloquer des requêtes

Dans l’exemple suivant, nous allons ajouter une page dans le dossier internal, situé sous /content/wknd/internal dans le projet WKND déployé. Appliquez ensuite une règle de filtrage du trafic qui bloque le trafic vers les sous-pages, sauf pour une adresse IP correspondant à votre entreprise (par exemple, un VPN d’entreprise).

Vous pouvez créer votre propre page interne (par exemple, demo-page.html) ou utiliser le package joint.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...

    # Block requests to (demo) internal only page/s from public IP address but allow from internal IP address.
    # Make sure to replace the IP address with your own IP address.
      - name: block-internal-paths
        when:
          allOf:
            - reqProperty: path
              matches: /content/wknd/internal
            - reqProperty: clientIp
              notIn: [192.150.10.0/24]
        action: block

Analyser

Pour analyser les résultats de la règle block-internal-paths, suivez les mêmes étapes que celles décrites dans l’exemple précédent.

Cependant, cette fois, vous devriez voir les Requêtes bloquées et les valeurs correspondantes dans les colonnes adresse IP du client ou de la cliente (cli_ip), hôte, URL, action (waf_action) et nom de la règle (waf_match).

Empêcher les attaques DoS

Pour empêcher les attaques DoS, nous allons bloquer pendant 5 minutes les adresses IP réalisant 100 requêtes par seconde.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    #  Prevent DoS attacks by blocking client for 5 minutes if they make more than 100 requests in 1 second.
      - name: prevent-dos-attacks
        when:
          reqProperty: path
          like: '*'
        rateLimit:
          limit: 100
          window: 1
          penalty: 300
          groupBy:
            - reqProperty: clientIp
        action: block

Analyser

Pour analyser les résultats de la règle prevent-dos-attacks, suivez les mêmes étapes que celles décrites dans l’exemple précédent.

Cette fois, vous devriez voir beaucoup de Requêtes bloquées et les valeurs correspondantes dans les colonnes adresse IP du client ou de la cliente (cli_ip), hôte, URL, action (waf_action) et nom de la règle (waf_match).

En outre, les panneaux 100 principales attaques par adresse IP du client ou de la cliente, pays et agent utilisateur affichent des détails supplémentaires, qui peuvent être utilisés pour optimiser davantage la configuration des règles.

Pour plus d’informations sur comment prévenir des attaques DoS et DDoS, consultez le tutoriel Blocage d’attaques DoS et DDoS à l’aide de règles de filtrage de trafic.

Règles WAF

Les exemples de règles de filtrage du trafic présentés jusqu’à présent peuvent être configurés par tous les clientes et clients Sites et Forms.

Penchons-nous à présent sur l’expérience d’une personne qui a acquis une licence de protection améliorée ou WAF-DDoS, qui lui permet de configurer des règles avancées pour protéger les sites web contre des attaques plus sophistiquées.

Avant de poursuivre, activez la protection WAF-DDoS pour votre programme, comme décrit dans la documentation des règles de filtrage du trafic, à la section Procédure de configuration.

Sans WAFFlags

Commençons par évaluer la situation avant la création des règles WAF. Lorsque la protection WAF-DDoS est activée sur votre programme, votre réseau CDN consigne par défaut toutes les occurences de trafic malveillant. Vous disposez donc des informations pertinentes à l’établissement des règles.

Commençons par attaquer le site WKND sans ajouter de règle WAF (ou en utilisant la propriété wafFlags) et analysons les résultats.

Analyser

Pour analyser les résultats de la simulation d’attaque, procédez comme stipulé dans l’exemple précédent.

Cependant, cette fois, vous devriez voir les Requêtes marquées et les valeurs correspondantes dans les colonnes adresse IP du client ou de la cliente (cli_ip), hôte, URL, action (waf_action) et nom de la règle (waf_match). Ces informations vous permettent d’analyser les résultats et d’optimiser la configuration des règles.

Notez comment les panneaux Distribution des indicateurs WAF et Principales attaques affichent des détails supplémentaires, qui peuvent être utilisés pour optimiser davantage la configuration des règles.

Avec WAFFlags

Ajoutons maintenant une règle WAF qui contient la propriété wafFlags dans le cadre de la propriété action et bloquons les requêtes d’attaque simulées.

Du point de vue de la syntaxe, les règles WAF sont similaires à celles que nous avons vues précédemment, à ceci près que la propriété action référence une ou plusieurs valeurs wafFlags. Pour en savoir plus sur la propriété wafFlags, consultez la section Liste des indicateurs WAF.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    # Enable WAF protections (only works if WAF is enabled for your environment)
      - name: block-waf-flags
        when:
          reqProperty: tier
          matches: "author|publish"
        action:
          type: block
          wafFlags:
            - SANS
            - TORNODE
            - NOUA
            - SCANNER
            - USERAGENT
            - PRIVATEFILE
            - ABNORMALPATH
            - TRAVERSAL
            - NULLBYTE
            - BACKDOOR
            - LOG4J-JNDI
            - SQLI
            - XSS
            - CODEINJECTION
            - CMDEXE
            - NO-CONTENT-TYPE
            - UTF8

Analyser

Répétez les mêmes étapes que pour l’exemple précédent.

Cette fois, vous devriez voir des entrées sous Requêtes bloquées et les valeurs correspondantes dans les colonnes adresse IP du client ou de la cliente (cli_ip), hôte, URL, action (waf_action) et nom de la règle (waf_match).

De plus, les panneaux Distribution des indicateurs WAF et Principales attaques fourmillent de détails supplémentaires.

Analyse exhaustive

Dans les sections d’analyse ci-dessus, vous avez appris à analyser les résultats de règles spécifiques à l’aide de l’outil de tableau de bord. Pour approfondir l’analyse des résultats, consultez les autres panneaux de tableau de bord disponibles, notamment :

Étape suivante

Consultez les bonnes pratiques afin de réduire le risque de violation de sécurité.

Ressources supplémentaires

Syntaxe des règles de filtrage du trafic

Format de journal de réseau CDN