Verkeersfilterregels inclusief WAF-regels traffic-filter-rules-including-waf-rules

De filterregels van het verkeer blokkeren of staan verzoeken bij de laag CDN toe, die in scenario’s zoals het volgende nuttig is:

Veel van deze regels voor verkeersfilters zijn beschikbaar voor alle AEM as a Cloud Service-sites en Forms-klanten. Als standaardregels van de verkeersfilter, werken zij op verzoekeigenschappen: IP, hostname, weg, en gebruikersagent. De standaard regels van de verkeersfilter omvatten tarief grensregels om tegen verkeerspikes te beschermen.

Een subcategorie van de regels van de verkeersfilter vereist of een Uitgebreide Beveiliging (vroeger genoemd Bescherming WAF-DDoS) of Uitgebreide Veiligheid voor Gezondheid (vroeger genoemd Uitgebreide Veiligheid) vergunning. Deze krachtige regels zijn gekend als het verkeersfilterregels van het het verkeersfilter van WAF (of WAF regels) en hebben toegang tot de ​ Vlaggen van WAF ​ later in dit artikel wordt beschreven dat.

De filterregels van het verkeer kunnen via Cloud Manager config pijpleidingen worden opgesteld om, stadium, en de types van productiemilieu te ontwikkelen. Het configuratiedossier kan aan de Milieu’s van de Snelle Ontwikkeling (RDEs) worden opgesteld gebruikend bevellijn tooling.

Om deskundigheid op deze eigenschap snel te bereiken, ​ voltooi een leerprogramma ​.

Hoe dit artikel is ingedeeld how-organized

Dit artikel is onderverdeeld in de volgende secties:

Overzicht van verkeersbeveiliging traffic-protection-overview

In het huidige digitale landschap is kwaadwillig verkeer een steeds grotere bedreiging. Adobe erkent de ernst van het risico en biedt verschillende manieren om klanttoepassingen te beschermen en aanvallen te beperken wanneer deze zich voordoen.

Aan de rand absorbeert de door Adobe beheerde CDN DoS-aanvallen op de netwerklaag (lagen 3 en 4), inclusief overstroming en reflectie-/versterkingsaanvallen.

Adobe neemt standaard maatregelen om te voorkomen dat de prestaties achteruitgaan als gevolg van uitbarstingen van onverwacht hoog verkeer boven een bepaalde drempel. Als er een aanval van Dos is die plaatsbeschikbaarheid beïnvloedt, worden de verrichtingenteams van Adobe gewaarschuwd en nemen stappen om te verlichten.

De klanten nemen pro-actieve maatregelen om de aanvallen van de toepassingslaag (laag 7) te verlichten door regels bij diverse lagen van de stroom van de inhoudslevering te vormen.

Bijvoorbeeld, bij de laag Apache, vormen de klanten of de ​ module van Dispatcher ​ of ​ ModSecurity ​ om toegang tot bepaalde inhoud te beperken.

Aangezien dit artikel beschrijft, stellen de regels van de verkeersfilter aan Adobe Beheerde CDN op gebruikend Cloud Manager ​ config pijpleidingen ​ in werking. Buiten standaard de regels van de verkeersfilter (IP, weg, kopballen, tariefgrenzen), de regels van WAF van de klantenvergunning **.

Voorgesteld proces suggested-process

Het volgende is een op hoog niveau geadviseerd proces van begin tot eind voor het bepalen van de juiste regels van de verkeersfilter:

Instellen setup

Syntaxis van verkeersfilterregels rules-syntax

Om patronen zoals IP, gebruikersagent, kopballen, hostname, geo, of URL aan te passen, kunt u regels van de verkeersfilter vormen.

De klanten met een Uitgebreide Veiligheid of Uitgebreide Veiligheid voor de vergunning van de Gezondheidszorg vormen regels van WAF die ​ de vlaggen van WAF ​ van verwijzingen voorzien.

Hier is een voorbeeld van een reeks regels van de verkeersfilter, die ook een regel van WAF omvat.

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "path-rule"
        when:
          allOf:
            - { reqProperty: path, equals: /block-me }
            - { reqProperty: tier, equals: publish }
        action:
          type: block
      - name: "Enable-SQL-Injection-and-XSS-waf-rules-globally"
        when: { reqProperty: path, like: "*" }
        action:
          type: block
          wafFlags: [ SQLI, XSS]

De indeling van de verkeersfilterregels in het cdn.yaml -bestand wordt hieronder beschreven. Zie sommige ​ andere voorbeelden ​ in een recentere sectie, en een afzonderlijke sectie over ​ Regels van de Grens van het Tarief ​.

Actiestructuur action-structure

Een action kan een tekenreeks zijn die de handeling opgeeft (toestaan, blokkeren of vastleggen), of een object dat is samengesteld uit zowel het handelingstype (toestaan, blokkeren of vastleggen) als opties zoals wafFlags en/of status.

Types van Acties

De acties worden geprioriteerd volgens hun types in de volgende lijst, die wordt bevolen om op de ordeacties te wijzen wordt uitgevoerd:

WAF-vlaggen waf-flags-list

De eigenschap wafFlags , die wordt gebruikt in de licentieable WAF-regels voor verkeersfilters, verwijst naar het volgende:

Slecht verkeer

Verdacht verkeer

Diversen verkeer

Overwegingen considerations

Voorbeelden van regels examples

Hier volgen enkele regelvoorbeelden. Zie de ​ sectie van de tariefgrens ​ verder neer voor voorbeelden van de regels van de tariefgrens.

Voorbeeld 1

Deze regel blokkeert aanvragen die afkomstig zijn van IP192.168.1.1 :

kind: "CDN"
version: "1"
data:
  trafficFilters:
     rules:
       - name: "block-request-from-ip"
         when: { reqProperty: clientIp, equals: "192.168.1.1" }
         action:
           type: block

Voorbeeld 2

Deze regel blokkeert aanvragen om een pad /helloworld bij publicatie met een gebruikersagent die Chrome bevat:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "block-request-from-chrome-on-path-helloworld-for-publish-tier"
        when:
          allOf:
          - { reqProperty: path, equals: /helloworld }
          - { reqProperty: tier, equals: publish }
          - { reqHeader: user-agent, matches: '.*Chrome.*'  }
        action:
          type: block

Voorbeeld 3

Deze regel blokkeert verzoeken om publicatie die de vraagparameter foo bevatten, maar staat elke aanvraag toe die uit IP 192.168.1.1 komt:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "block-request-that-contains-query-parameter-foo"
        when:
          allOf:
            - { queryParam: url-param, equals: foo }
            - { reqProperty: tier, equals: publish }
        action:
          type: block
      - name: "allow-all-requests-from-ip"
        when: { reqProperty: clientIp, equals: 192.168.1.1 }
        action:
          type: allow

Voorbeeld 4

Deze regel blokkeert aanvragen om een pad /block-me bij publicatie en blokkeert elke aanvraag die overeenkomt met een patroon SQLI of XSS . Dit voorbeeld omvat een regel van de het verkeersfilter van WAF, die SQLI en XSS ​ Vlaggen van WAF ​ van verwijzingen voorziet, en zo een afzonderlijke vergunning vereist.

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "path-rule"
        when:
          allOf:
            - { reqProperty: path, equals: /block-me }
            - { reqProperty: tier, equals: publish }
        action:
          type: block
      - name: "Enable-SQL-Injection-and-XSS-waf-rules-globally"
        when: { reqProperty: path, like: "*" }
        action:
          type: block
          wafFlags: [ SQLI, XSS]

Voorbeeld 5

Deze regel blokkeert de toegang tot OFAC-landen:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: block-ofac-countries
        when:
          allOf:
            - reqProperty: tier
              matches: "author|publish"
            - reqProperty: clientCountry
              in:
                - SY
                - BY
                - MM
                - KP
                - IQ
                - CD
                - SD
                - IR
                - LR
                - ZW
                - CU
                - CI
        action: block

Regels inzake maximumtarieven

Soms is het wenselijk om verkeer te blokkeren als het een bepaald tarief van inkomende verzoeken, gebaseerd op een specifieke voorwaarde overschrijdt. Als u een waarde voor de eigenschap rateLimit instelt, wordt de frequentie van die aanvragen beperkt die overeenkomen met de regelvoorwaarde.

Regels voor tarieflimieten kunnen niet verwijzen naar WAF-vlaggen. Ze zijn beschikbaar voor alle klanten van Sites en Forms.

Snelheidslimieten worden berekend per CDN POP. Als voorbeeld, veronderstel dat POPs in Montreal, Miami, en Dublin verkeerstarieven van 80, 90, respectievelijk 120 verzoeken per seconde ervaren. En de tarieflimietregel is ingesteld op een limiet van 100. In dat geval is alleen het verkeer naar Dublin beperkt.

De grenzen van het tarief worden geëvalueerd gebaseerd op of verkeer dat de rand raakt, verkeer dat de oorsprong raakt, of het aantal fouten.

rateLimit-structuur ratelimit-structure

Voorbeelden ratelimiting-examples

Voorbeeld 1

Deze regel blokkeert een cliënt 5 minuten wanneer het een gemiddelde van 60 req/sec (per KNP CDN) in de laatste 10 sec overschrijdt:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
    - name: limit-requests-client-ip
      when:
        reqProperty: tier
        matches: "author|publish"
      rateLimit:
        limit: 60
        window: 10
        penalty: 300
        count: all
        groupBy:
          - reqProperty: clientIp
      action: block

Voorbeeld 2

De verzoeken van het blok op weg /kritiek/middel voor 60 seconden wanneer het een gemiddelde van 100 verzoeken aan oorsprong per seconde (per CDN POP) op een tijdvenster van tien seconden overschrijdt:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: rate-limit-example
        when:
          allOf:
            - { reqProperty: path, equals: /critical/resource }
            - { reqProperty: tier, equals: publish }
        action:
          type: block
        rateLimit: { limit: 100, window: 10, penalty: 60, count: fetches }

Voor extra codefragmenten voor geavanceerde scenario’s, zie de ​ Fragmenten van de Configuratie CDN voor Gemeenschappelijke Scenarios ​ artikel.

CVE-regels cve-rules

Als WAF een licentie heeft, past Adobe automatisch blokkeringsregels toe om te beschermen tegen veel bekende CVE’s (Common Vulnerabilities and Exposure) en worden snel na de ontdekking nieuwe CVE’s toegevoegd. Klanten configureren zelf geen CVE-regels.

Als een verkeersaanvraag overeenkomt met een CVE, wordt deze weergegeven in de corresponderende CDN-logbestandvermelding.

Neem contact op met de ondersteuning van Adobe als er vragen zijn over een bepaalde CVE of als er een bepaalde CVE-regel is die uw organisatie wil uitschakelen.

Waarschuwingen voor verkeersfilterregels traffic-filter-rules-alerts

Een regel kan worden gevormd om een bericht van het Centrum van Acties te verzenden als het tien keer binnen een 5 minieme venster wordt teweeggebracht. Een dergelijke regel waarschuwt u wanneer bepaalde verkeerspatronen voorkomen zodat u om het even welke noodzakelijke maatregelen kunt nemen. Wanneer een waarschuwing voor een bepaalde regel wordt geactiveerd, wordt deze niet opnieuw geactiveerd tot de volgende dag (UTC).

Leer meer over ​ Centrum van Acties ​, met inbegrip van hoe te opstelling de vereiste Profielen van het Bericht om e-mails te ontvangen.

De waakzame eigenschap kan worden toegepast op het actieknooppunt voor alle handelingstypen (toestaan, blokkeren, vastleggen).

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "path-rule"
        when:
          allOf:
            - { reqProperty: path, equals: /block-me }
            - { reqProperty: tier, equals: publish }
        action:
          type: block
          alert: true

Standaardverkeersspiraal bij oorsprong, waarschuwing traffic-spike-at-origin-alert

Een ​ e-mailbericht van het Centrum van Acties ​ waarschuwt u wanneer het hoge verkeer van het zelfde IP adres de oorsprong raakt, die een aanval voorstellen DDoS.

Als aan deze drempel wordt voldaan, blokkeert Adobe verkeer van dat IP adres; Neem extra maatregelen om uw oorsprong te beschermen, zoals het vormen van de regels van de snelheidsgrensfilter. Zie ​ het Blokkeren Dos en aanvallen DDoS gebruikend het leerprogramma van verkeersregels ​ voor een geleide analyse.

Het systeem laat dit alarm door gebrek toe, maar u kunt het onbruikbaar maken gebruikend het defaultTrafficAlerts bezit, dat aan vals wordt geplaatst. Nadat de waarschuwing is geactiveerd, wordt deze pas de volgende dag (UTC) opnieuw geactiveerd.

kind: "CDN"
version: "1"
data:
  trafficFilters:
   defaultTrafficAlerts: false

CDN-logbestanden cdn-logs

AEM as a Cloud Service verleent toegang tot CDN logboeken, die voor gebruiksgevallen met inbegrip van de optimalisering van de geheim voorgeheugenklapverhouding, en het vormen van de regels van de verkeersfilter nuttig zijn. CDN- logboeken verschijnen in de dialoog van de Logboeken van de Download van Cloud Manager ​, wanneer het selecteren van de Auteur of de Publish dienst.

CDN-logbestanden worden maximaal vijf minuten vertraagd.

De eigenschap rules beschrijft welke regels voor verkeersfilters worden aangepast en heeft het volgende patroon:

"rules": "match=<matching-customer-named-rules-that-are-matched>,waf=<matching-WAF-rules>,action=<action_type>"

Bijvoorbeeld:

"rules": "match=Block-Traffic-under-private-folder,Enable-SQL-injection-everywhere,waf="SQLI,SANS",action=block"

De regels gedragen zich als volgt:

Zoals eerder vermeld, verschijnen de regelovereenkomsten van WAF slechts in CDN- logboeken voor CDN missen en overgaan, niet klappen.

In het onderstaande voorbeeld ziet u een voorbeeld cdn.yaml en twee CDN-logitems:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "path-rule"
        when: { reqProperty: path, equals: /block-me }
        action: block
      - name: "Enable-SQL-Injection-and-XSS-waf-rules-globally"
        when: { reqProperty: path, like: "*" }
        action:
          type: block
          wafFlags: [ SQLI, XSS ]

{
"timestamp": "2023-05-26T09:20:01+0000",
"ttfb": 19,
"cli_ip": "147.160.230.112",
"cli_country": "CH",
"rid": "974e67f6",
"req_ua": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/14.0.3 Safari/605.1.15",
"host": "example.com",
"url": "/block-me",
"method": "GET",
"res_ctype": "",
"cache": "PASS",
"status": 406,
"res_age": 0,
"pop": "PAR",
"rules": "match=path-rule,action=blocked"
}

{
"timestamp": "2023-05-26T09:20:01+0000",
"ttfb": 19,
"cli_ip": "147.160.230.112",
"cli_country": "CH",
"req_ua": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/14.0.3 Safari/605.1.15",
"rid": "974e67f6",
"host": "example.com",
"url": "/?sqli=%27%29%20UNION%20ALL%20SELECT%20NULL%2CNULL%2CNULL%2CNULL%2CNULL%2CNULL%2CNULL%2CNULL%2CNULL%2CNULL--%20fAPK",
"method": "GET",
"res_ctype": "image/png",
"cache": "PASS",
"status": 406,
"res_age": 0,
"pop": "PAR",
"rules": "match=Enable-SQL-Injection-and-XSS-waf-rules-globally,waf=SQLI,action=blocked"
}

Logbestandsindeling cdn-log-format

Hieronder vindt u een lijst met veldnamen die in CDN-logbestanden worden gebruikt, samen met een korte beschrijving.

Gereedschap Dashboard dashboard-tooling

Adobe biedt een mechanisme voor het downloaden van dashboardgereedschappen naar uw computer om CDN-logbestanden in te voegen die via Cloud Manager zijn gedownload. Om uw verkeer te analyseren en de hulp bepaalt de aangewezen regels van de verkeersfilter, met inbegrip van de regels van WAF te verklaren, gebruik dit tooling.

Het tooling van het dashboard kan direct van de ​ worden gekloond AEMCS-CDN-Logboek-Analyse-Tooling ​ bewaarplaats GitHub.

​ een leerprogramma van A ​ is beschikbaar voor concrete instructies op hoe te om het dashboardhulpmiddel te gebruiken.

Aanbevolen startregels recommended-starter-rules

Adobe stelt voor eerst de regels voor het verkeersfilter hieronder te gebruiken en deze vervolgens in de loop van de tijd te verfijnen. Standaard regels zijn beschikbaar met een vergunning van Plaatsen of van Forms, terwijl de regels van WAF een Uitgebreide (vroeger genoemde Bescherming WAF-DDoS) of Uitgebreide Veiligheid voor de (vroeger genoemde Uitgebreide Veiligheid) vergunning van de Veiligheid vereisen.

Aanbevolen standaardregels recommended-nonwaf-starter-rules

Begin met deze regels:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
    #  Block client for 5m when it exceeds an average of 100 req/sec to origin on a time window of 10sec
    - name: limit-origin-requests-client-ip
      when:
        reqProperty: tier
        equals: 'publish'
      rateLimit:
        limit: 100
        window: 10
        count: fetches
        penalty: 300
        groupBy:
          - reqProperty: clientIp
      action: log
    #  Block client for 5m when it exceeds an average of 500 req/sec on a time window of 10sec
    - name: limit-requests-client-ip
      when:
        reqProperty: tier
        equals: 'publish'
      rateLimit:
        limit: 500
        window: 10
        count: all
        penalty: 300
        groupBy:
          - reqProperty: clientIp
      action: log
      alert: true
    # Block requests coming from OFAC countries
    - name: ofac-countries
      when:
        allOf:
          - { reqProperty: tier, in: ["author", "publish"] }
          - reqProperty: clientCountry
            in:
              - SY
              - BY
              - MM
              - KP
              - IQ
              - CD
              - SD
              - IR
              - LR
              - ZW
              - CU
              - CI
      action: block

Aanbevolen WAF-regels recommended-waf-starter-rules

Voeg de volgende regels toe aan uw bestaande configuratie:

    # blocks likely attack traffic, which also comes from suspected IPs
    - name: attacks-from-bad-ips-globally
      when:
        reqProperty: tier
        in: ["author", "publish"]
      action:
        type: block
        wafFlags:
          - ATTACK-FROM-BAD-IP
    # log likely attack traffic, and later switch to block mode if false positives aren't observed
    - name: attacks-from-any-ips-globally
      when:
        reqProperty: tier
        in: ["author", "publish"]
      action:
        type: log
        wafFlags:
          - ATTACK

Aanbevolen WAF-regels voor oudere versies previous-waf-starter-rules

Vóór juli 2025 heeft Adobe de hieronder vermelde WAF-regels aanbevolen, die nog steeds geldig en doeltreffend zijn in de strijd tegen kwaadwillig verkeer. Raadpleeg de zelfstudie voor meer informatie over het migreren naar de nieuwe aanbevolen regels.

    # Enable recommended WAF protections (only works if WAF is licensed enabled for your environment)
    - name: block-waf-flags-globally
      when:
        reqProperty: tier
        in: ["author", "publish"]
      action:
        type: log
        wafFlags:
          - TRAVERSAL
          - CMDEXE-NO-BIN
          - XSS
          - LOG4J-JNDI
          - BACKDOOR
          - USERAGENT
          - SQLI
          - SANS
          - TORNODE
          - NOUA
          - SCANNER
          - PRIVATEFILE
          - NULLBYTE

Zelfstudie tutorial

Om praktische kennis en ervaring rond de regels van de verkeersfilter, met inbegrip van de regels van WAF te bereiken, werk door ​ een reeks leerprogramma’s ​.

De zelfstudies omvatten: