Voorbeelden en resultaatanalyse van verkeersfilterregels inclusief WAF-regels

Leer hoe te om diverse types van de regels van de verkeersfilter te verklaren en de resultaten te analyseren gebruikend de logboeken van CDN van Adobe Experience Manager as a Cloud Service (AEMCS) en dashboard tooling.

In deze sectie, zult u praktische voorbeelden van de regels van de verkeersfilter, met inbegrip van de regels van WAF onderzoeken. U zult leren om, verzoeken te registreren toe te staan en te blokkeren die op URI (of weg) worden gebaseerd, IP adres, het aantal verzoeken, en verschillende aanvalstypes gebruikend het AEM Project van Plaatsen WKND.

Bovendien zult u ontdekken hoe te om dashboardtooling te gebruiken die de logboeken van AEMCS CDN opneemt om essentiële metriek door Adobe te visualiseren verstrekte steekproefdashboards.

Om zich aan uw specifieke vereisten te richten, kunt u verbeteren en douanedashboards tot stand brengen, waarbij diepgaande inzichten en het optimaliseren van de regelconfiguraties voor uw AEM plaatsen worden verkregen.

Voorbeelden

Laten we verschillende voorbeelden van verkeersfilterregels onderzoeken, waaronder WAF-regels. Zorg ervoor u het vereiste opstellingsproces zoals die in vroeger wordt beschreven hoe te opstellinghoofdstuk hebt voltooid en dat u het AEM Project van Plaatsen WKNDhebt gekloond.

Registratieverzoeken

Begin door het registreren verzoeken van login WKND en logout wegen tegen de dienst van AEM Publish.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    # On AEM Publish service log WKND Login and Logout requests
      - name: publish-auth-requests
        when:
          allOf:
            - reqProperty: tier
              matches: publish
            - reqProperty: path
              in:
                - /system/sling/login/j_security_check
                - /system/sling/logout
        action: log

Analyseren analyzing

Analyseer de resultaten van de publish-auth-requests regel door de logboeken AEMCS CDN van Cloud Manager te downloaden en het dashboard toolingte gebruiken, die u opstelling in het vroegere hoofdstuk.

Blokkeringsaanvragen

In dit voorbeeld, voegen een pagina in een interne omslag bij de weg /content/wknd/internal in het opgestelde project WKND toe. Dan verklaar een regel van de verkeersfilter dat verkeer aan subpages van overal buiten een gespecificeerd IP adres blokkeert dat uw organisatie (bijvoorbeeld, collectieve VPN) aanpast.

U kunt of uw eigen interne pagina (bijvoorbeeld, demo-page.html) tot stand brengen of het pakket in bijlagegebruiken.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...

    # Block requests to (demo) internal only page/s from public IP address but allow from internal IP address.
    # Make sure to replace the IP address with your own IP address.
      - name: block-internal-paths
        when:
          allOf:
            - reqProperty: path
              matches: /content/wknd/internal
            - reqProperty: clientIp
              notIn: [192.150.10.0/24]
        action: block

Analyseren

Om de resultaten van de block-internal-paths regel te analyseren, volg de zelfde stappen zoals die in het vroegere voorbeeldworden beschreven.

Nochtans, zou dit keer u de Geblokkeerde verzoeken en overeenkomstige waarden in cliëntIP (cli_ip), gastheer, URL, actie (waf_action), en regel-name (waf_match) kolommen moeten zien.

DoS-aanvallen voorkomen

Laat aanvallen van Dos verhinderen door verzoeken van een IP adres te blokkeren die 100 verzoeken per seconde maken, die het veroorzaken om voor 5 minuten worden geblokkeerd.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    #  Prevent DoS attacks by blocking client for 5 minutes if they make more than 100 requests in 1 second.
      - name: prevent-dos-attacks
        when:
          reqProperty: path
          like: '*'
        rateLimit:
          limit: 100
          window: 1
          penalty: 300
          groupBy:
            - reqProperty: clientIp
        action: block

Analyseren

Om de resultaten van de prevent-dos-attacks regel te analyseren, volg de zelfde stappen zoals die in het vroegere voorbeeldworden beschreven.

Deze tijd zou u vele Geblokkeerde verzoeken en overeenkomstige waarden in cliëntIP (cli_ip), gastheer, url, actie (waf_action), en regel-name (waf_match) kolommen moeten zien.

Ook, tonen de Hoogste 100 aanvallen door cliëntIP, land, en gebruiker-agent panelen extra details, die kunnen worden gebruikt om de regelconfiguratie verder te optimaliseren.

Voor meer informatie over hoe te om aanvallen te verhinderen DoS en DDoS, herzie het Blokkeren Dos en de aanvallen van DDoS gebruikend de regels van de verkeersfilterleerprogramma.

WAF-regels

De de regelvoorbeelden van de verkeersfilter tot nu toe kunnen door alle Sites en klanten van Forms worden gevormd.

Daarna, onderzoeken wij de ervaring voor een klant die een vergunning van de Bescherming van Uitgebreide Veiligheid of WAF-DDoS heeft verworven, die hen geavanceerde regels laat vormen om websites tegen verfijnde aanvallen te beschermen.

Alvorens verder te gaan, laat de bescherming WAF-DDoS voor uw programma toe, zoals die in de documentatie van de verkeersfilterregels opstellingsstappenwordt beschreven.

Zonder WAFFlags

Laten we eerst de ervaring zien, zelfs voordat WAF Rules wordt gedeclareerd. Wanneer WAF-DDoS op uw programma wordt toegelaten, registreert uw CDN door standaardlogboek om het even welke gelijken van kwaadwillig verkeer, zodat hebt u de juiste informatie om omhoog met aangewezen regels te komen.

Laten we eerst de WKND-site aanvallen zonder een WAF-regel toe te voegen (of de eigenschap wafFlags te gebruiken) en de resultaten analyseren.

Analyseren

Om de resultaten van aanvalssimulatie te analyseren, volg de zelfde stappen zoals die in het vroegere voorbeeldworden beschreven.

Nochtans, zou dit keer u de Gemarkeerde verzoeken en overeenkomstige waarden in cliëntIP (cli_ip), gastheer, url, actie (waf_action), en regel-name (waf_match) kolommen moeten zien. Met deze informatie kunt u de resultaten analyseren en de regelconfiguratie optimaliseren.

Merk op hoe de distributie van de Vlaggen van WAF en Hoogste aanvallen panelen extra details tonen, die kunnen worden gebruikt om de regelconfiguratie verder te optimaliseren.

Met WAFFlags

Voeg nu een regel van WAF toe die wafFlags bezit als deel van het action bezit bevat en blokkeer de gesimuleerde aanvalsverzoeken.

Vanuit syntaxisperspectief zijn de WAF-regels vergelijkbaar met die van eerder, maar de eigenschap action verwijst naar een of meer wafFlags -waarden. Meer over wafFlags leren, herzie de sectie van de Lijst van de Vlaggen van WAF.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    # Enable WAF protections (only works if WAF is enabled for your environment)
      - name: block-waf-flags
        when:
          reqProperty: tier
          matches: "author|publish"
        action:
          type: block
          wafFlags:
            - SANS
            - TORNODE
            - NOUA
            - SCANNER
            - USERAGENT
            - PRIVATEFILE
            - ABNORMALPATH
            - TRAVERSAL
            - NULLBYTE
            - BACKDOOR
            - LOG4J-JNDI
            - SQLI
            - XSS
            - CODEINJECTION
            - CMDEXE
            - NO-CONTENT-TYPE
            - UTF8

Analyseren

Herhaal de zelfde stappen zoals die in het worden beschreven vroeger voorbeeld.

Dit keer zou u ingangen onder Geblokkeerde verzoeken en de overeenkomstige waarden in cliëntIP (cli_ip), gastheer, url, actie (waf_action), en regel-name (waf_match) kolommen moeten zien.

Ook, tonen de distributie van de Vlaggen van WAF en Hoogste aanvallen panelen extra details.

Uitgebreide analyse

In de bovengenoemde analyse secties, leerde u hoe te om de resultaten van specifieke regels te analyseren gebruikend het dashboardhulpmiddel. U kunt de resultaten verder analyseren met andere dashboarddeelvensters, zoals:

Uitgebreide Analyse van het Dashboard van het Hulpmiddel 0} ELK {

Uitgebreide Analyse van het Dashboard van het Hulpmiddel 0} ELK {

Volgende stap

Krijg vertrouwd met geadviseerde beste praktijkenom het risico van veiligheidsbreuken te verminderen.

Aanvullende bronnen

Syntaxis van de Regels van de Filter van het Verkeer

CDN het Formaat van het Logboek