Regras de filtro de tráfego, incluindo regras do WAF traffic-filter-rules-including-waf-rules

As regras de filtro de tráfego bloqueiam ou permitem solicitações na camada CDN, o que é útil em cenários como os seguintes:

Muitas dessas regras de filtro de tráfego estão disponíveis para todos os clientes do AEM as a Cloud Service Sites e do Forms. Como regras padrão de filtro de tráfego, elas operam nas propriedades de solicitação: IP, nome de host, caminho e agente do usuário. As regras padrão de filtro de tráfego incluem regras de limite de taxa para proteção contra picos de tráfego.

Uma subcategoria de regras de filtro de tráfego requer uma licença de Segurança estendida (anteriormente chamada de Proteção WAF-DDoS) ou Segurança estendida para a área de saúde (anteriormente chamada de Segurança aprimorada). Essas regras poderosas são conhecidas como regras de filtro de tráfego do WAF (ou regras do WAF) e têm acesso aos Sinalizadores do WAF descritos mais adiante neste artigo.

As regras de filtro de tráfego podem ser implantadas por meio de pipelines de configuração do Cloud Manager para tipos de ambiente de desenvolvimento, preparo e produção. O arquivo de configuração pode ser implantado em RDEs (Rapid Development Environments, ambientes de desenvolvimento rápido) usando ferramentas de linha de comando.

Para se especializar rapidamente neste recurso, complete um tutorial.

Como este artigo está organizado how-organized

Este artigo está organizado nas seguintes seções:

Visão geral da proteção de tráfego traffic-protection-overview

No cenário digital atual, o tráfego mal-intencionado é uma ameaça constante. A Adobe reconhece a gravidade do risco e oferece várias abordagens para proteger os aplicativos do cliente e mitigar os ataques quando eles ocorrem.

Na borda, o Adobe Managed CDN absorve ataques de DoS na camada de rede (camadas 3 e 4), incluindo ataques de inundação e de reflexão/amplificação.

Por padrão, o Adobe toma medidas para evitar a degradação do desempenho devido a picos de tráfego inesperadamente alto além de um determinado limite. Se houver um ataque de DoS que afete a disponibilidade do site, as equipes de operações da Adobe serão alertadas e tomarão medidas para atenuar o problema.

Os clientes tomam medidas proativas para mitigar os ataques à camada do aplicativo (camada 7), configurando regras em várias camadas do fluxo de entrega de conteúdo.

Por exemplo, na camada do Apache, os clientes configuram o módulo do Dispatcher ou o ModSecurity para limitar o acesso a determinado conteúdo.

Como este artigo descreve, as regras de filtro de tráfego são implantadas na CDN gerenciada pela Adobe usando os pipelines de configuração da Cloud Manager. Além das regras padrão de filtro de tráfego (IP, caminho, cabeçalhos, limites de taxa), os clientes licenciam as regras da WAF.

Processo sugerido suggested-process

Veja a seguir um processo completo recomendado de alto nível para determinar as regras corretas de filtro de tráfego:

Configurar setup

Sintaxe de regras de filtro de tráfego rules-syntax

Para corresponder a padrões como IP, agente de usuário, cabeçalhos, nome de host, geografia ou URL, você pode configurar regras de filtro de tráfego.

Clientes com uma licença de Segurança estendida ou Segurança estendida para assistência médica configuram as regras do WAF que fazem referência aos sinalizadores do WAF.

Este é um exemplo de um conjunto de regras de filtro de tráfego, que também inclui uma regra WAF.

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "path-rule"
        when:
          allOf:
            - { reqProperty: path, equals: /block-me }
            - { reqProperty: tier, equals: publish }
        action:
          type: block
      - name: "Enable-SQL-Injection-and-XSS-waf-rules-globally"
        when: { reqProperty: path, like: "*" }
        action:
          type: block
          wafFlags: [ SQLI, XSS]

O formato das regras de filtro de tráfego no arquivo cdn.yaml está descrito abaixo. Veja alguns outros exemplos em uma seção posterior e uma seção separada sobre Regras de Limite de Taxa.

Estrutura de ação action-structure

Um action pode ser uma cadeia de caracteres especificando a ação (permitir, bloquear ou registrar) ou um objeto composto do tipo de ação (permitir, bloquear ou registrar) e opções como wafFlags e/ou status.

Tipos de ação

As ações são priorizadas de acordo com seus tipos na tabela a seguir, que é ordenada para refletir a ordem em que as ações são executadas:

Lista de sinalizadores do WAF waf-flags-list

A propriedade wafFlags, usada nas regras de filtro de tráfego licenciáveis do WAF, faz referência ao seguinte:

Tráfego mal-intencionado

Tráfego suspeito

Tráfego diverso

Considerações considerations

Exemplos de regras examples

Alguns exemplos de regras se seguem. Consulte a seção limite de taxa mais abaixo para obter exemplos de regras de limite de taxa.

Exemplo 1

Esta regra bloqueia solicitações provenientes de IP192.168.1.1:

kind: "CDN"
version: "1"
data:
  trafficFilters:
     rules:
       - name: "block-request-from-ip"
         when: { reqProperty: clientIp, equals: "192.168.1.1" }
         action:
           type: block

Exemplo 2

Esta regra bloqueia solicitações para o caminho /helloworld na publicação com um usuário-agente contendo Chrome:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "block-request-from-chrome-on-path-helloworld-for-publish-tier"
        when:
          allOf:
          - { reqProperty: path, equals: /helloworld }
          - { reqProperty: tier, equals: publish }
          - { reqHeader: user-agent, matches: '.*Chrome.*'  }
        action:
          type: block

Exemplo 3

Esta regra bloqueia solicitações na publicação que contêm o parâmetro de consulta foo, mas permite todas as solicitações provenientes do IP 192.168.1.1:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "block-request-that-contains-query-parameter-foo"
        when:
          allOf:
            - { queryParam: url-param, equals: foo }
            - { reqProperty: tier, equals: publish }
        action:
          type: block
      - name: "allow-all-requests-from-ip"
        when: { reqProperty: clientIp, equals: 192.168.1.1 }
        action:
          type: allow

Exemplo 4

Esta regra bloqueia solicitações para o caminho /block-me na publicação e bloqueia todas as solicitações que correspondam a um padrão SQLI ou XSS. Este exemplo inclui uma regra de filtro de tráfego do WAF, que faz referência aos SQLI e XSS Sinalizadores do WAF e, portanto, requer uma licença separada.

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "path-rule"
        when:
          allOf:
            - { reqProperty: path, equals: /block-me }
            - { reqProperty: tier, equals: publish }
        action:
          type: block
      - name: "Enable-SQL-Injection-and-XSS-waf-rules-globally"
        when: { reqProperty: path, like: "*" }
        action:
          type: block
          wafFlags: [ SQLI, XSS]

Exemplo 5

Essa regra bloqueia o acesso a países OFAC:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: block-ofac-countries
        when:
          allOf:
            - reqProperty: tier
              matches: "author|publish"
            - reqProperty: clientCountry
              in:
                - SY
                - BY
                - MM
                - KP
                - IQ
                - CD
                - SD
                - IR
                - LR
                - ZW
                - CU
                - CI
        action: block

Regras de limite de taxa

Às vezes, é desejável bloquear o tráfego se ele exceder uma determinada taxa de solicitações recebidas, com base em uma condição específica. A definição de um valor para a propriedade rateLimit limita a taxa dessas solicitações que correspondem à condição da regra.

As regras de limite de taxa não podem fazer referência aos sinalizadores do WAF. Eles estão disponíveis para todos os clientes do Sites e do Forms.

Os limites de taxa são calculados por CDN POP. Como exemplo, suponha que os POPs em Montreal, Miami e Dublin tenham taxas de tráfego de 80, 90 e 120 solicitações por segundo, respectivamente. E a regra de limite de taxa é definida como um limite 100. Nesse caso, apenas o tráfego para Dublim é limitado em termos de taxa.

Os limites de taxa são avaliados com base no tráfego que atinge a borda, no tráfego que atinge a origem ou no número de erros.

estrutura rateLimit ratelimit-structure

Exemplos ratelimiting-examples

Exemplo 1

Essa regra bloqueia um cliente por 5 minutos quando ele excede uma média de 60 solic./seg. (por POP CDN) nos últimos 10 segundos:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
    - name: limit-requests-client-ip
      when:
        reqProperty: tier
        matches: "author|publish"
      rateLimit:
        limit: 60
        window: 10
        penalty: 300
        count: all
        groupBy:
          - reqProperty: clientIp
      action: block

Exemplo 2

Bloqueie solicitações no caminho /crítico/recurso por 60 segundos quando exceder uma média de 100 solicitações de origem por segundo (por POP CDN) em uma janela de tempo de dez segundos:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: rate-limit-example
        when:
          allOf:
            - { reqProperty: path, equals: /critical/resource }
            - { reqProperty: tier, equals: publish }
        action:
          type: block
        rateLimit: { limit: 100, window: 10, penalty: 60, count: fetches }

Para obter mais trechos de código para cenários avançados, consulte o artigo Trechos de Configuração CDN para Cenários Comuns.

Regras CVE cve-rules

Se o WAF for licenciado, a Adobe aplicará automaticamente regras de bloqueio para proteger contra muitos CVEs conhecidos (vulnerabilidades e exposições comuns) e novos CVEs serão adicionados logo após serem detectados. Os clientes não configuram as regras CVE sozinhos.

Se uma solicitação de tráfego corresponder a um CVE, ela aparecerá na entrada de log CDN correspondente.

Entre em contato com o suporte da Adobe se houver dúvidas sobre um CVE específico ou se houver uma regra CVE específica que sua organização deseja desativar.

Alertas de regras de filtro de tráfego traffic-filter-rules-alerts

Uma regra pode ser configurada para enviar uma notificação da Central de Ações se for acionada dez vezes em uma janela de 5 minutos. Essa regra alerta quando determinados padrões de tráfego ocorrem, para que você possa tomar as medidas necessárias. Depois que um alerta é acionado para uma regra específica, ele não é acionado novamente até o dia seguinte (UTC).

Saiba mais sobre o Centro de Ações, incluindo como configurar os Perfis de Notificação necessários para receber emails.

A propriedade alert pode ser aplicada ao nó action para todos os tipos de ação (allow, block, log).

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "path-rule"
        when:
          allOf:
            - { reqProperty: path, equals: /block-me }
            - { reqProperty: tier, equals: publish }
        action:
          type: block
          alert: true

Alerta de pico de tráfego padrão na origem traffic-spike-at-origin-alert

Uma notificação por email do Centro de Ações alertará você quando o tráfego alto do mesmo endereço IP atingir a origem, sugerindo um ataque de DDoS.

Se esse limite for atingido, o Adobe bloqueará o tráfego desse endereço IP; tome medidas adicionais para proteger sua origem, como configurar regras de filtro de tráfego de limite de taxa. Consulte o tutorial Bloqueando ataques DeS e DeS usando regras de tráfego para obter uma apresentação guiada.

O sistema habilita esse alerta por padrão, mas você pode desabilitá-lo usando a propriedade defaultTrafficAlerts, definida como false. Depois que o alerta for acionado, ele não será acionado novamente até o dia seguinte (UTC).

kind: "CDN"
version: "1"
data:
  trafficFilters:
   defaultTrafficAlerts: false

Logs da CDN cdn-logs

O AEM as a Cloud Service fornece acesso aos logs CDN, que são úteis para casos de uso, incluindo otimização da taxa de ocorrência do cache e configuração das regras de filtro de tráfego. Os logs de CDN aparecem na caixa de diálogo Baixar Logs do Cloud Manager, ao selecionar o serviço Autor ou Publicar.

Os logs do CDN atrasam em até cinco minutos.

A propriedade rules descreve quais regras de filtro de tráfego são correspondidas e tem o seguinte padrão:

"rules": "match=<matching-customer-named-rules-that-are-matched>,waf=<matching-WAF-rules>,action=<action_type>"

Por exemplo:

"rules": "match=Block-Traffic-under-private-folder,Enable-SQL-injection-everywhere,waf="SQLI,SANS",action=block"

As regras se comportam da seguinte maneira:

Como observado anteriormente, as correspondências de regras do WAF só aparecem nos logs CDN para erros e passagens de CDN, não para ocorrências.

O exemplo abaixo mostra um exemplo cdn.yaml e duas entradas de log CDN:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
      - name: "path-rule"
        when: { reqProperty: path, equals: /block-me }
        action: block
      - name: "Enable-SQL-Injection-and-XSS-waf-rules-globally"
        when: { reqProperty: path, like: "*" }
        action:
          type: block
          wafFlags: [ SQLI, XSS ]

{
"timestamp": "2023-05-26T09:20:01+0000",
"ttfb": 19,
"cli_ip": "147.160.230.112",
"cli_country": "CH",
"rid": "974e67f6",
"req_ua": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/14.0.3 Safari/605.1.15",
"host": "example.com",
"url": "/block-me",
"method": "GET",
"res_ctype": "",
"cache": "PASS",
"status": 406,
"res_age": 0,
"pop": "PAR",
"rules": "match=path-rule,action=blocked"
}

{
"timestamp": "2023-05-26T09:20:01+0000",
"ttfb": 19,
"cli_ip": "147.160.230.112",
"cli_country": "CH",
"req_ua": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/14.0.3 Safari/605.1.15",
"rid": "974e67f6",
"host": "example.com",
"url": "/?sqli=%27%29%20UNION%20ALL%20SELECT%20NULL%2CNULL%2CNULL%2CNULL%2CNULL%2CNULL%2CNULL%2CNULL%2CNULL%2CNULL--%20fAPK",
"method": "GET",
"res_ctype": "image/png",
"cache": "PASS",
"status": 406,
"res_age": 0,
"pop": "PAR",
"rules": "match=Enable-SQL-Injection-and-XSS-waf-rules-globally,waf=SQLI,action=blocked"
}

Formato do log cdn-log-format

Veja abaixo uma lista dos nomes de campo usados em logs CDN, juntamente com uma breve descrição.

Ferramentas do painel dashboard-tooling

O Adobe fornece um mecanismo para baixar ferramentas de painel no computador a fim de assimilar logs CDN baixados por meio do Cloud Manager. Use esta ferramenta para analisar seu tráfego e ajudar a determinar as regras de filtro de tráfego apropriadas a serem declaradas, incluindo as regras do WAF.

A ferramenta do painel pode ser clonada diretamente do repositório GitHub AEMCS-CDN-Log-Analysis-Tooling.

Um tutorial está disponível para obter instruções concretas sobre como usar a ferramenta de painel.

Regras de início recomendadas recommended-starter-rules

A Adobe sugere começar com as regras de filtro de tráfego abaixo e, em seguida, refinar ao longo do tempo. As Regras padrão estão disponíveis com uma licença do Sites ou do Forms, enquanto as regras do WAF exigem uma licença de Segurança Estendida (anteriormente chamada de Proteção WAF-DDoS) ou Segurança Estendida para a Assistência Médica (anteriormente chamada de Segurança Aprimorada).

Regras padrão recomendadas recommended-nonwaf-starter-rules

Comece com estas regras:

kind: "CDN"
version: "1"
data:
  trafficFilters:
    rules:
    #  Block client for 5m when it exceeds an average of 100 req/sec to origin on a time window of 10sec
    - name: limit-origin-requests-client-ip
      when:
        reqProperty: tier
        equals: 'publish'
      rateLimit:
        limit: 100
        window: 10
        count: fetches
        penalty: 300
        groupBy:
          - reqProperty: clientIp
      action: log
    #  Block client for 5m when it exceeds an average of 500 req/sec on a time window of 10sec
    - name: limit-requests-client-ip
      when:
        reqProperty: tier
        equals: 'publish'
      rateLimit:
        limit: 500
        window: 10
        count: all
        penalty: 300
        groupBy:
          - reqProperty: clientIp
      action: log
      alert: true
    # Block requests coming from OFAC countries
    - name: ofac-countries
      when:
        allOf:
          - { reqProperty: tier, in: ["author", "publish"] }
          - reqProperty: clientCountry
            in:
              - SY
              - BY
              - MM
              - KP
              - IQ
              - CD
              - SD
              - IR
              - LR
              - ZW
              - CU
              - CI
      action: block

Regras do WAF recomendadas recommended-waf-starter-rules

Adicione as seguintes regras à configuração existente:

    # blocks likely attack traffic, which also comes from suspected IPs
    - name: attacks-from-bad-ips-globally
      when:
        reqProperty: tier
        in: ["author", "publish"]
      action:
        type: block
        wafFlags:
          - ATTACK-FROM-BAD-IP
    # log likely attack traffic, and later switch to block mode if false positives aren't observed
    - name: attacks-from-any-ips-globally
      when:
        reqProperty: tier
        in: ["author", "publish"]
      action:
        type: log
        wafFlags:
          - ATTACK

Regras herdadas recomendadas do WAF previous-waf-starter-rules

Antes de julho de 2025, a Adobe recomendou as regras do WAF listadas abaixo, que ainda são válidas e eficazes na defesa contra tráfego mal-intencionado. Consulte o tutorial para considerações sobre a migração para as novas regras recomendadas.

    # Enable recommended WAF protections (only works if WAF is licensed enabled for your environment)
    - name: block-waf-flags-globally
      when:
        reqProperty: tier
        in: ["author", "publish"]
      action:
        type: log
        wafFlags:
          - TRAVERSAL
          - CMDEXE-NO-BIN
          - XSS
          - LOG4J-JNDI
          - BACKDOOR
          - USERAGENT
          - SQLI
          - SANS
          - TORNODE
          - NOUA
          - SCANNER
          - PRIVATEFILE
          - NULLBYTE

Tutorial tutorial

Para obter conhecimento prático e experiência sobre regras de filtro de tráfego, incluindo regras do WAF, trabalhe com uma série de tutoriais.

Os tutoriais incluem: