Exempel och resultatanalys av trafikfilterregler inklusive WAF-regler

Lär dig hur du deklarerar olika typer av trafikfilterregler och analyserar resultaten med hjälp av CDN-loggar och kontrollpanelsverktyg i Adobe Experience Manager as a Cloud Service (AEMCS).

I det här avsnittet kommer du att utforska praktiska exempel på trafikfilterregler, inklusive WAF-regler. Du får lära dig hur du loggar, tillåter och blockerar begäranden baserat på URI (eller sökväg), IP-adress, antalet begäranden och olika typer av attacker med hjälp av AEM WKND Sites Project.

Dessutom kommer du att upptäcka hur du kan använda kontrollpanelsverktyg som importerar AEMCS CDN-loggar för att visualisera viktiga mätvärden via kontrollpaneler som tillhandahålls av Adobe.

Om du vill anpassa dig efter dina specifika krav kan du förbättra och skapa anpassade instrumentpaneler och på så sätt få djupare insikter och optimera regelkonfigurationerna för dina AEM.

Exempel

Låt oss utforska olika exempel på trafikfilterregler, inklusive WAF-regler. Kontrollera att du har slutfört den nödvändiga konfigurationsprocessen enligt beskrivningen i det tidigare kapitletom hur du konfigurerar och att du har klonat AEM WKND Sites Project.

Förfrågningar om loggning

Börja med att logga förfrågningar från WKND-inloggnings- och utloggningssökvägar mot AEM Publish-tjänsten.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    # On AEM Publish service log WKND Login and Logout requests
      - name: publish-auth-requests
        when:
          allOf:
            - reqProperty: tier
              matches: publish
            - reqProperty: path
              in:
                - /system/sling/login/j_security_check
                - /system/sling/logout
        action: log

Analyserar analyzing

Låt oss analysera resultatet av regeln publish-auth-requests genom att hämta AEMCS CDN-loggarna från Cloud Manager och använda instrumentpanelsverktyget som du konfigurerade i det tidigare kapitlet.

Blockera förfrågningar

I det här exemplet lägger vi till en sida i en intern-mapp på sökvägen /content/wknd/internal i det distribuerade WKND-projektet. Deklarera sedan en trafikfilterregel som blockerar trafik till undersidor från andra platser än en angiven IP-adress som matchar din organisation (till exempel ett VPN för företag).

Du kan antingen skapa en egen intern sida (till exempel demo-page.html) eller använda det bifogade paketet.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...

    # Block requests to (demo) internal only page/s from public IP address but allow from internal IP address.
    # Make sure to replace the IP address with your own IP address.
      - name: block-internal-paths
        when:
          allOf:
            - reqProperty: path
              matches: /content/wknd/internal
            - reqProperty: clientIp
              notIn: [192.150.10.0/24]
        action: block

Analyserar

Om du vill analysera resultatet av regeln block-internal-paths följer du samma steg som beskrivs i tidigare exempel.

Den här gången ska du dock se Blockerade begäranden och motsvarande värden i kolumnerna klient-IP (cli_ip), värd, URL, åtgärd (waf_action) och rule-name (waf_match).

Förhindra DoS-attacker

Låt oss förhindra DoS-attacker genom att blockera begäranden från en IP-adress som gör 100 förfrågningar per sekund, så att den blockeras i 5 minuter.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    #  Prevent DoS attacks by blocking client for 5 minutes if they make more than 100 requests in 1 second.
      - name: prevent-dos-attacks
        when:
          reqProperty: path
          like: '*'
        rateLimit:
          limit: 100
          window: 1
          penalty: 300
          groupBy:
            - reqProperty: clientIp
        action: block

Analyserar

Om du vill analysera resultatet av regeln prevent-dos-attacks följer du samma steg som beskrivs i tidigare exempel.

Den här gången ska du se många Blockerade begäranden och motsvarande värden i kolumnerna klient-IP (cli_ip), host, url, action (waf_action) och rule-name (waf_match).

Dessutom visar panelerna Top 100-attacker av klient-IP, land och användaragent ytterligare information, som kan användas för att optimera regelkonfigurationen ytterligare.

Mer information om hur du förhindrar DoS- och DDoS-attacker finns i självstudiekursen Blockera DoS- och DDoS-attacker med trafikfilterregler.

WAF-regler

Trafikfilterregelexemplen hittills kan konfigureras av alla Sites- och Forms-kunder.

Sedan ska vi utforska upplevelsen för en kund som har köpt en licens för Förbättrad säkerhet eller WAF-DDoS-skydd, som låter dem konfigurera avancerade regler för att skydda webbplatser från mer sofistikerade attacker.

Innan du fortsätter aktiverar du WAF-DDoS-skyddet för ditt program enligt beskrivningen i dokumentationen för installationssteg för trafikfilterregler.

Utan WAFFlags

Låt oss först se upplevelsen även innan WAF-reglerna har deklarerats. När WAF-DDoS är aktiverat i ditt program loggar CDN som standard alla matchningar av skadlig trafik så att du har rätt information att komma fram med rätt regler.

Låt oss börja med att angripa WKND-webbplatsen utan att lägga till en WAF-regel (eller använda egenskapen wafFlags) och analysera resultaten.

Analyserar

Om du vill analysera resultatet av attacksimulering följer du de steg som beskrivs i tidigare exemplet.

Den här gången ska du dock se Flaggade begäranden och motsvarande värden i kolumnerna klient-IP (cli_ip), host, url, action (waf_action) och rule-name (waf_match). Med den här informationen kan du analysera resultaten och optimera regelkonfigurationen.

Observera hur panelerna WAF Flags distribution och Top attack visar ytterligare information, som kan användas för att optimera regelkonfigurationen ytterligare.

Med WAFFlags

Nu ska vi lägga till en WAF-regel som innehåller egenskapen wafFlags som en del av egenskapen action och blockera simulerade attackförfrågningar.

Ur syntaxperspektiv liknar WAF-reglerna dem som tidigare sågs, men egenskapen action refererar till ett eller flera wafFlags -värden. Mer information om wafFlags finns i avsnittet WAF-flagglista.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    # Enable WAF protections (only works if WAF is enabled for your environment)
      - name: block-waf-flags
        when:
          reqProperty: tier
          matches: "author|publish"
        action:
          type: block
          wafFlags:
            - SANS
            - TORNODE
            - NOUA
            - SCANNER
            - USERAGENT
            - PRIVATEFILE
            - ABNORMALPATH
            - TRAVERSAL
            - NULLBYTE
            - BACKDOOR
            - LOG4J-JNDI
            - SQLI
            - XSS
            - CODEINJECTION
            - CMDEXE
            - NO-CONTENT-TYPE
            - UTF8

Analyserar

Upprepa samma steg som beskrivs i tidigare exempel.

Den här gången ska du se poster under Blockerade begäranden och motsvarande värden i kolumnerna klient-IP (cli_ip), host, url, action (waf_action) och rule-name (waf_match).

Dessutom visar panelerna WAF-flaggdistribution och Top-attacker ytterligare information.

Omfattande analys

I de ovanstående analyserna lärde du dig att analysera resultaten av specifika regler med kontrollpanelsverktyget. Du kan utforska hur du analyserar resultaten med andra paneler på kontrollpanelen, bland annat:

Nästa steg

Bekanta dig med bästa praxis som rekommenderas för att minska risken för säkerhetsöverträdelser.

Ytterligare resurser

Regelsyntax för trafikfilter

CDN-loggformat