Управление источниками трафика

1. В консоли управления выберите каталог, в котором находятся защищаемые ресурсы.

2. Перейдите в сервис Smart Web Security.

3. На панели слева выберите Профили безопасности.

4. Нажмите Создать профиль и выберите По преднастроенному шаблону.

   Преднастроенный профиль содержит:

   • базовое правило по умолчанию, включенное для всего трафика с типом действия Разрешить;
   • правило Smart Protection sp-rule-1, включенное для всего трафика, с типом действия Защита API.

5. Введите имя профиля, например sources-manage.

6. Включите тестовый режим для правила Smart Protection sp-rule-1:

   1. Для опции Действие для базового правила по умолчанию выберите Разрешить.
   2. Напротив правила sp-rule-1 нажмите → Редактировать.
   3. Включите опцию Только логирование.
   4. Нажмите Сохранить изменения.

7. В разделе Обучение ML-моделей оставьте включенным согласие об использовании информации об HTTP-запросах для улучшения моделей машинного обучения. Иначе в сервис Smart Web Security не будут поступать данные для расследования инцидентов безопасности.

8. Нажмите Создать.

1. Откройте созданный ранее профиль безопасности.
2. Нажмите Добавить правило.
3. Введите имя правила, например traffic-sources-rule.
4. Включите опцию Только логирование.
5. Задайте приоритет выше, чем у правил Smart Protection. Например, 9100.
6. Укажите параметры правила:
   • Тип — Базовое;
   • Трафик — При условии;
   • Условия — IP;
   • Условия на IP — IP принадлежит списку.
7. Для списка is_tor выберите действие Запретить.
8. Создайте отдельное правило или добавьте дополнительное условие для списков is_proxy и is_anonymous с действием Показать капчу.
9. Нажмите Добавить.

1. В профиле безопасности нажмите Добавить правило.
2. Введите имя правила, например vpn-traffic-rule.
3. Включите опцию Только логирование.
4. Задайте приоритет так, чтобы правило выполнялось в нужном порядке относительно других правил по спискам.
5. Укажите параметры правила:
   • Тип — Базовое;
   • Трафик — При условии;
   • Условия — IP;
   • Условия на IP — IP принадлежит списку.
6. Выберите список is_vpn или is_ml_vpn.
7. Выберите действие для VPN-трафика:
   • Разрешить — если VPN-трафик допустим.
   • Запретить — если VPN-трафик нужно блокировать.
   • Показать капчу — если нужна дополнительная проверка.
8. Нажмите Добавить.

1. В профиле безопасности нажмите Добавить правило.
2. Введите имя правила, например geo-traffic-rule.
3. Включите опцию Только логирование.
4. Задайте приоритет выше, чем у правил Smart Protection, но с учетом уже созданных правил по спискам.
5. Укажите параметры правила:
   • Тип — Базовое;
   • Трафик — При условии;
   • Условия — IP;
   • Условия на IP — IP принадлежит региону или IP не принадлежит региону.
6. Выберите нужные страны по двухбуквенному коду. Например, RU, KZ, BY.
7. Выберите действие:
   • Разрешить — чтобы разрешить трафик;
   • Запретить — чтобы блокировать трафик;
   • Показать капчу — чтобы отправлять запросы в SmartCaptcha.
8. Нажмите Добавить.

Если балансировщик управляется Ingress-контроллером Application Load Balancer, используйте аннотацию ресурса Ingress.

Чтобы подключить виртуальный хост:

1. В консоли управления выберите каталог, в котором находится нужный профиль безопасности.

2. Перейдите в сервис Smart Web Security.

3. На панели слева выберите Профили безопасности.

4. Выберите профиль безопасности, который вы хотите подключить к виртуальному хосту сервиса Yandex Application Load Balancer.

5. Нажмите Подключить к хосту.

6. В открывшемся окне нажмите Добавить ресурс и выберите Виртуальный хост.

7. Последовательно установите значения в полях Балансировщик, HTTP-роутер и Виртуальный хост. Вы можете подключить профиль безопасности сразу к нескольким хостам.

   Чтобы подключить профиль к еще одному L7-балансировщику, нажмите Добавить ресурс и выберите Виртуальный хост.

8. Нажмите Подключить. Если выбранные хосты уже подключены к другому профилю безопасности, подтвердите подключение.

   В разделе Подключенные ресурсы появятся подключенные виртуальные хосты.

Профиль безопасности подключается к определенному виртуальному хосту L7-балансировщика, при этом анализируется весь трафик, поступающий на хост. Если трафик к некоторым маршрутам хоста анализировать не требуется, отключите профиль безопасности от этого маршрута. Это можно сделать при добавлении или изменении маршрута через CLI, API или Terraform с помощью параметра --disable-security-profile (disableSecurityProfile).

При добавлении маршрутов учитывайте их порядок: запрос будет направлен по первому маршруту, предикату которого он соответствует. Наиболее специфичные маршруты располагайте первыми в списке. Иначе общий маршрут может перехватить запросы и специфичные правила не будут применяться.