Обзор сервиса Yandex Smart Web Security
Smart Web Security защищает веб-приложения от угроз на прикладном уровне L7 модели OSI: DDoS-атак, ботов и эксплуатации уязвимостей, например SQL-инъекций.
На прокси-серверах Smart Web Security автоматически включена Network Protection — защита от DDoS-атак на сетевом (L3) и транспортном (L4) уровнях. Если вы подключаете профиль безопасности к собственному L7-балансировщику Application Load Balancer, защиту на этих уровнях можно включить отдельно с помощью Yandex DDoS Protection.
Входящий трафик проверяется по правилам профиля безопасности. В профиле можно настроить:
- Базовые правила — для простой фильтрации трафика по заданным условиям.
- Правила Smart Protection — для автоматической защиты от DDoS-атак на уровне L7 при помощи алгоритмов машинного обучения и поведенческого анализа.
- Правила профиля Cloud WAF — для защиты от эксплуатации уязвимостей веб-приложения или сайта. Правила блокируют множество известных угроз, например SQL-инъекции и командные инъекции, межсайтовый скриптинг и другие. В профиль Cloud WAF можно добавить несколько наборов правил: OWASP Core Rule Set (CRS), Yandex Ruleset и ML WAF (Yandex Malicious Score).
- Проверку в Yandex SmartCaptcha — для защиты от ботов с помощью CAPTCHA.
- Фильтрацию по спискам IP-адресов — для разрешения или блокировки запросов от указанных адресов.
Чтобы снизить нагрузку на приложение, к профилю безопасности можно подключить профиль Advanced Rate Limiter (ARL). Его правила ограничивают количество запросов, прошедших проверку профилем безопасности.
Помимо Cloud WAF, для защиты веб-приложений можно использовать SolidWall WAF. Его правила настраивают и сопровождают аналитики сервиса. SolidWall WAF подключается только через домены: в отдельном профиле создают приложение и добавляют к нему домены. Порядок подключения описан в руководстве по настройке.
Профиль безопасности можно подключить к разным типам ресурсов:
- Виртуальный хост или Ingress-контроллер для защиты ресурсов, использующих Yandex Application Load Balancer.
- API-шлюз API Gateway для защиты API ваших приложений.
- Домен для защиты вашего сайта или веб-приложения, расположенного в Yandex Cloud, в вашей внутренней инфраструктуре или на других хостингах.
Smart Web Security позволяет создать несколько профилей безопасности и комбинировать в них различные наборы инструментов защиты.
Принцип работы
Smart Web Security проверяет HTTP-запросы к защищаемому ресурсу на соответствие правилам, заданным в профиле безопасности. Профиль безопасности можно подключить к виртуальному хосту L7-балансировщика, домену или API-шлюзу. В зависимости от результатов проверки запросы направляются к защищаемому ресурсу, блокируются или отправляются в сервис Yandex SmartCaptcha для дополнительной верификации.
Для защиты ваших веб-приложений от внешних угроз в Smart Web Security также реализован Web Application Firewall (WAF).
Для контроля и ограничения нагрузки на веб-приложения используется Advanced Rate Limiter (ARL).
Мониторинг и аудит
Метрики Smart Web Security передаются в сервис Yandex Monium и доступны в разделе Мониторинг сервиса Smart Web Security.
Логи профилей безопасности передаются в Yandex Monium, логи прокси-серверов — в Yandex Cloud Logging. Просматривать логи можно в интерфейсе Smart Web Security и соответствующего сервиса логирования.
Аудитные логи Smart Web Security передаются в сервис Yandex Audit Trails.
Примечание
Чтобы сделать вашу защиту более эффективной, мы используем информацию об HTTP-запросах для развития моделей машинного обучения (ML). Вы можете отключить использование этой информации в консоли управления при создании профиля безопасности или позднее в его настройках.
Рекомендации по настройке Application Load Balancer
Для улучшения защиты ваших приложений от DDoS-атак следуйте дополнительным рекомендациям:
- Настройте автомасштабирование — это позволяет динамически адаптироваться к увеличенной нагрузке и перераспределять трафик оптимальным образом.
- Разместите ресурсные единицы в нескольких зонах доступности.
- Используйте защищенный протокол HTTPS — настройте обработчик для автоматического перенаправления запросов с HTTP на HTTPS.
- Обеспечьте защиту на более низком уровне модели OSI — включите базовую защиту от DDoS-атак на уровнях L3-L4, что поможет предотвратить часть атак на более ранней стадии.
Эти меры в дополнение к настройке Smart Web Security помогут повысить устойчивость ваших сервисов к потенциальным угрозам и обеспечат безопасную работу приложений.
Полезные ссылки
- Yandex Security: запускаем направление для защиты любой инфраструктуры
- Защита от DDoS на уровнях L3, L4 и L7: гайд с практическими советами
- Защита облаков в России: основные тенденции и тренды киберугроз в 2025 году
- Как настроить защиту веб‑приложения в облаке с помощью Yandex Smart Web Security
- Yandex SWS и CDN: защита и ускорение сайтов для компаний любого масштаба
- Что такое SOC: центр мониторинга кибербезопасности
- Как защитить сайт от накрутки посещаемости и заблокировать ботов