Профили безопасности
Профиль безопасности — основной элемент сервиса Smart Web Security. Профиль состоит из набора правил, каждое из которых содержит условия для применения определенных действий к HTTP-запросам, приходящим к защищаемому ресурсу через виртуальный хост L7-балансировщика Yandex Application Load Balancer.
Для создания профилей предусмотрены варианты:
- По преднастроенному шаблону. Преднастроенный профиль содержит:
- базовое правило по умолчанию, включенное для всего трафика;
- правило Smart Protection, включенное для всего трафика, с типом действия — Полная защита.
- С чистого листа. Профиль содержит только базовое правило по умолчанию, включенное для всего трафика.
Чтобы задействовать Smart Web Security, подключите профиль безопасности к виртуальному хосту L7-балансировщика, трафик с которого распределяется на защищаемые ресурсы. Если балансировщик управляется Ingress-контроллером Application Load Balancer, то подключать профиль безопасности следует с помощью аннотации ресурса Ingress.
Анализ тела запроса
В профиле безопасности можно включить инспекцию тела запроса, чтобы повысить производительность и безопасность веб-приложения. Ограничение максимального размера тела запроса помогает предотвратить избыточное потребление ресурсов и смягчить последствия DoS/DDoS-атак, когда злоумышленники отправляют большие запросы для исчерпания ресурсов сервера.
При настройке профиля безопасности можно выбрать действие при превышении максимального размера тела запроса:
Не анализировать тело запроса— используется, когда легитимное приложение часто отправляет большие запросы.Блокировать запрос— универсальный и безопасный подход. Сервис блокирует запросы более 8 КБ, что уменьшает риск атак. При блокировке запроса сервис вернет ошибку403.
Схема профилей и правил
На схеме ниже показана взаимосвязь профилей и правил в Smart Web Security. Главный элемент сервиса — профиль безопасности, в котором можно настроить базовые правила и Smart Protection. Дополнительно можно подключить профиль WAF (через правило WAF), профиль ARL и SmartCaptcha.