Создать профиль безопасности

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите описание команды CLI для создания профиля безопасности:

   yc smartwebsecurity security-profile create --help
   

2. Чтобы создать профиль безопасности, выполните команду:

   yc smartwebsecurity security-profile create \
      --name <имя_профиля_безопасности> \
      --description "<описание_профиля>" \
      --labels <ключ_метки_1>=<значение_метки_1>,<ключ_метки_2>=<значение_метки_2>,...,<ключ_метки_n>=<значение_метки_n> \
      --default-action <действие> \
      --captcha-id <идентификатор_капчи> \
      --security-rules-file <путь_к_файлу_с_правилами>
   

   Где:

   • --name — имя профиля безопасности. Обязательный параметр. Если задать только имя профиля без дополнительных параметров, в профиле безопасности будет создано одно базовое правило.

   • --description — текстовое описание профиля безопасности. Необязательный параметр.

   • --labels — список меток для добавления в профиль в формате КЛЮЧ=ЗНАЧЕНИЕ. Необязательный параметр. Например: --labels foo=baz,bar=baz'.

   • --default-action — действие, которое следует выполнить для трафика, который не попал под условия других правил. Необязательный параметр. По умолчанию установлено значение allow, разрешающее все запросы к сервису. Чтобы запретить запросы, установите значение deny.

   • --captcha-id — идентификатор капчи Yandex SmartCaptcha для проверки подозрительных запросов. Необязательный параметр.

   • --security-rules-file — путь к файлу с описанием правил безопасности в формате YAML. Необязательный параметр. Например:

     security-rules.yaml

     - name: rule-condition-deny
       description: My first security rule. This rule it's just example to show possibilities of configuration.
       priority: "11111"
       dry_run: true
       rule_condition:
         action: DENY
         condition:
           authority:
             authorities:
               - exact_match: example.com
               - exact_match: example.net
           http_method:
             http_methods:
               - exact_match: GET
               - exact_match: POST
           request_uri:
             path:
               prefix_match: /search
             queries:
               - key: firstname
                 value:
                   pire_regex_match: .ivan.
               - key: lastname
                 value:
                   pire_regex_not_match: .petr.
           headers:
             - name: User-Agent
               value:
                 pire_regex_match: .curl.
             - name: Referer
               value:
                 pire_regex_not_match: .bot.
           source_ip:
             ip_ranges_match:
               ip_ranges:
                 - 1.2.33.44
                 - 2.3.4.56
             ip_ranges_not_match:
               ip_ranges:
                 - 8.8.0.0/16
                 - 10::1234:1abc:1/64
             geo_ip_match:
               locations:
                 - ru
                 - es
             geo_ip_not_match:
               locations:
                 - us
                 - fm
                 - gb
     - name: rule-condition-allow
       description: Let's show how to whitelist IP.
       priority: "2"
       rule_condition:
         action: ALLOW
         condition:
           source_ip:
             ip_ranges_match:
               ip_ranges:
                 - 44.44.44.44-44.44.44.45
                 - 44.44.44.77
     - name: smart-protection-full
       description: Enable smart protection. Allow to show captcha on /search prefix.
       priority: "11"
       smart_protection:
         mode: FULL
         condition:
           request_uri:
             path:
               prefix_match: /search
     - name: smart-protection-api
       description: Enable smart protection with mode API. We are not expect to see captcha on /api prefix.
       priority: "10"
       smart_protection:
         mode: API
         condition:
           request_uri:
             path:
               prefix_match: /api
     

     Где: priority — приоритет правила.

   Результат:

   id: fev6q4qqnn2q********
   folder_id: b1g07hj5r6i********
   cloud_id: b1gia87mbaom********
   name: my-sample-profile
   description: "my description"
   labels: label1=value1,label2=value2
   default_action: DENY
   created_at: "2024-07-25T19:21:05.039610Z"
   

Подробнее о команде yc smartwebsecurity security-profile create читайте в справочнике CLI.

Terraform позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить.

Terraform распространяется под лицензией Business Source License, а провайдер Yandex Cloud для Terraform — под лицензией MPL-2.0.

Подробная информация о ресурсах провайдера в документации на сайте Terraform или в зеркале.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Опишите в конфигурационном файле Terraform параметры ресурсов, которые необходимо создать:

   resource "yandex_sws_security_profile" "demo-profile-simple" {
     name                             = "<имя_профиля_безопасности>"
     default_action                   = "DENY"
     captcha_id                       = "<идентификатор_капчи>"
     advanced_rate_limiter_profile_id = "<идентификатор_ARL_профиля>"
   
     # Правило Smart Protection
     security_rule {
       name     = "smart-protection"
       priority = 99999
   
       smart_protection {
         mode = "API"
       }
     }
   
     # Базовое правило
     security_rule {
       name = "base-rule-geo"
       priority = 100000
       rule_condition {
         action = "ALLOW"
         condition {
           source_ip {
             geo_ip_match {
               locations = ["ru", "kz"]
             }
           }
         }
       }
     }
   
     # Правило c WAF профилем
     security_rule {
       name     = "waf"
       priority = 88888
   
       waf {
         mode           = "API"
         waf_profile_id = "<идентификатор_WAF_профиля>"
       }
     }
   }
   

   Где:

   • name — имя профиля безопасности.

   • default_action — действие для базового правила по умолчанию. Будет применяться к трафику, который не попал под условия других правил. Возможные значения: ALLOW — разрешает все запросы к сервису, DENY — запрещает.

   • captcha_id — идентификатор капчи Yandex SmartCaptcha для проверки подозрительных запросов. Необязательный параметр.

   • advanced_rate_limiter_profile_id — идентификатор ARL профиля безопасности. Необязательный параметр.

   • security_rule — описание правила безопасности:

     • name — имя правила безопасности.

     • priority — приоритет правила. Возможные значения — от 1 до 1000000.

     • smart_protection — описание правила Smart Protection, включенное для всего трафика, с указанным типом действия в параметре mode.

       • mode — действие правила. Возможные значения: FULL — полная защита (подозрительные запросы отправляются на капчу) или API — защита API (подозрительные запросы блокируются).

     • waf — описание правила Web Application Firewall. Чтобы добавить правило WAF, сначала надо создать профиль WAF. Необязательный блок параметров, содержит:

       • waf_profile_id — идентификатор WAF профиля.

   Если не указать тип правила smart_protection или waf, будет создано базовое правило с простой фильтрацией по заданным условиям в блоке rule_condition.

   Подробнее о параметрах ресурса yandex_sws_security_profile в документации провайдера.

2. Создайте ресурсы:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

Terraform создаст все требуемые ресурсы. Проверить появление ресурсов можно в консоли управления или с помощью команды CLI:

yc smartwebsecurity security-profile get <идентификатор_профиля_безопасности>

Воспользуйтесь методом REST API create для ресурса SecurityProfile или вызовом gRPC API SecurityProfileService/Create.