Связаться с намиПодключиться

Удалить правило из профиля безопасности

Статья создана
Обновлена 17 октября 2024 г.

Из профиля безопасности можно удалить базовые правила, а также правила Smart Protection и WAF. Правила ARL удаляются из профиля ARL.

  1. В консоли управления выберите каталог, в котором находится нужный профиль безопасности.
  2. В списке сервисов выберите Smart Web Security.
  3. Выберите профиль, в котором вы хотите удалить правило.
  4. На вкладке Правила безопасности в строке с нужным правилом нажмите и выберите Удалить.
  5. Подтвердите удаление.

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

  1. Чтобы посмотреть список имеющихся профилей безопасности в каталоге по умолчанию, выполните команду:

    yc smartwebsecurity security-profile list

    Результат:

    +----------------------+-------------------+---------------------+----------------+------------+-------------+
|          ID          |       NAME        |       CREATED       | DEFAULT ACTION | CAPTCHA ID | RULES COUNT |
+----------------------+-------------------+---------------------+----------------+------------+-------------+
| fev3s055oq64******** | my-new-profile    | 2024-08-05 06:57:18 | DENY           |            |           1 |
| fevlqk8vei9p******** | my-sample-profile | 2024-08-05 06:57:28 | DENY           |            |           2 |
+----------------------+-------------------+---------------------+----------------+------------+-------------+

  2. Обновите профиль безопасности, применив к нему измененную YAML-конфигурацию правил безопасности, предварительно удалив из нее ненужные правила:

    1. Чтобы получить YAML-конфигурацию уже имеющихся в профиле правил безопасности, выполните команду, указав имя или идентификатор профиля безопасности:

      yc smartwebsecurity security-profile get <имя_или_идентификатор_профиля_безопасности>
      Результат:
      id: fev450d61ucv********
folder_id: b1gt6g8ht345********
cloud_id: b1gia87mbaom********
labels:
  label1: value1
  label2: value2
name: my-new-profile
description: my description
default_action: DENY
security_rules:
  - name: rule-condition-deny
    priority: "11111"
    dry_run: true
    rule_condition:
      action: DENY
      condition:
        authority:
          authorities:
            - exact_match: example.com
            - exact_match: example.net
        http_method:
          http_methods:
            - exact_match: GET
            - exact_match: POST
        request_uri:
          path:
            prefix_match: /search
          queries:
            - key: firstname
              value:
                pire_regex_match: .ivan.
            - key: lastname
              value:
                pire_regex_not_match: .petr.
        headers:
          - name: User-Agent
            value:
              pire_regex_match: .curl.
          - name: Referer
            value:
              pire_regex_not_match: .bot.
        source_ip:
          ip_ranges_match:
            ip_ranges:
              - 1.2.33.44
              - 2.3.4.56
          ip_ranges_not_match:
            ip_ranges:
              - 8.8.0.0/16
              - 10::1234:1abc:1/64
          geo_ip_match:
            locations:
              - ru
              - es
          geo_ip_not_match:
            locations:
              - us
              - fm
              - gb
    description: My first security rule. This rule it's just example to show possibilities of configuration.
  - name: rule-condition-allow
    priority: "2"
    rule_condition:
      action: ALLOW
      condition:
        source_ip:
          ip_ranges_match:
            ip_ranges:
              - 44.44.44.44-44.44.44.45
              - 44.44.44.77
    description: Let's show how to whitelist IP.
  - name: smart-protection-full
    priority: "11"
    smart_protection:
      mode: FULL
      condition:
        request_uri:
          path:
            prefix_match: /search
    description: Enable smart protection. Allow to show captcha on /search prefix.
  - name: smart-protection-api
    priority: "10"
    smart_protection:
      mode: API
      condition:
        request_uri:
          path:
            prefix_match: /api
    description: Enable smart protection with mode API. We are not expect to see captcha on /api prefix.
created_at: "2024-08-05T17:54:48.898624Z"

    2. Скопируйте в любой текстовый редактор и сохраните в файл текущую конфигурацию правил (содержимое блока security_rules), удалив из нее лишние правила, например:

      security-rules.yaml
      - name: rule-condition-deny
  description: My first security rule. This rule it's just example to show possibilities of configuration.
  priority: "11111"
  dry_run: true
  rule_condition:
    action: DENY
    condition:
      authority:
        authorities:
          - exact_match: example.com
          - exact_match: example.net
      http_method:
        http_methods:
          - exact_match: GET
          - exact_match: POST
      request_uri:
        path:
          prefix_match: /search
        queries:
          - key: firstname
            value:
              pire_regex_match: .ivan.
          - key: lastname
            value:
              pire_regex_not_match: .petr.
      headers:
        - name: User-Agent
          value:
            pire_regex_match: .curl.
        - name: Referer
          value:
            pire_regex_not_match: .bot.
      source_ip:
        ip_ranges_match:
          ip_ranges:
            - 1.2.33.44
            - 2.3.4.56
        ip_ranges_not_match:
          ip_ranges:
            - 8.8.0.0/16
            - 10::1234:1abc:1/64
        geo_ip_match:
          locations:
            - ru
            - es
        geo_ip_not_match:
          locations:
            - us
            - fm
            - gb

      Внимание

      При изменении правил в профиле безопасности все существующие правила будут удалены. Поэтому YAML-файл с изменениями должен содержать полный набор правил, который будет действовать в профиле безопасности.

    3. Чтобы внести изменения в профиль безопасности, выполните команду, указав имя или идентификатор профиля:

      yc smartwebsecurity security-profile update <имя_или_идентификатор_профиля_безопасности> \
   --security-rules-file <путь_к_файлу_с_правилами_безопасности>

      Где --security-rules-file — путь к YAML-файлу с описанием правил безопасности.

      Результат:
      id: fev450d61ucv********
folder_id: b1gt6g8ht345********
cloud_id: b1gia87mbaom********
labels:
  label1: value1
  label2: value2
name: my-new-profile
description: my description
default_action: DENY
security_rules:
  - name: rule-condition-deny
    priority: "11111"
    dry_run: true
    rule_condition:
      action: DENY
      condition:
        authority:
          authorities:
            - exact_match: example.com
            - exact_match: example.net
        http_method:
          http_methods:
            - exact_match: GET
            - exact_match: POST
        request_uri:
          path:
            prefix_match: /search
          queries:
            - key: firstname
              value:
                pire_regex_match: .ivan.
            - key: lastname
              value:
                pire_regex_not_match: .petr.
        headers:
          - name: User-Agent
            value:
              pire_regex_match: .curl.
          - name: Referer
            value:
              pire_regex_not_match: .bot.
        source_ip:
          ip_ranges_match:
            ip_ranges:
              - 1.2.33.44
              - 2.3.4.56
          ip_ranges_not_match:
            ip_ranges:
              - 8.8.0.0/16
              - 10::1234:1abc:1/64
          geo_ip_match:
            locations:
              - ru
              - es
          geo_ip_not_match:
            locations:
              - us
              - fm
              - gb
    description: My first security rule. This rule it's just example to show possibilities of configuration.
created_at: "2024-08-05T17:54:48.898624Z"

Подробнее о команде yc smartwebsecurity security-profile update читайте в справочнике CLI.

Воспользуйтесь методом REST API update для ресурса SecurityProfile или вызовом gRPC API SecurityProfileService/Update.

Предыдущая
Изменить правило
Следующая
Подключить профиль к хосту