Как начать работать с Yandex Smart Web Security

Application Load Balancer равномерно распределяет входящий трафик между узлами, что позволяет избежать перегрузки и повысить отказоустойчивость. Если у вас еще не настроен L7-балансировщик, вы можете развернуть тестовую инфраструктуру.

1. В консоли управления выберите каталог, в котором находятся защищаемые ресурсы.

2. Перейдите в сервис Smart Web Security.

3. На панели слева выберите Профили безопасности.

4. Нажмите Создать профиль и выберите По преднастроенному шаблону.

   Преднастроенный профиль содержит:

   • базовое правило по умолчанию, включенное для всего трафика с типом действия Разрешить;
   • правило Smart Protection sp-rule-1, включенное для всего трафика, с типом действия Защита API.

   Совет

   Создание преднастроенного профиля с полной защитой Smart Protection является предпочтительным. Рекомендуем использовать его, чтобы обеспечить наибольшую безопасность защищаемого ресурса.

5. Введите имя профиля, например test-sp1.

6. В поле Действие для базового правила по умолчанию выберите Запретить.

7. (Опционально) Включите или отключите использование информации об HTTP-запросах для улучшения моделей машинного обучения в разделе Обучение ML-моделей.

8. Нажмите Создать.

1. Выберите профиль test-sp1, созданный ранее.

2. Убедитесь, что на вкладке Правила безопасности есть правило со следующими параметрами:

   • Тип — Smart Protection.
   • Действие — Защита API.
   • Условия — Весь трафик.

   Это правило отправляет весь трафик, приходящий к защищаемому ресурсу, на автоматическую оценку с помощью алгоритмов машинного обучения и поведенческого анализа. По результатам автоматической оценки:

   • Легитимные запросы направляются к защищаемому ресурсу.
   • Нелегитимные запросы и атаки блокируются.

Если балансировщик управляется Ingress-контроллером Application Load Balancer, используйте аннотацию ресурса Ingress.

Чтобы подключить виртуальный хост:

1. В консоли управления выберите каталог, в котором находится нужный профиль безопасности.

2. Перейдите в сервис Smart Web Security.

3. На панели слева выберите Профили безопасности.

4. Выберите профиль безопасности, который вы хотите подключить к виртуальному хосту сервиса Yandex Application Load Balancer.

5. Нажмите Подключить к хосту.

6. В открывшемся окне нажмите Добавить ресурс и выберите Виртуальный хост.

7. Последовательно установите значения в полях Балансировщик, HTTP-роутер и Виртуальный хост. Вы можете подключить профиль безопасности сразу к нескольким хостам.

   Чтобы подключить профиль к еще одному L7-балансировщику, нажмите Добавить ресурс и выберите Виртуальный хост.

8. Нажмите Подключить. Если выбранные хосты уже подключены к другому профилю безопасности, подтвердите подключение.

   В разделе Подключенные ресурсы появятся подключенные виртуальные хосты.

1. В консоли управления выберите каталог с профилем безопасности.
2. Перейдите в сервис Smart Web Security.
3. На панели слева выберите Мониторинг.
4. Задайте период просмотра метрик.
5. При необходимости отфильтруйте графики с помощью полей Балансировщик, Профиль безопасности и Профиль ARL.

Посмотрите графики разрешенных и заблокированных запросов.

1. В консоли управления выберите каталог, в котором вы хотите создать профиль Cloud WAF.
2. Перейдите в сервис Smart Web Security.
3. На панели слева выберите Профили WAF и откройте вкладку Cloud WAF.
4. Нажмите Создать профиль и выберите Профиль Cloud WAF.
5. Введите имя профиля, например test-waf-profile-1.
6. Включите набор правил, например OWASP Core Rule Set, и последнюю версию набора. Чтобы посмотреть правила в наборе, нажмите на строку с его описанием.
7. Нажмите Создать.

1. На открывшейся обзорной странице профиля Cloud WAF напротив нужного набора нажмите Настроить.

2. Установите Порог аномальности — суммарную аномальность сработавших правил, при которой запрос будет заблокирован, например Умеренный — 25 и выше.

   Рекомендуется начинать с порога аномальности 25 и постепенно снижать его до 5. Чтобы снизить порог аномальности, отработайте ложные срабатывания WAF на легитимные запросы. Для этого подберите правила из базового набора и настройте правила-исключения. Также для тестирования разных порогов аномальности используйте в профиле безопасности режим Только логирование (dry-run).

3. Установите Уровень паранойи, например Только 1.

   Уровень паранойи классифицирует правила по степени агрессивности. Чем выше уровень паранойи, тем лучше уровень защиты, но и больше вероятность ложных срабатываний WAF.

4. Проверьте включенные в набор правила, при необходимости включите дополнительные или уберите ненужные. При работе с правилами обращайте внимание на значение их аномальности и уровень паранойи.

Любое правило из набора можно сделать блокирующим. Запрос, соответствующий таком правилу, будет заблокирован независимо от установленного порога аномальности. Чтобы сделать правило блокирующим, нажмите справа от него. Если в профиле безопасности включен режим Только логирование (dry-run), запросы не будут заблокированы, даже если они соответствуют блокирующим правилам.

1. Перейдите на вкладку Правила-исключения и нажмите Создать правило-исключение.

2. Введите имя правила-исключения, например exception-rule-1.

3. В блоке Правила WAF укажите правила из базового набора, для которых будет срабатывать исключение. Вы можете выбрать Все правила или указать конкретные.

4. В блоке Условия применения исключения выберите область применения правила-исключения. Правило можно применить ко всему запросу или к отдельным частям запроса: HTTP body, Cookie, HTTP header, Query params.

5. В блоке Условия на трафик выберите условия для срабатывания правила-исключения.

   Если оставить поле Условия пустым, правило-исключение будет применено ко всему трафику.

6. Нажмите Создать.

1. Перейдите на вкладку Профили безопасности.
2. В списке выберите профиль безопасности, к которому вы хотите подключить профиль Cloud WAF, например test-sp1.
3. Нажмите Добавить правило.
4. Введите имя правила, например waf-rule-1.
5. В поле Приоритет задайте значение выше, чем у правил Smart Protection, уже имеющихся в профиле безопасности, например 888800.
6. (Опционально) Чтобы протестировать профиль Cloud WAF и отработать ложные срабатывания на легитимные запросы, используйте в профиле безопасности режим Только логирование (dry-run).
7. В поле Тип правила выберите Web Application Firewall.
8. В поле Профиль WAF выберите test-waf-profile-1, созданный ранее.
9. В поле Действие выберите Полная защита.
10. При необходимости задайте условия для сопоставления трафика.
11. Нажмите Добавить.

1. В консоли управления выберите каталог, в котором вы хотите создать профиль ARL.
2. Перейдите в сервис Smart Web Security.
3. Перейдите на вкладку Профили ARL и нажмите Создать профиль ARL.
4. Введите имя профиля, например test-arl-profile-1.
5. При необходимости добавьте описание профиля и метки.
6. Нажмите Создать.

1. На открывшейся обзорной странице профиля ARL нажмите Добавить правило.

2. Введите имя правила, например arl-rule-1.

3. В поле Приоритет задайте приоритет выполнения правила в рамках профиля ARL, например 1000.

4. (Опционально) Чтобы протестировать правило ARL, включите режим Только логирование (Dry run). В этом режиме запросы блокироваться не будут.

5. В блоке Условия на трафик выберите Весь трафик или При условии.

6. Чтобы задать условия на трафик, в списке Условия выберите один или несколько пунктов:

   • IP — IP-адрес, диапазон адресов, регион адресов или список адресов;
   • HTTP header — строка в заголовке HTTP;
   • Request URI — путь запроса;
   • Host — домен, на который пришел запрос;
   • HTTP method — метод запроса;
   • Cookie — строка в заголовке cookie.
   • Bot name — имена легитимных ботов, принадлежащих различным компаниям и сервисам.
   • Bot category — категории верифицированных ботов по их назначению или характеру действий.
   • Verified bot — фильтрация по признаку верификации бота (да или нет).
   • Bot score — фильтрация по уровню роботизированности запроса: от 0 (самый низкий уровень, человек) до 100 (самый высокий уровень, бот).
   • FingerPrint — отпечаток SSL/TLS‑соединения.

7. В блоке Подсчет запросов выберите, как считать запросы для применения лимита:

   • Без группировки — подсчет каждого запроса в отдельности;
   • По характеристикам — подсчет количества групп запросов, объединенных одной или несколькими характеристиками.

   1. Выберите характеристику для группировки:

      • Request path — путь запроса;
      • HTTP method — метод запроса;
      • IP адрес — IP-адрес, с которого пришел запрос;
      • Регион — регион, которому принадлежат IP-адреса запросов;
      • Host — домен, на который пришел запрос;
      • HTTP cookie — строка в заголовке cookie;
      • HTTP header — строка в заголовке HTTP;
      • Query params — строка в параметрах запроса.

   2. (Опционально) Включите опцию Учитывать регистр, чтобы характеристики с одинаковыми значениями, но в разном регистре попадали в разные группы.

8. Укажите лимит запросов и выберите промежуток времени, например 1000 запросов за 1 минуту.

9. В блоке При превышении лимита запросов выберите действие:

   • Блокировать запросы свыше лимита (доступно без группировки запросов) — заблокировать все запросы, которые поступят в период, заданный в лимите запросов.
   • Временно блокировать все запросы (доступно при группировке запросов) и укажите период времени, в течение которого запросы будут блокироваться.
   • Показать капчу для запросов свыше лимита — отправлять на капчу все запросы, которые поступят в период, заданный в лимите запросов. Капчу можно настроить в профиле безопасности, к которому подключен профиль ARL.

10. Нажмите Сохранить правило.

1. Перейдите на вкладку Профили безопасности.
2. В списке выберите профиль безопасности, к которому вы хотите подключить профиль ARL, например test-sp1.
3. Нажмите Редактировать.
4. В списке Профиль ARL выберите test-arl-profile-1, созданный ранее.
5. Нажмите Сохранить.