Управление источниками трафика
Smart Web Security позволяет настраивать правила обработки запросов в зависимости от источника трафика. Например, можно отдельно обрабатывать запросы из сети Tor, VPN, анонимных сетей, от публичных прокси или из определенных стран.
Для этого используются предустановленные списки IP-адресов Yandex Cloud. Они содержат IP-адреса и сети, объединенные по определенному признаку, например по принадлежности к Tor или VPN. Списки поддерживает сервис и регулярно обновляет их.
В этом руководстве описана настройка распространенных правил фильтрации трафика по его источнику.
Порядок настройки
- Создайте профиль безопасности
- Настройте правило для Tor, прокси и анонимных сетей
- Настройте правило для VPN-трафика
- Настройте правило по регионам
- Проверьте порядок выполнения правил
- Подключите профиль безопасности к ресурсам
- Проверьте правила в режиме логирования
- Включите рабочий режим
Необходимые платные ресурсы
- Плата за количество запросов в сервис Smart Web Security по тарифам из раздела Правила тарификации для Yandex Smart Web Security.
- Плата за инфраструктуру защищаемого ресурса в зависимости от его расположения.
Руководство предполагает, что у вас уже есть настроенный веб-ресурс в инфраструктуре Yandex Cloud. Если веб-ресурс находится в другой инфраструктуре, подключите его к прокси-серверу по руководству Базовая настройка защиты в Smart Web Security.
Создайте профиль безопасности
В этом руководстве используется готовый шаблон профиля безопасности.
-
В консоли управления выберите каталог, в котором находятся защищаемые ресурсы.
-
Перейдите в сервис Smart Web Security.
-
На панели слева выберите Профили безопасности.
-
Нажмите Создать профиль и выберите По преднастроенному шаблону.
Преднастроенный профиль содержит:
- базовое правило по умолчанию, включенное для всего трафика с типом действия
Разрешить; - правило Smart Protection
sp-rule-1, включенное для всего трафика, с типом действияПолная защита.
- базовое правило по умолчанию, включенное для всего трафика с типом действия
-
Введите имя профиля, например
sources-manage. -
Включите тестовый режим для правила Smart Protection
sp-rule-1:- Для опции Действие для базового правила по умолчанию выберите
Разрешить. - Напротив правила
sp-rule-1нажмите и выберите Редактировать. - Включите опцию Только логирование.
- Нажмите Сохранить изменения.
- Для опции Действие для базового правила по умолчанию выберите
-
В разделе Обучение ML-моделей оставьте включенным согласие об использовании информации об HTTP-запросах для улучшения моделей машинного обучения. Иначе в сервис Smart Web Security не будут поступать данные для расследования инцидентов безопасности.
-
Нажмите Создать.
Настройте правило для Tor, прокси и анонимных сетей
Для определения такого трафика используются списки is_tor, is_proxy и is_anonymous.
- Откройте созданный ранее профиль безопасности.
- Нажмите кнопку Добавить правило.
- Введите имя правила, например
traffic-sources-rule. - Включите опцию Только логирование.
- Задайте приоритет выше, чем у правил Smart Protection. Например,
9100. - Укажите параметры правила:
- Тип —
Базовое; - Трафик —
При условии; - Условия —
IP; - Условия на IP —
IP принадлежит списку.
- Тип —
- Для списка
is_torвыберите действиеЗапретить. - Создайте отдельное правило или добавьте дополнительное условие для списков
is_proxyиis_anonymousс действиемПоказать капчу. - Нажмите Добавить.
Такой набор правил помогает сразу блокировать трафик из Tor и отдельно проверять запросы из публичных прокси и анонимных сетей через SmartCaptcha.
Настройте правило для VPN-трафика
Для определения VPN-трафика используются списки is_vpn и is_ml_vpn.
Для такого трафика можно задать отдельные правила обработки в соответствии с политикой безопасности: разрешать, блокировать, принудительно отправлять на капчу или применять дополнительные ограничения в профиле ARL.
Важно
Определение VPN-трафика основано на базе IP-адресов Yandex Cloud и не гарантирует полной точности. Возможны ложноположительные и ложноотрицательные срабатывания. Принимайте решение о блокировке VPN-трафика с учетом бизнес-сценариев, поскольку часть реальных пользователей может использовать VPN.
- В профиле безопасности нажмите кнопку Добавить правило.
- Введите имя правила, например
vpn-traffic-rule. - Включите опцию Только логирование.
- Задайте приоритет так, чтобы правило выполнялось в нужном порядке относительно других правил по спискам.
- Укажите параметры правила:
- Тип —
Базовое; - Трафик —
При условии; - Условия —
IP; - Условия на IP —
IP принадлежит списку.
- Тип —
- Выберите список
is_vpnилиis_ml_vpn. - Выберите действие для VPN-трафика:
Разрешить— если VPN-трафик допустим.Запретить— если VPN-трафик нужно блокировать.Показать капчу— если нужна дополнительная проверка.
- Нажмите Добавить.
Чтобы ограничивать частоту запросов для VPN-трафика, создайте профиль ARL и добавьте в него правило с условиями для списков is_vpn и is_ml_vpn.
Настройте правило по регионам
- В профиле безопасности нажмите кнопку Добавить правило.
- Введите имя правила, например
geo-traffic-rule. - Включите опцию Только логирование.
- Задайте приоритет выше, чем у правил Smart Protection, но с учетом уже созданных правил по спискам.
- Укажите параметры правила:
- Тип —
Базовое; - Трафик —
При условии; - Условия —
IP; - Условия на IP —
IP принадлежит регионуилиIP не принадлежит региону.
- Тип —
- Выберите нужные страны по двухбуквенному коду. Например,
RU,KZ,BY. - Выберите действие:
Разрешить— чтобы разрешить трафик;Запретить— чтобы блокировать трафик;Показать капчу— чтобы отправлять запросы в SmartCaptcha.
- Нажмите Добавить.
Если ваш сервис ориентирован только на несколько стран, удобнее использовать условие IP не принадлежит региону. Тогда вы сможете явно указать разрешенные регионы, а остальной трафик ограничить.
Проверьте порядок выполнения правил
Правила в профиле безопасности применяются по принципу первого сработавшего правила. Поэтому заранее определите порядок обработки:
- сначала разрешающие правила для доверенного трафика;
- затем правила для источников повышенного риска;
- затем правила по регионам;
- после этого правила Smart Protection и другие общие правила.
Подробнее о порядке выполнения правил — Общие принципы работы правил.
Проверьте правила в режиме логирования
Оставьте новые правила в режиме Только логирование на несколько дней. За это время:
- проверьте, какие запросы попадают под правила;
- оцените долю легитимного трафика;
- скорректируйте списки, регионы и действия.
Для анализа используйте логи и мониторинг сервиса. Подробнее в разделах Настроить логирование через Smart Web Security и Мониторинг в Smart Web Security.
Включите рабочий режим
После тестирования отключите для правил опцию Только логирование. После этого продолжайте следить за работой правил и при необходимости корректировать их.