Добавление угрозы в исключение

Правило исключения предназначено для разрешения конкретного легитимного трафика, который был ошибочно классифицирован как угроза. Для такого правила используется действие «Разрешить», а область его действия ограничивается приложением и признаками запроса, чтобы не ослаблять защиту всего веб-ресурса.

Описание правила исключения

Создание исключения доступно из подробностей запроса в разделе «Атаки»: рядом со значением «URL» расположена пиктограмма щита со знаком «+». Исключение создаётся в контексте приложения и выбранного сработавшего правила.

Форма «Добавление правила»

Элемент	Назначение
Действие правила	Для исключения используется значение «Разрешить».
«Приложения»	Сайт, к которому относится создаваемое исключение.
«Включено»	Переключатель активности правила.
Поле описания	Контекст и назначение исключения.
«Добавить»	Кнопка сохранения нового правила.

В модели правила состояние активности задаётся флагом enabled, а действие принимает значения allow|deny. Правилу исключения соответствует действие allow.

Области проверки и операторы

Параметр	Доступные варианты
Области проверки	«Приложения», «URL», «Путь URL», «Хост», «Заголовок», «GET-параметры», «POST-параметры», «Тело запроса», «HTTP-метод».
Операторы сравнения	«Равно», «Не равно», «Содержит», «Не содержит», «Начинается с», «Регулярное выражение». Для параметров и заголовков также доступны «Существует» и «Не существует».
Значения HTTP-метода	GET, POST, PUT, PATCH, DELETE, HEAD, OPTIONS, TRACE, CONNECT.

Логика условий

Условия внутри одной группы объединяются по логике И: для совпадения должны выполняться все условия группы. Между группами действует логика ИЛИ: достаточно совпадения одной группы.

Элемент	Назначение
«Добавить условие (И)»	Добавление ещё одного условия в текущую группу.
«Добавить группу (ИЛИ)»	Добавление альтернативной группы для другого варианта запроса.
«Инвертировать результат (НЕ)»	Обращение итогового результата проверки. Переключатель предназначен для специфических случаев, а не для типового исключения.

Пример узкого исключения

В примере условия для приложения, URL и HTTP-метода объединены в одной группе по логике И.

Область проверки	Оператор	Значение в примере
«Приложения»	«Равно»	`test.local`
«URL»	«Равно»	`/?id=1%20OR%2…`
«HTTP-метод»	«Равно»	POST

Примечание: URL в примере показан сокращённо. Для рабочего правила требуется точное значение из журнала; многоточие не заменяет оставшуюся часть адреса. Более строгий вариант ограничения — сочетание «Путь URL» и условия по параметру.

Порядок работы

Примечание: Ограничивайте исключение конкретным приложением, точным путём и методом запроса. Не объединяйте несвязанные случаи в одном правиле; для разных вариантов используйте отдельные группы ИЛИ или отдельные правила.

Примечание: В описании правила рекомендуется указать источник запроса, номер инцидента и срок пересмотра исключения.

Шаг	Действие	Скриншот
1	Откройте раздел «Атаки» и найдите угрозу, связанную с ложноположительным срабатыванием.
2	В карточке выбранной угрозы нажмите «Подробнее».
3	В списке «Заблокированные запросы» раскройте нужный запрос с помощью стрелки справа в его строке.
4	В блоке «Запрос», рядом со значением «URL», нажмите пиктограмму щита со знаком «+».
5	В форме «Добавление правила» задайте действие «Разрешить» и выберите соответствующий сайт в поле «Приложения».
6	В группе условий #1 задайте условие «URL» с оператором «Равно» и точным адресом из журнала либо ограничение по пути URL в сочетании с условием по параметру.
7	Через «Добавить условие (И)» добавьте ограничение по HTTP-методу с оператором «Равно». При необходимости добавьте точечные условия по заголовкам или GET-/POST-параметрам с тем же оператором.
8	Если нужно описать ещё один вариант запроса, нажмите «Добавить группу (ИЛИ)» и задайте условия для этого варианта.
9	При необходимости заполните поле описания правила. Убедитесь, что переключатель «Включено» активен, затем сохраните правило кнопкой «Добавить». После сохранения проверьте журнал трафика: целевой запрос должен проходить без статуса 403, а другие атаки — продолжать блокироваться.