Карточка угрозы используется для анализа событий веб-приложения, зарегистрированных WAF SaaS, и выбора мер реагирования в том же интерфейсе. Она объединяет сведения о запросе и сработавшем правиле, данные для воспроизведения события, добавление IP-адреса в группу и создание правила для конкретного URL и HTTP-метода.
Описание карточки угрозы
Карточка доступна в разделе «Атаки» из журнала событий безопасности или перечня заблокированных запросов. Подробности запроса разделены на две колонки: «Запрос» с атрибутами события и «Правила» с контекстом обнаружения угрозы.
| Элемент | Сведения |
|---|---|
| Атрибуты запроса | Дата и время, домен или приложение, IP-адрес клиента, страна, порт, протокол, HTTP-метод и код ответа сервера. |
| «URL» | Полный адрес запроса, включая строку запроса. Для передачи адреса в буфер обмена доступно действие «Копировать URL». |
| «Правила» | Название и источник сработавшего правила, идентификатор сигнатуры и уровень воздействия. Пример сигнатуры: SQL Injection via libinjection, ID 942100. |
Представления запроса и экспорт данных
Блок «Сырой HTTP-запрос» содержит исходные данные запроса и отдельные представления его частей. JSON-представление события доступно в нижней части карточки.
| Представление | Содержимое |
|---|---|
| «Raw» | Исходный HTTP-запрос. |
| «Заголовки» | Заголовки HTTP-запроса. |
| «Тело» | Тело запроса, если оно присутствует. |
| «cURL» | Готовая команда для воспроизведения запроса и лабораторной проверки. |
| JSON | Структурированное представление события, доступное через «Показать сырой JSON». |
В блоке «Сырой HTTP-запрос» предусмотрены действия «Копировать» и «Скачать». В нижней части карточки находятся действия «Копировать URL» и «Копировать» для передачи данных запроса.
Добавление IP-адреса в группу
Команда «Добавить IP в группу» доступна рядом с полем «IP» в блоке «Запрос». Адрес клиента можно добавить в существующую группу или в новую группу, создаваемую из карточки угрозы.
Окно «Добавить IP в группу» содержит вкладки «Выбрать группу» и «Создать новую». Для новой группы задаются наименование, необязательное описание и, при необходимости, диапазоны адресов. Текущий IP добавляется автоматически. После сохранения группа сразу доступна в политиках WAF, списках блокировки и наблюдения, а также в отчётах.
Добавление URL в карточку приложения и выпуск правила
Действия карточки угрозы позволяют зафиксировать наблюдаемый URL в инвентарной карточке приложения и сформировать правило для его защиты. Команда «Добавить правило» представлена значком щита со знаком «+» рядом с «URL».
При создании блокирующего правила задаются действие «Запретить», приложение и область проверки «URL» со значением из события. При необходимости правило ограничивается HTTP-методом. Переключатель «Включено» определяет активность правила. Фильтр начинает действовать сразу после публикации.
Порядок работы
Операции добавления IP-адреса в группу, создания правила и передачи данных выполняются при необходимости.
Примечание: добавляйте IP-адрес в группу «Блокировка» только при достаточной уверенности в атаке. При оценке источника учитывайте NAT, прокси и общие адреса облачных провайдеров.
Примечание: при повторяющихся атаках на один и тот же путь используйте правило «Приложение + URL + Метод» вместо глобальной блокировки сети источника.
Примечание: перед ужесточением политик сверяйте идентификатор правила детектирования и проверяйте воспроизводимость запроса с помощью cURL в лабораторной среде или среде отладки.
| Шаг | Действие | Скриншот |
|---|---|---|
| 1 | Откройте раздел «Атаки», выберите нужную запись и нажмите «Подробнее». |  |
| 2 | В перечне заблокированных запросов раскройте нужную запись стрелкой справа. |  |
| 3 | В блоках «Запрос» и «Правила» изучите сведения о событии и сработавшем правиле. Сверьте идентификатор сигнатуры с анализируемым событием. |  |
| 4 | Просмотрите HTTP-запрос на вкладках «Raw» и «Заголовки». Если у запроса есть тело, откройте вкладку «Тело». | |
| 5 | При необходимости проверьте воспроизводимость запроса: откройте вкладку «cURL» и используйте готовую команду в лабораторной среде или среде отладки. |  |
| 6 | Чтобы добавить IP-адрес в группу, в блоке «Запрос» нажмите значок рядом со значением «IP» — команду «Добавить IP в группу». |  |
| 7 | В окне «Добавить IP в группу» на вкладке «Выбрать группу» выберите существующую группу. Для создания новой группы перейдите на вкладку «Создать новую». |  |
| 8 | Если создаёте новую группу, укажите её наименование. При необходимости заполните описание и укажите диапазоны адресов. |  |
| 9 | Для выбранной существующей группы нажмите «Добавить». При создании новой группы сохраните заполненную форму. | |
| 10 | Чтобы создать правило для URL из события, в блоке «Запрос» нажмите значок щита со знаком «+» рядом с «URL» — команду «Добавить правило». |  |
| 11 | В форме создания правила выберите действие «Запретить» и укажите приложение. |  |
| 12 | Укажите область проверки «URL» и значение из события. При необходимости ограничьте правило по HTTP-методу. | |
| 13 | Убедитесь, что переключатель «Включено» активен, и сохраните правило. | |
| 14 | Для просмотра JSON-представления события нажмите «Показать сырой JSON». При необходимости используйте «Копировать» в нижней части карточки для передачи данных события. | |
| 15 | Для передачи полного адреса запроса нажмите «Копировать URL» в нижней части карточки. | |
| 16 | Для копирования или выгрузки HTTP-запроса используйте «Копировать» или «Скачать» в блоке «Сырой HTTP-запрос». | |
Примечание: полученные данные запроса можно приложить к тикету для последующей локальной валидации. JSON-представление также подходит для загрузки в систему тикетов и автоматизированной корреляции в SIEM/SOAR.
