Раздел «Атаки» используется для отбора и анализа зафиксированных атак по приложениям, портам, временному интервалу, типам атак и источникам запросов. Сведения о фактической обработке трафика, коде ответа сервера и сработавшем правиле помогают классифицировать инцидент, подтвердить блокировку и выявить ложные срабатывания.
Описание раздела
В верхней части экрана расположена панель фильтров. Ниже отображаются карточки атак с краткой сводкой. Для разбора события доступны таблица заблокированных запросов и детальная карточка запроса.
Панель фильтров
| Элемент | Назначение |
|---|---|
| «Приложения» | Приложение, по которому отбираются события. Значение «Все» соответствует сводному просмотру по всем доменам, защищаемым WAF. |
| «Порт» | Целевой порт. По умолчанию отображается 443. |
| «Временные границы» | Дата и время начала и окончания анализируемого интервала. В блоке также доступны интервалы «1 д», «7 д» и «30 д». |
| «Тип атаки» | Категория атаки, например SQLi или LFI. Значение «Любой» оставляет все типы атак. |
| «Поиск атакующих хостов» | Отбор источников по одиночному IP-адресу, диапазону или подсети в формате CIDR. Допускается несколько значений через запятую. |
| «Сортировка» | Порядок отображения атак. Вариант «Начало атаки» используется для инцидент-ориентированного обзора. |
Примечание: для корректной работы фильтров в WAF должно быть добавлено хотя бы одно приложение.
Примечание: ограничение временного интервала уменьшает количество посторонних событий в выборке и ускоряет разбор.
Список атак и заблокированных запросов
Карточка атаки содержит домен, период активности, количество запросов и поле «Топ атакующих IP». В строке статуса отображается индикатор активности: пометка «Атака в процессе» означает, что событие продолжается.
Кнопка «Показать запросы» раскрывает таблицу заблокированных обращений. В ней отображаются поля «Время», «IP», «Метод», «URI», «Страна», «Код» и «Действие». Для заблокированных обращений код ответа, как правило, равен 403, а в столбце «Действие» указано «Заблокировано».
Количество отображаемых записей задаётся параметром «Записей на странице». Для просмотра остальных записей предусмотрена навигация между страницами. Поле «Топ атакующих IP» помогает определить источник запросов для последующей агрегации событий по адресу.
Детальная карточка запроса и передача данных
Блок «Правила» в детальной карточке показывает сработавшую сигнатуру и её идентификатор. При изучении сигнатуры доступны тип атаки и движок детектирования. Пример сигнатуры: «SQL Injection Attack Detected via libinjection».
В блоке «Сырой HTTP-запрос» доступны следующие представления.
| Вкладка | Содержимое |
|---|---|
| «Raw» | Исходный HTTP-запрос для точной реконструкции, включая стартовую строку, например POST / HTTP/1.1. |
| «Заголовки» | Заголовки запроса для проверки аномалий, в том числе User-Agent, Content-Type и X-Forwarded-For. |
| «Тело» | Полезная нагрузка запроса. |
| «cURL» | Представление для воспроизведения запроса в тестовой среде. |
Действие «Показать сырой JSON» открывает JSON-представление события. Для передачи URL и данных запроса предусмотрены действия «Копировать URL» и «Копировать». В блоке «Сырой HTTP-запрос» также доступны «Копировать» и, при наличии выгрузки, «Скачать». Полученные артефакты используются для передачи в систему тикетов или SIEM.
Порядок работы
Примечание: при сопоставлении событий WAF с журналами приложений поддерживайте синхронизацию времени между ними.
Примечание: при просмотре заблокированных запросов учитывайте пагинацию, чтобы не пропустить разрозненные попытки одного источника.
| Шаг | Действие | Скриншот |
|---|---|---|
| 1 | Если в WAF ещё нет приложений, нажмите «Добавить приложение» в верхнем меню и добавьте приложение. | |
| 2 | Откройте раздел «Атаки» и перейдите к панели фильтров в верхней части экрана. |  |
| 3 | В поле «Приложения» выберите нужное приложение или оставьте «Все». В поле «Порт» выберите целевой порт. |  |
| 4 | В блоке «Временные границы» укажите дату и время начала и окончания анализируемого интервала. |  |
| 5 | В поле «Тип атаки» выберите нужную категорию или оставьте «Любой». | |
| 6 | В поле «Поиск атакующих хостов» укажите источники, по которым нужно отобрать события. Несколько значений разделяйте запятыми. | |
| 7 | В поле «Сортировка» выберите «Начало атаки». | |
| 8 | В списке атак выберите событие для разбора, сверив домен, период и индикатор активности. | |
| 9 | В карточке выбранной атаки нажмите «Показать запросы», чтобы раскрыть таблицу заблокированных обращений. | |
| 10 | Задайте количество записей параметром «Записей на странице» и просмотрите нужные страницы таблицы заблокированных запросов. | |
| 11 | Откройте карточку нужного запроса для детального разбора с помощью кнопки «Подробнее». | |
| 12 | В блоке «Сырой HTTP-запрос» просмотрите данные на вкладках «Raw», «Заголовки» и «Тело». |  |
| 13 | При необходимости откройте вкладку «cURL» и воспроизведите запрос в изолированной тестовой среде. | |
| 14 | Для передачи артефактов при необходимости нажмите «Показать сырой JSON». Используйте «Копировать URL» и «Копировать» для переноса адреса и данных запроса. |  |
| 15 | Если доступна выгрузка и требуется сохранить запрос, нажмите «Скачать» в блоке «Сырой HTTP-запрос». | |
| 16 | В блоке «Мои правила» панели управления изучите сигнатуру, сработавшую на запрос. Сверьте тип атаки, движок детектирования и идентификатор правила. | |
| 17 | Сверьте поле «Топ атакующих IP» в карточке атаки для определения источника и последующей агрегации событий по адресу. |  |
Примечание: фиксируйте результаты анализа в системе учёта инцидентов. Полученные артефакты можно приложить к записи в системе тикетов или передать в SIEM систему для дальнейшего анализа SOC подразделением.
