Управление угрозами

Раздел «Атаки» предназначен для мониторинга и первичной обработки событий веб-атак, зафиксированных Check Risk WAF SaaS. Здесь доступны сведения о попытках эксплуатации уязвимостей, включая SQLi и LFI, реакции WAF, HTTP-запросах, атакующих IP-адресах и периодах активности.

Для дополнительной оценки актуальности атаки доступен AI-агент, который при ложноположительном срабатывании подготавливает правило исключения. Данные запросов можно копировать и сохранять, а отчёты — выгружать в формате HTML.

Фильтры и период анализа

Верхняя панель определяет выборку событий. Список содержит инциденты, соответствующие заданным фильтрам, с группировкой по типам атак и доменам.

Элемент	Назначение
Выбор приложений	Отбор событий для одного или нескольких приложений. Для общей выборки доступно значение «Все приложения».
Период анализа	Кнопки «1 д», «7 д» и «30 д» задают предустановленные интервалы. Два поля дат позволяют указать начало и окончание периода вручную.
«Порт»	Отбор событий по порту приложения.
«Поиск атакующих хостов»	Сужение выборки по атакующему хосту, в том числе по конкретному IP-адресу.
«Страны»	Отбор событий по стране. Для просмотра без ограничения по стране доступно значение «Все страны».
«Тип атаки»	Отбор по типу обнаруженной атаки, например SQLi или LFI. Значение «Любой» используется без ограничения по типу.
«Сортировка»	Порядок отображения карточек. В интерфейсе доступен вариант «Начало атаки».

Карточка атаки и список запросов

Карточка объединяет сводные сведения об атаке и доступ к связанным HTTP-запросам.

Элемент	Содержимое
Тип атаки	Метка типа обнаруженной атаки.
«Домен»	Домен приложения и порт, к которым относятся события.
«Период»	Начало и окончание активности, а также её продолжительность.
«Запросы / IP»	Сводный показатель количества запросов и IP-адресов в карточке атаки.
«Топ атакующих IP»	IP-адреса наиболее активных источников атаки.

Примечание: у списка запросов внутри карточки есть собственные элементы перехода между страницами и поле «Записей на странице». Подробности отдельного запроса раскрываются стрелкой справа в его строке.

Данные запроса и сработавшие правила

Блок «Запрос» содержит время события, метод и версию HTTP, статус, полный URL, домен, IP-адрес, страну и порт. Блок «Правила» показывает названия и идентификаторы сработавших правил. Для одного запроса могут быть указаны несколько правил.

Сырой HTTP-запрос

Блок «Сырой HTTP-запрос» предоставляет несколько представлений одного запроса.

Вкладка	Содержимое
«Raw»	Строка запроса и собранное HTTP-сообщение.
«Заголовки»	HTTP-заголовки, в том числе User-Agent, Accept и Cache-Control. Их значения используются при анализе того, как сервер трактует запрос.
«Тело»	Тело запроса при наличии данных, в частности POST-данных.
«cURL»	Представление запроса для воспроизведения с помощью cURL.

JSON, копирование и сохранение данных запроса

Сервисные действия позволяют просматривать структурированную запись события и переносить данные запроса для документирования и дальнейшего анализа.

Элемент	Назначение
«Показать сырой JSON» / «Скрыть сырой JSON»	Раскрытие и скрытие JSON-представления записи выбранного запроса.
«Копировать URL» под блоком запроса	Копирование URL выбранного запроса.
«Копировать» под блоком запроса	Копирование данных выбранного запроса для последующего переноса, например в тикет-систему.
«Копировать» в заголовке «Сырой HTTP-запрос»	Копирование данных из блока сырого HTTP-запроса.
«Скачать» в заголовке «Сырой HTTP-запрос»	Сохранение данных отдельного HTTP-запроса.

AI-анализ и подготовка правила исключения

Пользователям доступен AI-агент, который помогает оценить актуальность зафиксированной атаки. Анализ выполняется для выбранного запроса и дополняет изучение его содержимого и сработавших правил.

При ложноположительном срабатывании AI-агент подготавливает для пользователя правило исключения. Подготовленное правило можно рассмотреть вместе с результатом анализа при принятии решения о дальнейшей обработке события.

Примечание: кнопка «Спросить у AI» расположена под блоком «Сырой HTTP-запрос». В окне «AI-анализ запроса» отображается идентификатор запроса. Во время обработки видны индикатор выполнения и сообщение «AI выполняет анализ атаки...».

Примечание: инструкцию по активации AI помощника вы можете найти в разделе: Инструкция по подключению AI помощника

HTML-отчёты

В разделе «Атаки» доступна выгрузка отчётов в формате HTML. Для получения отчёта предназначена кнопка «Скачать отчёт» в верхней панели страницы. Полученный HTML-файл используется для просмотра отчёта в браузере.

Порядок работы

Фильтрация событий

Шаг	Действие	Скриншот
1	Откройте раздел «Атаки» в меню портала.
2	В верхней части страницы выберите одно или несколько приложений. Для общей выборки используйте значение «Все приложения».
3	Задайте период кнопкой «1 д», «7 д» или «30 д» либо укажите даты начала и окончания вручную.
4	При необходимости ограничьте выборку с помощью полей «Порт», «Страны» и «Тип атаки».
5	Для поиска событий от конкретного источника укажите его IP-адрес в поле «Поиск атакующих хостов».
6	Выберите порядок в поле «Сортировка» и просмотрите полученную выборку. Для анализа динамики измените период и повторно просмотрите события.

Просмотр карточки и запросов

Шаг	Действие	Скриншот
7	В карточке интересующей атаки нажмите «Подробнее».
8	Оцените период активности и показатели «Запросы / IP» и «Топ атакующих IP».
9	При необходимости измените «Записей на странице» над списком «Заблокированные запросы» и перейдите на нужную страницу стрелками.
10	В строке интересующего запроса нажмите стрелку справа, чтобы раскрыть его подробности.
11	Просмотрите сведения в блоке «Запрос» и сработавшие правила в блоке «Правила».

Примечание: Сопоставление показателя «Запросы / IP» и списка «Топ атакующих IP» помогает выявить признаки автоматизированной кампании.

Примечание: при повторяющихся источниках атак используйте раздел «IP-группы» для временной блокировки или создания исключений в соответствии с принятой политикой безопасности.

Анализ сырого HTTP-запроса

Примечание: Воспроизведение запроса с помощью cURL следует выполнять в контролируемой среде.

Шаг	Действие	Скриншот
12	В блоке «Сырой HTTP-запрос» откройте вкладку «Raw» и изучите строку запроса и HTTP-сообщение.
13	Откройте вкладку «Заголовки» и проверьте значения заголовков запроса.
14	При наличии POST-данных или другого содержимого тела откройте вкладку «Тело» и изучите переданные данные.
15	При необходимости воспроизведения запроса откройте вкладку «cURL» и используйте представленную команду.

Примечание: При оценке угрозы сопоставляйте содержимое запроса со сработавшим правилом из блока «Правила». Это позволяет проверить, соответствует ли обнаруженный признак атаки данным запроса.

AI-анализ выбранного запроса

Этот этап выполняется при необходимости; подробности выбранного запроса должны быть открыты.

Шаг	Действие	Скриншот
16	Под блоком «Сырой HTTP-запрос» нажмите «Спросить у AI».
17	В окне «AI-анализ запроса» дождитесь завершения анализа.
18	Изучите результат анализа актуальности атаки для выбранного запроса.
19	В случае ложноположительного срабатывания рассмотрите правило исключения, подготовленное AI-агентом.
20	Для возврата к запросу закройте окно анализа кнопкой «Закрыть» или значком крестика.

Примечание: Перед использованием подготовленного исключения сопоставьте его с содержимым запроса и сработавшими правилами. Подготовленное правило не следует считать уже применённым исключением.

Сохранение и передача данных запроса

Действия этого этапа выполняются по необходимости для выбранного запроса.

Шаг	Действие	Скриншот
21	Нажмите «Показать сырой JSON», чтобы просмотреть структурированную запись запроса.
22	Для переноса адреса запроса нажмите «Копировать URL». Для переноса данных запроса используйте «Копировать» в той же строке действий.
23	Для копирования или сохранения сырого HTTP-запроса используйте «Копировать» или «Скачать» в заголовке блока «Сырой HTTP-запрос».
24	После просмотра JSON при необходимости нажмите «Скрыть сырой JSON».

Примечание: Данные JSON и представление cURL можно передавать для последующего анализа и корреляции в SIEM. Копирование URL и данных запроса удобно для оформления инцидента в тикет-системе.

Выгрузка HTML-отчёта

Шаг	Действие	Скриншот
1	Откройте раздел «Атаки».
2	Нажмите «Скачать отчёт» в верхней панели страницы.
3	Откройте полученный HTML-файл в браузере для просмотра отчёта.