Подключение состоит из пяти шагов:
- Добавить URL-адрес и подтвердить права на него в системе Check Risk WAF.
- Определить внешний IP-адрес сервера.
- Подключить защиту и настроить перенаправление трафика.
- Особенности настройки защиты Zabbix.
- Харденинг конфигурации для исключения возможности обхода WAF.
Инструкция по подключению защиты:
| № шага | Описание | Скриншот |
|---|---|---|
|
1 |
Примечание: данный этап необходим только при использовании Check Risk WAF SaaS Войдите в личный кабинет Check Risk WAF, перейдите в раздел «Приложения» по адресу https://check-risk.ru/waf/app, нажмите кнопку «Добавить приложение», укажите URL-адрес приложения, которое хотите добавить, и пройдите верификацию прав на управление доменом через добавление TXT-записи в DNS. Для добавления верификационной TXT-записи в DNS перейдите в личный кабинет своего хостинг-провайдера и добавьте новую DNS запись. На примере хостинга reg.ru необходимо перейти в раздел Домены, выбрать свой домен и перейти в раздел DNS-серверы и управление зоной. |
 |
|
Нажмите кнопку «Добавить запись», в блоке «Тип записи» выберите TXT. Вставьте верификационный код в поле «Текст» и нажмите кнопку «Создать». Примечание: проверка прав может пройти не сразу, поскольку обновление DNS-записей занимает некоторое время. Примечание: fосле добавления записи убедитесь, что она корректно отображается в DNS. Проверку можно выполнить с помощью сервиса: https://toolbox.googleapps.com/apps/dig/#TXT/ По завершении вернитесь в личный кабинет Check Risk WAF, в раздел «Приложения», и в форме подтверждения домена нажмите кнопку «Подтвердить права». После успешного подтверждения прав вам станет доступен блок «Первоначальная настройка», где необходимо выполнить дальнейшую настройку подключения защиты. |
 |
|
|
2 |
Для корректной настройки параметра upstream необходимо определить внешний IP-адрес, на котором размещено веб-приложение. Получить данную информацию можно следующими способами:
В качестве upstream следует использовать внешний адрес, по которому сервер принимает входящие подключения. Если используется NAT или промежуточный прокси-сервер, необходимо указывать соответствующий внешний адрес. |
 |
|
3 |
Для подключения защиты перейдите в личный кабинет Check Risk WAF, в раздел «Приложения», и нажмите на URL приложения или на пиктограмму «Карандаш», чтобы открыть панель управления конфигурацией приложения. В данной панели укажите следующие параметры: При необходимости измените, добавьте или удалите TCP-порты для вашего веб-приложения; Добавьте SSL-сертификат. Вы можете загрузить собственный сертификат с использованием закрытого и открытого ключей или получить бесплатный сертификат с автопродлением от Let's Encrypt Добавьте upstream (URL обратного прокси). Укажите адрес, который вы получили на шаге 2. После внесения настроек нажмите кнопку «Сохранить». |
 |
|
После настройки веб-приложения останется только прописать A-записи на вашем DNS-сервере. Перечень назначенных вам IP-адресов доступен в панели управления веб-приложением, в разделе «Приложения». Укажите этот перечень IP-адресов в настройках DNS-записей. На этом настройка и переключение веб-трафика завершены. Ваш сайт или веб-приложение будет находиться под защитой Check Risk WAF. Внимание: переключение трафика может занять от 5 минут до 48 часов из-за обновления и распространения DNS-записей. Этот процесс не зависит от нас. Переключение трафика будет бесшовным. |
 |
|
|
Перейдите по URL адресу вашего приложения Zabbix. На этом этапе должна открываться стартовая страница аутентификации Zabbix. Если она открывается, значит предыдущие шаги выполнены правильно. |
 |
|
|
После переключения трафика в разделе «Приложения» вы увидите график трафика и блокировок. |
 |
Настройка правил безопасности для Zabbix
Для исключения ложных срабатываний рекомендуется сначала перевести приложение в режим мониторинга (логирование без блокировки). После успешного тестирования переведите в режим активной защиты.
Примечание: для исключения ложных срабатываний необходимо добавить следующие правила-исключения.
Исключение из правил zabbix.cr-waf-test.ru /jsrpc.php и /zabbix.php
| Название (пример) | Действие | |
|---|---|---|
|
Исключение из правил zabbix.cr-waf-test.ru /jsrpc.php и /zabbix.php |
Отключить правила по ID |
|
|
ID правил для отключения |
||
|
150395738 |
||
|
Приложения |
= |
Укажите свое приложение с Zabbix |
|
и |
||
|
Путь URL-адреса |
Содержит |
/jsrpc.php |
|
и |
||
|
HTTP-метод |
= |
GET |
|
Или |
||
|
Приложения |
= |
Укажите свое приложение с Zabbix |
|
и |
||
|
Путь URL-адреса |
Содержит |
/zabbix.php |
|
и |
||
|
HTTP-метод |
= |
GET |
Исключение из правил zabbix.cr-waf-test.ru /jsrpc.php и /zabbix.php
| Название (пример) | Действие | |
|---|---|---|
|
Исключение из правил zabbix.cr-waf-test.ru /jsrpc.php и /zabbix.php |
Отключить правила по ID |
|
|
ID правил для отключения |
||
|
150395536 |
||
|
Приложения |
= |
Укажите свое приложение с Zabbix |
|
и |
||
|
Путь URL-адреса |
Содержит |
/jsrpc.php |
|
и |
||
|
HTTP-метод |
= |
GET |
После проверки работоспособности приложения необходимо перевести его в режим Активной защиты.
Если необходимо добавить исключение самостоятельно, перейдите в раздел «Атаки», выберите правило, которое требуется добавить в исключения, и нажмите «Отключить» напротив него.
Харденинг конфигурации для исключения возможности обхода WAF
Необходимо ограничить доступ к Zabbix, разрешив подключения только с IP-адресов Check Risk WAF. Если используется сетевой экран, то ограничение доступа должно быть настроено на стороне сетевого экрана:
- разрешить входящие подключения к серверу Zabbix только с IP-адресов Check Risk WAF;
- запретить доступ со всех остальных IP-адресов.
Если сервер напрямую доступен из сети Интернет:
- необходимо настроить ограничения на уровне встроенного межсетевого экрана операционной системы. Ссылка на инструкцию: https://check-risk.ru/docs/server_firewall_setup
- разрешить входящие подключения только с IP-адресов Check Risk WAF;
- запретить доступ со всех остальных IP-адресов.
На этом настройка и переключение веб-трафика завершены. Ваш сайт или веб-приложение будет находиться под защитой Check Risk WAF.
