WAF y seguridad

Cada dominio de la CDN tiene una página de Firewall donde puede gestionar la política de seguridad que los nodos perimetrales aplican a ese dominio. Vaya a CDN → Dominios CDN, abra un dominio y seleccione Firewall. La URL de la consola es /cdn/domains/<domain>/firewall.

La página de Firewall tiene cuatro pestañas:

Al guardar, la configuración se envía automáticamente a los nodos perimetrales. Los cambios suelen surtir efecto en un plazo de unos segundos a un minuto, sin necesidad de purgar la caché.

#Conjuntos de reglas administradas de WAF

El WAF (firewall de aplicaciones web) comprueba la URI, la cadena de consulta, User-Agent, Referer y las cookies de cada solicitud. También comprueba los cuerpos de las solicitudes de formulario y JSON. Busca contenido característico de ataques comunes.

1. Abra Firewall → Configuración de reglas y busque la tarjeta Conjuntos de reglas predefinidos de WAF.

2. Active el interruptor principal en el encabezado de la tarjeta.

3. Expanda una categoría y active o desactive cada conjunto de reglas:

   Conjunto de reglas	Detecta
   Inyección SQL	Contenido de inyección SQL
   XSS	Contenido de scripting entre sitios
   Recorrido de rutas	Recorrido de directorios de tipo ../
   Inyección de comandos	Inyección de comandos del sistema operativo
   LFI/RFI	Inclusión de archivos locales y remotos
   Ataque de protocolo	Solicitudes HTTP malformadas o anómalas
   Detección de escáneres	Escáneres de vulnerabilidades comunes
   Robots maliciosos	Rastreadores maliciosos conocidos

4. En Configuración del motor CRS, elija un Modo de comprobación:

   • Bloquear: bloquea las solicitudes coincidentes con 403 y registra el evento.
   • Solo registrar: registra el evento sin bloquear. Úselo para comprobar si hay falsos positivos antes de aplicar reglas nuevas.

5. Haga clic en Guardar.

El Umbral de puntuación de anomalía se aplica a las reglas de puntuación. Cada regla coincidente añade puntos a la puntuación de la solicitud, que se bloquea cuando alcanza el umbral. El valor predeterminado es 5. Los valores más bajos son más estrictos.

#Reglas de puntuación de WAF personalizadas

Si los conjuntos de reglas administradas no cubren su caso, añada reglas en la tarjeta Reglas de WAF personalizadas, puntuación:

• Dónde inspeccionar: URI (con cadena de consulta), ruta, parámetros de consulta, cuerpo de la solicitud, un encabezado de solicitud, una cookie, User-Agent o método. Para los encabezados y las cookies, puede indicar un nombre.
• Tipo de coincidencia: expresión regular, inyección SQL (libinjection) o XSS (libinjection).
• Acción:
  • Bloquear: bloquea de inmediato. Puede establecer el código de estado; el valor predeterminado es 403.
  • Registrar (puntuación): añade la puntuación de la regla a la solicitud. La solicitud se bloquea cuando su puntuación total alcanza el umbral de puntuación de anomalías.

#Reglas de firewall personalizadas

Una regla de firewall personalizada combina condiciones con una acción. Algunos usos habituales son bloquear direcciones IP, permitir tráfico solo desde ciertos países y proteger endpoints de inicio de sesión.

#Crear una regla

1. En Reglas, haga clic en Añadir regla.
2. Introduzca un nombre. La prioridad puede estar entre 1 y 9999; el valor predeterminado es 100.
3. Añada una o más condiciones. Cada condición tiene un campo, una clave opcional, un operador y un valor. Una solicitud solo coincide con la regla si cumple todas las condiciones.
4. Elija una acción y complete sus ajustes.
5. Guarde los cambios. Puede activar, desactivar o eliminar una regla desde la lista en cualquier momento.

#Campos

Los operadores disponibles son igual a, distinto de, contiene, no contiene, empieza por, termina en, en la lista, fuera de la lista, coincide con expresión regular, mayor/menor que (o igual), existe y no existe. Para los operadores de lista, introduzca cada valor en una línea independiente.

#Acciones

#Ejemplo de API

Bloquear una subred:

curl -X POST "https://api.yeap.cloud/api/user/cdn/firewall-rules/create" \
  -H "Authorization: Bearer <token>" \
  -H "Content-Type: application/json" \
  -d '{
    "domain_id": 123,
    "name": "Block bad subnet",
    "expression": {"op": "and", "conditions": [
      {"collection": "IP", "op": "in", "var": ["203.0.113.0/24"]}
    ]},
    "action": "block",
    "action_config": {"status": 403},
    "priority": 100,
    "enabled": true
  }'

Otros endpoints:

• Enumerar reglas: GET /api/user/cdn/firewall-rules?domain_id=123
• Actualizar una regla: POST /api/user/cdn/firewall-rules/update, con id en el cuerpo
• Eliminar una regla: DELETE /api/user/cdn/firewall-rules/delete?id=<id>

#Limitación de tasa

Para limitar la tasa del tráfico, cree una regla de firewall con la acción Limitar tasa. Use sus condiciones para seleccionar las solicitudes que desea proteger, como las rutas que empiezan por /api/login. Después, establezca:

• Límite de solicitudes e intervalo (segundos): una solicitud supera el límite cuando el recuento dentro del intervalo excede el límite establecido.
• Clave: dirección IP, encabezado de solicitud, cookie, ruta de URI o país. Para los encabezados y las cookies, introduzca también el nombre, como X-Api-Key.
• Ámbito: Dominio completo mantiene un contador independiente para cada valor de clave, por ejemplo, un contador para cada IP. Global usa un único contador para todas las solicitudes que coincidan con la regla.
• Al superarlo: bloquear con 429, someter a verificación, solo registrar o ralentizar la respuesta (tarpit). Tarpit ralentiza la respuesta, pero no la rechaza.

#Control de acceso

La pestaña Control de acceso contiene varios módulos específicos. Cada módulo tiene su propio interruptor. Cuando termine, haga clic en Guardar control de acceso para guardarlos todos.

#Protección contra enlaces directos (lista de Referer)

• Permitir Referer vacío y Permitir el mismo dominio: permiten las visitas directas y los enlaces desde su propio sitio.
• Dominios permitidos: una entrada por línea. Puede usar nombres exactos, comodines como *.example.com o expresiones regulares que empiecen por ~. Si esta lista no está vacía, Referer debe coincidir con una de sus entradas.
• Dominios bloqueados: las solicitudes coincidentes se bloquean. Esta lista tiene prioridad sobre la lista de permitidos.
• Extensiones protegidas: limita la protección a ciertos tipos de archivo, como .jpg o .mp4. Déjelo vacío para proteger todas las rutas.

#Bloqueo por país / ASN

Establezca listas de bloqueo y de permitidos, con una entrada por línea, para países, subdivisiones (códigos ISO 3166-2) y ASN. Si hay una coincidencia en una lista de bloqueo, se bloquea el acceso. Si la lista de permitidos de una dimensión no está vacía, solo se permite el acceso a los visitantes de esa lista. Cuando use más de una dimensión, el visitante debe superar todas las comprobaciones.

#Lista de User-Agent

Establezca la acción predeterminada, cómo tratar un User-Agent vacío y el código de estado de bloqueo; después, añada reglas. Elegir permitir como acción predeterminada hace que funcione como una lista de bloqueo; elegir bloquear hace que funcione como una lista de permitidos. Las reglas se comprueban de arriba abajo y la primera coincidencia determina el resultado. Puede establecer coincidencias por subcadena, comodín, expresión regular, valor exacto, prefijo o sufijo.

#Autenticación de acceso

Puede establecer listas de IP permitidas y denegadas, que admiten rangos CIDR. También puede exigir autenticación HTTP Basic, un parámetro de token o una URL firmada (tipos A, B, C o D). Si configura más de un método, elija si la solicitud debe superar todos o cualquiera de ellos.

#Modo bajo ataque (UAM)

Puede ajustar la espera mínima (segundos) (se recomienda 5 o más), la dificultad (se recomienda 15 o más) y la duración de la autorización (segundos). Introduzca 0 para usar el valor predeterminado. Las IP/CIDR de la lista de permitidos omiten la verificación en todos los modos. Las extensiones de archivos estáticos y los ASN de bots permitidos solo se aplican en el modo Adaptativo; los modos Bajo ataque y Forzar CAPTCHA los ignoran.

#Protección de conexiones (Slowloris)

Limita el número de conexiones simultáneas desde cada IP y detecta ataques de solicitudes lentas. Puede establecer la tasa mínima de transferencia del cuerpo, el intervalo de muestreo, el período de gracia, el tiempo máximo de inactividad y el tiempo máximo para recibir el cuerpo. Introduzca 0 para no establecer ningún límite.

#Contenido relacionado

• Reglas de página
• Registros y análisis