DETECÇÃO E BLOQUEIO DE ROBÔS - ATUAL

DETECÇÃO E BLOQUEIO DE ROBÔS - ATUAL

Monitorando WAF: Monitor / Security Monitor

View padrão – Clicar em Security_Monitor_Zapcorp e escolher default:

Obs: A monitoração deve ser dada em cima do warning apenas.

[pic 1]

Formas de detecção:

• Envio de warnings por e-mail ([e-mail]), quando:

• Um Ip trigga mais de  5 rules/minuto;
• Um IP trigga mais de 20 páginas/minuto;
• Um IP trigga mais de 20 ocorrências/minuto;

• Visual no console do WAF a cada hora – pelo time de monitoração.

        

Identificação de um possível robô:

• Triggando páginas sem header e/ou user-agent;
• Excesso de triggers;
• Triggando páginas usando um padrão (Ex: Um IP acessando sem user-agent 3 vezes uma página em diversas páginas);
• Ataques ocorrendo em horário onde o atacante supõe que não terá security admins de plantão (Ex: finais de semana, de madrugada, na hora do almoço – considerando horário local e horário do timezone do atacante);
• Triggando de forma persistente  (Ex: mais de 5 minutos);
• IP onde o owner é um cloud server.

Bloqueio de  IP

• Se o IP for de provedor de acesso (GVT, Net, Tim, etc), fazer o bloqueio e deixa-lo em quarentena por 4 dias onde ao liberar, deverá feito uma nova GMUD. Se o problema persistir, deixa-lo em quarentena por 13 dias e se houver a terceira ocorrência, bloquea-lo em definitivo e contatar formalmente o abuse do provedor de acesso para providências (fazer follow-up);
• Se o IP for de cloud web server (AWS, Azure, Nobis, etc)  ou DC fazer o bloqueio em definitivo e contatar formalmente o abuse do provedor de acesso (fazer follow-up);
• Se o IP for de provedor coletivo, contatar o admin para investigar o IP antes de proceder com o bloqueio

- Fazer GMUD informando o IP, Owner IP a ser bloqueado, tipo de ataque (no caso: excessive web crawling), data/hora do ataque

- Clicar no IP e escolher Block IP, escolher zap_blacklist e clicar em Block IPs. (obs: o tempo de propagação total da regra é de 30min a 60min).

[pic 2]

[pic 3]

Estudo para aplicação de regras

• Bloqueio de regras: 699991, 960015, 960009;
• Riskscore: Outbound Anormally;
• Rate Control;
• Bloqueio de IPs de Cloud Webservers e Data Centers.

...