Атаки
Раздел атак содержит список запросов (событий), зафиксированных правилами ModSecurity.
Он открывается на начальном экране, а также, если в левом вертикальном меню перейти в раздел События → Атаки.
Действия в разделе:
•Гистограмма атак наглядно показывает количество атак и их статус за выбранный промежуток времени. С ее помощью можно быстро определить интервалы, когда было зафиксировано аномальное количество сработок правил. Гистограмму можно скрыть по значку Скрыть гистограмму.
•
– обновление данных атак.
•Выбор даты – диапазон дат событий, от одной секунды до периода.
•
и 
– сортировка событий.
•
– копирование элементов таблицы.
•Фильтрация таблицы задается выбором значений в шапке таблицы либо, кликнув по конкретному значению, выделенному блоком.
•Кластер – выбор кластера, для которого отображаются запросы (события).
•Режимы просмотра:
oТаблица запросов за период (по умолчанию).
oПоток запросов в реальном времени.
•Время обновления – периодичность обновления событий в режиме потока.
•
– постановка потока событий на паузу и запуск его снова.
•IP – IP-адрес атакующего.
•Домен – защищаемый веб-ресурс (сервер кластера).
•URI – идентификатор защищаемого веб-ресурса (сервера кластера).
•User Agent – сервис запроса.
•ID – идентификатор запроса.
•Действие – запрос заблокирован или пропущен.
•
– запрос заблокирован правилом ModSecurity.
•
– запрос зафиксирован правилом ModSecurity, но не заблокирован.
•
– запрос зафиксирован правилом ModSecurity в активном режиме, т.е. в режиме блокировки, когда атаки фиксируются и блокируются.
•
- запрос зафиксирован правилом ModSecurity в режиме обнаружения, когда атаки фиксируются, но не блокируются.
•
- детализация события (запроса).
•Фактор риска – уровень критичности события с точки зрения безопасности:
oИнфо – полностью безопасные запросы. Используются для анализа и ML.
oНизкий.
oСредний.
oВысокий.
Примечание: Фактор риска определяется исходя из количества баллов, набранных пользовательским запросом при прохождении через цепочку правил.
Детализация события безопасности доступна по и содержит данные о произведенной атаке на защищаемый ресурс.
Если событие безопасности выявлено несколькими правилами ModSecurity с разными факторами риска (например, высоким и средним) (отображается в детализации события), то в атаках это событие будет фиксироваться с максимальным своим фактором риска (в данном примере – высоким), а остальные значения его факторов риска учитываться не будут, в том числе при фильтрации таблицы атак.
Детализация содержит следующие данные о произведенной атаке на защищаемый ресурс:
•
– один из тегов классификации атаки. Нажатие на тег позволяет фильтровать таблицу атак по тегам.
•Тело – показывает размер и само тело запроса при нажатии. Показываются и скачиваются первые 16 Кб тела.
•
– ID правила ModSecurity, обнаружившего атаку. Нажатием на идентификатор таблица атак фильтруется по ID правила.
•
– просмотр правила ModSecurity, соответствующего ID.
•
Скопировать данные – экспорт интервенции.
•Режим работы – переключатель состояния правила ModSecurity между значениями Активный/Пассивный:
oв активном режиме запросы будут фиксироваться и блокироваться;
oв пассивном режиме запросы будут только фиксироваться.
Атаки можно отфильтровать с помощью созданных фильтров. Для этого выполните следующие шаги:
1.Отфильтруйте атаки так как требуется.
2.Нажмите 
.
3.В поле Имя набора задайте имя фильтра.
4.[Опционально] Включите чек-бокс Учитывать диапазон времени.
5.Нажмите Сохранить.
При нажатии на Мои фильтры открывается список созданных фильтров.
Чтобы вернуть таблицу с атаками в исходное состояние нажмите Очистить все.
Чтобы удалить набор фильтров нажмите 
.
Примечание: Наборы фильтров доступны только пользователю, который их создал.
Правила исключения позволяют исключать ложноположительное срабатывание правил. Для создания правил выполните следующие шаги:
1.Перейдите в Конструктор правил и выберите необходимый сервер.
2.Нажмите Создать и задайте имя набору правил, в котором будут храниться правила исключения.
Важно! Набор правил исключений должен быть первым в списке правил.
3.Перейдите в События → Атаки. Выберите правило, на которое нужно создать исключение. Нажмите Показать подробности.
4.В строке ID правила нажмите Добавить исключение.
5.Заполните поля:
•Теги правил.
•Хост.
•URI.
•Метод HTTP.
•IP-адрес.
•Директивы.
•ID правила.
•[Опционально] Комментарий.
6.Нажмите Сгенерировать и выберите в поле Набор правил тот, который был создан выше. Нажмите Загрузить и сохраните конфигурацию в поле Конфигурации параметров защиты не синхронизированы.
7.[Опционально] Если необходимо добавить в исключение несколько правил, нажмите Добавить исключения в раскрытом окне атаки. В открывшемся окне заполните все необходимые параметры и нажмите Загрузить. Затем сохраните изменения в поле Конфигурации параметров защиты не синхронизированы.
Созданные исключения появятся в соответствующем наборе правил в разделе Конструктор правил.
Добавление IP-адреса в черный список
Чтобы внести IP-адреса в черный список в подробностях атаки, выполните следующие шаги:
1.Раскройте детали атаки и нажмите Добавить IP в черный список.
2.В появившемся окне заполните поля Наборы IP-адресов и Адрес. Изначально указаны все серверы для занесения в черный список и адрес по умолчанию.
3.Нажмите Заблокировать.