В UserGate WAF можно настроить политику безопасности, обеспечивающую защиту опубликованных веб-сервисов от атак. Механизмы защиты, разработанные экспертами UserGate, позволяют обнаруживать и блокировать различные угрозы, включая наиболее опасные атаки из списка OWASP Top 10. Настройка защиты выполняется в WAF-профилях — наборах WAF-правил и механизмов управления ими.

Структура WAF-профиля

WAF-профиль включает следующие элементы:

WAF-правило — выражение на языке UserGate Policy Language (UPL), описывающее условия обнаружения угроз безопасности. Правило анализирует веб-трафик (запросы и ответы) и защищает веб-сервисы от атак и утечек конфиденциальных данных. При срабатывании правила выполняется назначенное действие (например, блокирование трафика). WAF-правила бывают системные (поставляются в пакете экспертизы) и пользовательские. В WAF-профиле системные WAF-правила сгруппированы по двум признакам: технологии (что именно защищает правило) и слои (от каких типов атак защищает правило).
Технология — инструмент, который используется при разработке и эксплуатации защищаемого веб‑сервиса (язык программирования, фреймворк, СУБД, веб‑сервер и т. п.). Технологии формируют характерные признаки в трафике: структуру HTTP-запросов/ответов, наборы заголовков, параметры сессий и другие артефакты. Поэтому информация о технологиях позволяет настроить политику безопасности под конкретный веб-сервис и снизить количество ложных срабатываний. В UserGate WAF технологии служат признаком группировки WAF-правил: включение технологии в WAF-профиле делает доступными все связанные с ней WAF-правила, но не активирует их. Активация правил зависит от включенных слоев.
Слой — конструкция, предназначенная для группировки WAF-правил по типам обнаруживаемых атак, их активации и настройки очередности проверки трафика WAF-правилами. Отключение всего слоя исключает из проверки все входящие в него WAF-правила. Слои бывают системные (создаются компанией UserGate) и персональные.

Таким образом, для защиты веб-сервиса в WAF-профиле необходимо включить соответствующие технологии и нужные слои, чтобы применялись WAF-правила, защищающие эти технологии от выбранных типов атак.

O системных WAF-правилах

UserGate WAF поставляется с набором системных WAF-правил, обеспечивающих защиту веб-сервисов от различных атак. Системные WAF-правила доступны для загрузки с серверов UserGate после активации лицензии и затем регулярно обновляются и дополняются командой экспертов UserGate, если настроено расписание автообновлений. Подробнее об автообновлении — в разделе «Настройка общих параметров».

Важно!Для получения регулярных обновлений системных WAF-правил необходима лицензия на модуль Security Updates.

ПримечаниеПри обновлении экспертизы новые и обновленные системные WAF-правила (как в WAF-профилях, так и в списке глобальных правил) переводятся в режим журналирования — в качестве их действия устанавливается No action. Журналирование включается автоматически, чтобы администратор мог проанализировать поведение новых версий правил перед включением блокировки. После обновления экспертизы следует проверить действия WAF-правил и при необходимости вернуть блокирующие действия.

Все системные WAF-правила отображаются в разделе Политика безопасности ➜ Глобальные правила. Вы можете просматривать сведения о WAF-правилах (например, в каком слое они находятся, какое назначено действие при срабатывании или какой выбран профиль ответа), изменять их параметры, выполнять поиск и сортировку.

В WAF-профилях отображаются только те правила, которые соответствуют включенным технологиям и слоям.

Каждое WAF-правило защищает веб-сервисы от угроз определенного уровня. В системе выделено три уровня угроз. Уровень угрозы, от которой защищает правило, обозначается цветовым индикатором: зеленый (1) — низкий уровень, синий (2) — средний, желтый (3) — высокий. Это позволяет быстро оценить критичность правила и приоритет его применения при настройке защиты.

Системные WAF-правила группируются в системные слои, которые также формируются разработчиками решения. Критерием группировки WAF-правил в слои являются следующие типы атак:

Abuse of Functionality;
Authentication/Authorization Attacks;
Buffer Overflow;
Command Execution;
Denial of Service;
Detection Evasion;
Directory Indexing;
HTTP Parser Attack;
HTTP Response Splitting;
Information Leakage;
LDAP Injection attempt;
SQL-injection;
Malicious File Upload;
Microsoft OWA;
Other Application Attacks;
Path Traversal;
Predictable Resource Location;
Remote File Include;
Server Side Code Injection;
Session Hijacking;
Trojan/Backdoor/Spyware;
Vulnerability Scan;
XPath Injection;
Cross site scripting (XSS);
XML External Entity (XXE).

Действия в системных WAF-правилах

При срабатывании системного WAF-правила к трафику применяется действие, назначенное этому правилу:

No action — при срабатывании правила система фиксирует событие (если включено журналирование), но не предпринимает действий, блокирующих трафик. При этом в процессе обработки трафик может модифицироваться в соответствии с условиями правила, например в запрос могут быть добавлены заголовки.
Pass — все правила, расположенные в слое под сработавшим правилом, пропускаются, и происходит переход к проверке WAF-правилами следующего слоя (при его наличии). Если следующего слоя нет, проверка завершается пропуском запроса или ответа.
Deny — все правила, расположенные в слое под сработавшим правилом, пропускаются, и происходит переход к проверке WAF-правилами следующего слоя (при его наличии). Если следующего слоя нет, проверка завершается блокированием запроса или ответа.
Force deny — является окончательным результатом обработки, и перехода к проверке WAF-правилами следующего слоя не происходит. Проверка завершается блокированием запроса или ответа.
Force pass — является окончательным результатом обработки, и перехода к проверке WAF-правилами следующего слоя не происходит. Проверка завершается пропуском запроса или ответа.

Таким образом, приоритет force-действий выше, что следует учитывать, настраивая последовательность слоев.

Настройка и подключение WAF-профиля

В WAF-профиле настраиваются технологии, слои и WAF-правила, обеспечивающие защиту публикуемых веб-сервисов. Вы можете настроить несколько WAF-профилей и подключить их к разным правилам публикации, реализуя таким образом необходимые сценарии защиты одного или нескольких веб-сервисов.

Правило публикации с подключенным WAF-профилем проверяет веб-трафик выбранного веб-сервиса на наличие угроз. При срабатывании WAF-правила, для которого включено журналирование, UserGate WAF записывает информацию об обнаружении атаки или другого события ИБ. Эти данные доступны для просмотра и анализа в разделе Атаки. Подробнее — в разделе «Просмотр обнаруженных атак».

Общий сценарий настройки и подключения WAF-профиля следующий:

1. Проверьте, что лицензия UserGate WAF Security Updates активирована и скачаны пакеты экспертизы WAF. Подробнее о лицензии — в разделе «Лицензирование UserGate WAF».

2. Убедитесь, что для ваших веб-сервисов настроены серверы публикации и созданы правила публикации, настроенные на проверку трафика этих веб-сервисов. Подробнее — в разделе «Публикация веб-сервисов».

3. Создайте WAF-профиль, включите необходимые технологии и слои с WAF-правилами. Подробнее — в разделе «Создание и настройка WAF-профиля».

4. Если необходимо, настройте WAF-правила, чтобы выполнять только необходимые проверки трафика. Подробнее — в разделе «Настройка системных WAF-правил».

5. Подключите созданный WAF-профиль к правилу публикации, настроенному на проверку трафика соответствующего веб-сервиса. Подробнее — в разделе «Подключение WAF-профиля к правилу публикации».

В UserGate WAF предусмотрено быстрое создание настроенного WAF-профиля по шаблону:

Наблюдение — подходит для отладки политики безопасности. По умолчанию включены все WAF-правила для всех технологий и слоев, для всех WAF-правил выбрано действие No Action, ведется журналирование срабатываний правил. Такой профиль позволяет отслеживать поведение всех WAF-правил без блокирования трафика, фиксировать ложные срабатывания и по результатам вносить изменения в политику безопасности. Сведения о срабатывании правил доступны на странице Атаки.
Базовая защита — предназначен для защиты веб-сервисов от угроз высокого уровня. По умолчанию включены все WAF-правила, выявляющие угрозы 3-го уровня, для этих правил выбрано блокирующее действие Deny, ведется журналирование срабатываний правил. Сведения о срабатывании правил доступны на странице Атаки.
Максимальная защита — предназначен для выявления и блокирования всех видов угроз. По умолчанию включены все WAF-правила, для всех правил выбрано блокирующее действие Deny, ведется журналирование срабатываний правил. Сведения о срабатывании правил доступны на странице Атаки.
Пользовательский — предназначен для самостоятельной настройки профиля «с нуля». По умолчанию включены технологии All systems и General Database, все слои выключены.

WAF-профиль, созданный по любому шаблону, остается доступным для внесения изменений. Например, в созданном по шаблону для наблюдения WAF-профиле вы можете настроить блокирование трафика любыми правилами.

В WAF-профиле можно использовать как системные слои, содержащие экспертизу UserGate, так и персональные слои с пользовательскими правилами. Подробнее — в разделе «Создание персонального слоя и пользовательских WAF-правил».

Созданные WAF-профили отображаются в разделе Настройки ➜ Политика безопасности ➜ WAF-профили. Профили можно редактировать, копировать и удалять.

Быстрое создание WAF-профиля

Чтобы создать WAF-профиль без дополнительной настройки:

1. В разделе Политика безопасности ➜ WAF-профили нажмите Добавить.

2. В окне WAF-профиль выберите шаблон Наблюдение, Базовая защита или Максимальная защита и нажмите Создать.

3. В окне WAF-профиль на вкладке Общие при необходимости измените название профиля и описание.

3. Нажмите Сохранить.

Будет создан WAF-профиль с параметрами, предустановленными в выбранном шаблоне. Вы можете вносить дополнительные изменения в профиль или сразу перейти к его подключению к правилу публикации.

Создание и настройка WAF-профиля

Чтобы создать и настроить WAF-профиль:

1. В разделе Политика безопасности ➜ WAF-профили нажмите Добавить.

2. В окне WAF-профиль выберите один из шаблонов и нажмите Создать.

3. В окне WAF-профиль на вкладке Общие укажите название профиля и при необходимости описание.

4. На вкладке Технологии включите технологии, которые используется при создании и эксплуатации веб-сервисов, которые будет защищать этот профиль.

5. При необходимости выполните оптимизацию профиля на основе рекомендаций по технологиям. Подробнее — в разделе «Применение рекомендаций по технологиям в WAF-профиле».

5. На вкладке Слои включите нужные системные слои. В счетчике активных правил отобразится общее количество включенных правил.

ПримечаниеПосле сохранения WAF-профиля включенные слои автоматически поднимаются наверх в своих группах. Порядок в этом случае определяется так: первый в списке включенный слой поднимается на первое место, на второе место поднимается следующий по списку включенный слой, и т. д. В рамках одной группы вы можете перемещать слои по списку, чтобы таким образом настроить очередность проверки трафика системными WAF-правилами.

6. При необходимости добавьте персональный слой с пользовательскими правилами. Подробнее — в разделе «Создание персонального слоя и пользовательских WAF-правил».

ПримечаниеПользовательские слои и правила имеют более высокий приоритет, чем системные правила, включенные в WAF-профиле.

7. На вкладке WAF-правила при необходимости настройте WAF-правила. Например, вы можете выключить все правила, блокирующие угрозы 1-го (низкого) уровня. Подробнее — в разделе «Настройка системных WAF-правил».

8. Нажмите Сохранить.

Теперь созданный WAF-профиль можно подключить к правилу публикации.

Подключение WAF-профиля к правилу публикации

Чтобы подключить WAF-профиль к правилу публикации и начать проверку трафика в соответствии с настроенной политикой безопасности:

1. В разделе Политика сервисов ➜ Правила публикации создайте или выберите правило публикации. Подробнее — в разделе «Публикация веб-сервисов».

2. На вкладке Профили безопасности установите флажок Включить защиту веб-приложений (WAF) и выберите из списка нужный WAF-профиль.

ПримечаниеЕсли нужного профиля нет в списке, вы можете создать его, нажав в конце списка «Создать и выбрать новый объект».

3. Завершите настройку других параметров правила публикации и сохраните изменения.

Правило публикации настроено на защиту веб-сервиса, указанного в его параметрах.

Настройка WAF-профиля по рекомендованным технологиям

В WAF-профиле можно вручную управлять защищаемыми технологиями или использовать рекомендации по технологиям.

Даже если защищаемые технологии в WAF-профиле уже выбраны вручную, их состав необходимо периодически пересматривать. Со временем технологический стек веб-сервисов может измениться: одни WAF-правила становятся избыточными и замедляют проверку трафика, а для новых технологий существующих механизмов защиты может быть недостаточно.

Чтобы поддерживать WAF-профиль в соответствии с текущим технологическим стеком и исключать лишние проверки, в системе предусмотрена функция обнаружения технологий. С помощью специального пакета экспертизы UserGate WAF анализирует трафик, соответствующий условиям выбранных правил публикации, и определяет используемые технологии.

На основе обнаруженных технологий система формирует рекомендации по настройке WAF-профилей. Их применение помогает поддерживать актуальный список механизмов защиты, оптимизировать использование ресурсов и обеспечивать высокий уровень защиты веб-сервисов.

Для настройки WAF-профиля по рекомендованным технологиям необходимо:

в правиле публикации включить функцию обнаружения технологий;
в WAF-профиле применить рекомендации по технологиям.

Включение обнаружения технологий

Чтобы включить обнаружение технологий:

1. В разделе Политика сервисов ➜ Правила публикации выберите правило публикации и нажмите Редактировать.

ПримечаниеЕсли правило публикации с нужными параметрами еще не создано, вы можете создать его по кнопке «Добавить» и выполнить в нем описанные ниже действия.

2. В окне Настройка правила публикации на вкладке Общие в блоке Обнаружение технологий установите флажок Определять технологии защищаемого веб-сервиса.

ПримечаниеДля работы этой функции необходим пакет экспертизы WAF Tech detector. Если пакет экспертизы не был скачан ранее, его можно скачать в блоке «Обнаружение технологий» по кнопке «Обновить».

3. Сохраните изменения.

4. При необходимости повторите шаги 1-3 для других правил публикации. Например, если для обработки трафика разных веб-сервисов, публикуемых с помощью одного сервера публикации, настроены разные правила публикации.

Результаты обнаружения технологий будут отображены в журнале технологий. Подробнее — в разделе «Журнал технологий».

ПримечаниеПри достижении порогового значения высокой нагрузки на CPU или оперативную память обнаружение технологий автоматически отключается. Это позволяет снизить нагрузку на систему и сохранить ее стабильную работу.

Применение рекомендаций по технологиям в WAF-профиле

Чтобы применить рекомендации по обнаруженным технологиям в WAF-профиле:

1. В разделе Политика безопасности ➜ WAF-профили выберите WAF-профиль и нажмите Редактировать.

ПримечаниеЕсли WAF-профиль с нужными параметрами еще не создан, вы можете создать его по кнопке «Добавить» и выполнить в нем описанные ниже действия.

2. В окне WAF-профиль на вкладке Технологии в блоке Выберите правила публикации выберите из раскрывающегося списка одно или несколько правил публикации, которые настроены на обнаружение технологий тех же веб-сервисов, которые защищает выбранный WAF-профиль. Таблица со списком технологий обновится, для каждой обнаруженной технологи в столбце Статус отобразится запись Обнаружена, а также отобразятся рекомендации по включению или выключению технологий.

Внимание!Правила публикации, выбранные в WAF-профиле, применяются как временный фильтр. Поэтому после сохранения профиля выбранные правила не сохраняются.

3. В соответствии с рекомендациями выполните одно из действий:

вручную включите или выключите технологии;
нажмите кнопку Применить рекомендации, в окне Подтверждение рекомендаций проверьте рекомендованные изменения и нажмите Подтвердить, чтобы сразу применить все рекомендации по включению и выключению технологий.

Важно!Отсутствие технологии в результатах обнаружения не означает, что веб-сервис ее не использует. Технология может не обнаруживаться в анализируемом трафике, например, если соответствующие данные пока не передавались в запросах или ответах. Поэтому рекомендации по отключению необнаруженных технологий следует рассматривать с осторожностью. Перед отключением технологии убедитесь, что она действительно не используется веб-сервисом.

4. Сохраните изменения в WAF-профиле.

Управление уровнем защищенности веб-сервисов

Применение рекомендаций по обнаруженным технологиям позволяет контролировать уровень защищенности веб-серверов с помощью виджета Защита веб-сервисов правилами публикации. Виджет показывает, насколько конфигурация WAF-профиля соответствует технологиям веб-сервисов. Если уровень защищенности снижается, вы можете обновить WAF-профиль в соответствии с актуальными рекомендациями.

Чтобы добавить виджет на дашборд:

1. Перейдите на страницу Дашборды.

2. Перейдите на вкладку нужного дашборда, если их несколько, и нажмите Добавить виджет.

3. Выберите виджет Защита веб-сервисов правилами публикации и нажмите Добавить.

При расчете уровня защищенности учитываются правила публикации, для которых одновременно:

включено обнаружение технологий, и технологии были обнаружены в трафике, обработанном этими правилами;

ПримечаниеИнформация об обнаруженных технологиях доступна на странице «Журналы и отчеты» в разделе «Журнал технологий».

выбран WAF-профиль безопасности.

Эти же правила отображаются на виджете.

Остальные правила публикации с подключенными WAF-профилями также продолжают защищать соответствующие веб-сервисы. Однако если для правила не включено обнаружение технологий, оно не участвует в расчете уровня защищенности на виджете.

Уровень защищенности показывает, насколько WAF-профиль соответствует актуальному списку обнаруженных технологий веб-сервисов. Если в WAF-профиле применены все рекомендованные технологии, уровень защищенности составляет 99%. Значение 99% является максимальным для виджета.

Уровень защищенности веб-сервисов на виджете обозначается цветовыми индикаторами:

Красный — низкий уровень защиты: в WAF-профиле включено менее 50% рекомендуемых технологий.
Желтый — средний уровень защиты: в WAF-профиле включено менее 80% рекомендуемых технологий.
Зеленый — высокий уровень защиты: в WAF-профиле включено более 80% рекомендуемых технологий.

Виджет отображает уровень защищенности веб-сервисов за последние 7 дней. Со временем уровень защищенности может снижаться, так как может изменяться набор технологий веб-сервиса. Например, при разработке или обновлении веб-сервиса могут появиться новые технологии, которые ранее не использовались. После того как новая технология будет обнаружена, она учитывается при оценке уровня защищенности. Если для этой технологии в подключенном WAF-профиле не приняли рекомендацию по включению, уровень защищенности снижается.

ПримечаниеПериод в 7 дней также влияет на учет правил, в которых функцию обнаружения технологий сначала включили, а затем отключили. Такие правила продолжают участвовать в расчете уровня защищенности до окончания этого периода.

Таким образом, значение на виджете позволяет отслеживать изменения в составе технологий веб-сервисов и своевременно выявлять технологии, для которых защита еще не настроена. Чтобы повысить защищенность веб-сервисов, необходимо нажать на соответствующее правило публикации, чтобы перейти в окно свойств WAF-профиля, подключенного к этому правилу, и затем обновить профиль в соответствии с актуальными рекомендациями по обнаруженным технологиям.

Рассмотрим конфигурацию, на основе которой сформированы данные, отображаемые на виджете на рисунке выше:

Созданы три правила Rule_max_1, Rule_max_2 и Rule_3, настроенные на публикацию трех разных веб-сервисов.

Внимание!Если два или более правила, в которых включено обнаружение технологий, настроены на публикацию одного веб-сервиса, в расчете уровня защищенности участвует только правило, которое первым обрабатывает трафик, соответствующий условиям публикации.

Для правила публикации Rule_max_1 включено обнаружение технологий; в качестве профиля безопасности подключен WAF-профиль Profile_1, созданный по шаблону для максимальной защиты; в журнале технологий есть записи о технологиях, обнаруженных в трафике, обработанном этим правилом. Правило используется как для обнаружения технологий, так и для защиты первого веб-сервиса.
Для правила публикации Rule_max_2 обнаружение технологий выключено, но подключен WAF-профиль Profile_2, также созданный по шаблону для максимальной защиты; в профиле применены рекомендации по технологиям в соответствии с правилом Rule_max_1. Правило используется для защиты второго веб-сервиса, но не участвует в обнаружении технологий и расчете уровня защищенности на виджете.
Для правила публикации Rule_3 включено обнаружение технологий; подключен WAF-профиль Profile_3, созданный по шаблону для наблюдения; в журнале технологий есть записи о технологиях, обнаруженных в трафике, обработанном этим правилом; в профиле включены не все рекомендованные технологии. Правило используется для отслеживания срабатываний WAF-правил по рекомендованным технологиям без блокирования трафика.

На виджете отображается информация только о Rule_max_1 и Rule_3, поскольку для них включено обнаружение технологий и в журнале технологий есть соответствующие записи об обнаруженных технологиях.

Для правила Rule_max_1 уровень защищенности составляет 99%, так как в WAF-профиле Profile_1, созданному по шаблону для максимальной защиты, по умолчанию включены все технологии, в том числе и рекомендованные. Работу этого WAF-профиля можно оптимизировать, выключив лишние технологии в соответствии с рекомендациями. При этом уровень защищенности 99% сохранится. Но после отключения лишних технологий уровень защищенности может измениться, если в дальнейшем в веб-сервисе будет обнаружена новая технология, для которой защита в WAF-профиле не настроена.

Хотя правило Rule_3 не участвует в защите веб-сервиса, информация об уровне защищенности тоже отображается на виджете. Такой режим может использоваться для предварительной оценки работы WAF-профиля и наблюдения за срабатываниями WAF-правил. Для Rule_3 уровень защищенности ниже, поскольку в WAF-профиле Profile_3 применена только часть рекомендованных технологий.

Правила публикации с подключенными WAF-профилями, но без включенного обнаружения технологий, например Rule_max_2, не отображаются на виджете и не участвуют в расчете уровня защищенности.

Если необходимо отслеживать уровень защищенности веб-сервисов, рекомендуется включать обнаружение технологий в соответствующих правилах публикации и подключать к ним WAF-профили.

Работа с системными WAF-правилами

Поиск системных WAF-правил

Для быстрого поиска в списке WAF-правил предусмотрены быстрые фильтры по основным параметрам. Также вы можете формировать собственные поисковые запросы для выполнения более сложной фильтрации. Структура и логика поисковых запросов для фильтрации WAF-правил та же, что и в поисковых запросах для журналов. Подробнее о логических операторах в поисковых запросах — в разделе «Поиск и фильтрация данных».

Важно!При формировании поискового запроса рекомендуется для одного параметра WAF-правила указывать одно значение или несколько значений через оператор OR. В противном случае результаты поиска могут быть неверными. Примеры корректного запроса: technology = "PHP" или technology = "PHP" OR technology = "WordPress". Пример некорректного запроса: technology = "PHP" AND technology = "WordPress".

Для фильтрации WAF-правил по поисковому запросу используются следующие параметры.

Название параметра в веб-консоли	Параметр	Описание
Уровень угрозы	`threatLevel`	Уровень угрозы, от которой защищает WAF-правило: `1`: низкий; `2`: средний; `3`: высокий
ID правила	`ruleId`	Идентификатор WAF-правила
Название	`name`	Название WAF-правила
Ссылка	`reference`	Ссылки на внешние ресурсы с описаниями уязвимостей
Время последнего обновления	`lastUpdate`	Время последнего обновления правила на серверах UserGate
Профиль ответа	`responseProfile`	Название профиля ответа
Системный слой	`systemLayer`	Системный слой, к которому относится WAF-правило
Пакет	`package`	Название пакета экспертизы, в который входит данное WAF-правило
Действие	`action`	Действие правила: `No action`, `Pass`, `Deny`, `Force deny`, `Force pass`
Состояние правила	`enabled`	Активация правила: `true`, `false`
Журналирование	`loggingStatus`	Включение или отключение журналирования событий, связанных с правилом: `true`, `false`
Технология	`technology`	Название технологии защиты
Исключения	`exceptions`	Название исключения, добавленного к правилу

Настройка системных WAF-правил

В веб-консоли UserGate WAF вы можете настраивать системные WAF-правила двумя способами:

через настройку WAF-профиля;
через список глобальных WAF-правил.

От выбранного способа зависит, как изменения будут влиять на работу WAF-профилей. Подробнее — ниже в разделах о каждом способе настройки.

Для изменения доступны следующие параметры системного WAF-правила:

Включение или выключение WAF-правила.
Исключения для WAF-правила. Подробнее об исключениях — в разделе «Настройка исключений для WAF-правил».
Журналирование событий, связанных с работой WAF-правила.

ПримечаниеПо умолчанию журналирование событий включено во всех системных WAF-правилах.

Действие, которое будет выполнено при срабатывании WAF-правила.
Профиль ответа, который вернется в ответ на клиентский запрос, если сработает WAF-правило с блокирующим действием. Подробнее о профилях ответа — в разделе «Профили ответа».
Отмена всех изменений и возвращение значений параметров правила к изначальным.

Настройка системного WAF-правила в WAF-профиле

При настройке системного WAF-правила в WAF-профиле параметры правила изменяются только в этом профиле и имеют более высокий приоритет, чем параметры в списке глобальных правил. Например, если в профиле Example для правила Rule1 действие No Action заменено на Pass, это значение сохранится, даже если в списке глобальных правил для правила Rule1 будет выбрано действие Force pass.

Чтобы изменить параметры системного WAF-правила в WAF-профиле:

1. В разделе WAF-профили создайте по кнопке Добавить или выберите из списка WAF-профиль.

2. В окне WAF-профиль на вкладке WAF-правила выберите WAF-правило и нажмите Переопределить.

3. В окне Переопределение правил измените нужные параметры.

4. Сохраните все изменения.

ПримечаниеВы также можете изменить параметры сразу нескольких WAF-правил. Для этого в окне «WAF-профиль» на вкладке «WAF-правила» нужно выбрать несколько WAF-правил, затем нажать «Переопределить», в окне «Переопределение правил» изменить нужные параметры и сохранить изменения.

Настройка системного WAF-правила в списке глобальных правил

При настройке системного WAF-правила через список глобальных правил параметры WAF-правила изменятся только в тех WAF-профилях, в которых не выполнялось переопределение параметров этого правила.

Чтобы изменить параметры системного WAF-правила через список глобальных правил:

1. В разделе Глобальные правила выберите системное WAF-правило и нажмите Редактировать.

2. В окне Редактирование правил измените нужные параметры.

3. Сохраните изменения.

ПримечаниеВы также можете изменить параметры сразу нескольких WAF-правил. Для этого в списке глобальных правил нужно выбрать несколько WAF-правил, затем нажать «Редактировать», в окне «Редактирование правил» изменить нужные параметры и сохранить изменения.

Восстановление значений по умолчанию

При настройке политики безопасности может понадобиться восстановить исходные состояния отдельных WAF-правил. В зависимости от того, значения параметров какого WAF-правила нужно вернуть к исходным, необходимо перейти в одно из следующих окон и нажать Восстановить значения по умолчанию:

В окне WAF-профиль на вкладке WAF-правила — чтобы вернуть параметры правил в профиле к состоянию глобальных правил.
В разделе Глобальные правила — чтобы восстановить исходное состояние выбранных правил в глобальном списке.

Создание персонального слоя и пользовательских WAF-правил

Чтобы более гибко управлять политикой безопасности, вы можете создавать персональные слои, содержащие пользовательские WAF-правила, написанные на языке UPL. Созданные персональные слои отображаются в разделе Политика безопасности ➜ Персональные слои. Вы можете просматривать и редактировать их, выполнять поиск по названию слоя.

Чтобы создать персональный слой с пользовательским WAF-правилом:

1. В разделе Персональные слои нажмите Добавить.

ПримечаниеВы также можете создать персональный слой при создании или изменении WAF-профиля, нажав в окне свойств профиля на вкладке «Слои» кнопку «Добавить персональный слой».

2. В окне Свойства персонального слоя укажите название.

3. В области Редактирование выражения введите UPL-выражение, содержащее правила проверки трафика. Подробнее о синтаксисе UPL-выражений — в разделе «UserGate Policy Language».

ПримечаниеОбласть представляет собой встроенный редактор с подсветкой ключевых слов и выражений и проверкой синтаксиса UPL.

4. Если необходимо, включите журналирование пользовательского правила. Для этого в области редактирования UPL-выражения добавьте свойство "rule_log(true)" или "rule_log(yes)".

5. Нажмите Проверить выражение и, если необходимо, внесите исправления.

6. Для активации правила добавьте свойство "enabled(true)".

7. Сохраните изменения.

Созданный персональный слой автоматически добавится во все WAF-профили и будет по умолчанию выключен. Чтобы UserGate WAF выполнял проверку веб-трафика с помощью пользовательских WAF-правил, при настройке WAF-профиля необходимо включить нужные персональные слои и затем подключить этот WAF-профиль к правилу публикации. Подробнее о настройке и подключении WAF-профилей — в разделе «Настройка и подключение WAF-профиля».