قوانین محافظت
محدودیت تلاش ورود و ارسال کد، بستن مسیرهای حساس و WAF، با یک کلیک روی CDN خودتان.
پاسخ سؤالتان را پیدا نکردید؟ تیم پشتیبانی wardex در ساعات کاری کمکتان می‌کند.تماس با پشتیبانی
تشخیص حمله خوب است، ولی بهتر این است که حمله اصلاً به سرور نرسد. قوانین محافظت چند قانون آماده‌اند که wardex با یک کلیک روی حساب کلادفلر یا ابر آروان شما می‌سازد. قانون روی CDN اجرا می‌شود، جلوتر از سرور؛ پس حتی وقتی wardex در دسترس نباشد، کارش را می‌کند.
قوانین آماده#
| قانون | جلوی چه چیزی را می‌گیرد | کلادفلر | ابر آروان |
|---|---|---|---|
| محدودیت تلاش ورود | حدس رمز (Brute force) روی صفحه‌ی ورود | قانون Rate limiting | قانون Rate limit |
| محدودیت ارسال کد یک‌بارمصرف | پیامک‌بازی (SMS bombing) و بالا رفتن قبض پیامک | قانون Rate limiting | قانون Rate limit |
| بستن مسیرهای حساس | درخواست برای .env، پوشه‌ی .git، بکاپ دیتابیس و فایل‌های مشابه | قانون سفارشی (Custom rule) | — |
| فایروال برنامه‌ی وب (WAF) | تزریق SQL، XSS و سوءاستفاده از آسیب‌پذیری‌های شناخته‌شده | Cloudflare Managed Ruleset | WAF آروان |
| مقابله با ربات‌ها | اسکرپرها، اسکنرها و ابزارهای خودکار | قانون سفارشی با چالش، فقط روی دامنه‌ی اصلی و www | قانون فایروال با چالش، فقط روی دامنه‌ی اصلی و www |
روشن کردن یک قانون#
- ۱
CDN را وصل کنید
- ۲
تب «قوانین» را باز کنید
برای هر سایتِ وصل‌شده، قوانینی که ارائه‌دهنده‌اش پشتیبانی می‌کند نمایش داده می‌شوند. کنار قانون موردنظر روشن کردن را بزنید.
- ۳
مسیر و سقف را وارد کنید
برای دو قانون محدودیت نرخ، مسیر و سقف درخواست را وارد کنید. برای فرم ورود ۵ تا ۱۰ درخواست و برای ارسال کد ۲ یا ۳ درخواست معمول است.
- ۴
یکی دو روز صبر کنید، بعد «اجرای کامل»
قانون اول در حالت آزمایشی روشن می‌شود. اگر در این مدت کاربری مشکلی گزارش نکرد، اجرای کامل را بزنید.
حالت آزمایشی و اجرای کامل#
یک قانون اشتباه می‌تواند کاربران واقعی را پشت در نگه دارد. برای همین هر قانون با نرم‌ترین واکنشی که CDN دارد شروع می‌شود:
| قانون | حالت آزمایشی | اجرای کامل |
|---|---|---|
| محدودیت نرخ (کلادفلر) | چالش مدیریت‌شده (managed_challenge) | مسدود (block) به مدت ۱۰ ثانیه |
| محدودیت نرخ (آروان) | چالش (challenge) | مسدود (block)، ۵ دقیقه برای ورود و ۱۰ دقیقه برای کد |
| مسیرهای حساس (کلادفلر) | چالش مدیریت‌شده | مسدود |
| WAF آروان | فقط تشخیص (detect) | مسدودسازی (protect) |
| WAF کلادفلر | — | طبق تنظیمات خود کلادفلر |
| ربات‌ها (کلادفلر) | — | چالش مدیریت‌شده (managed_challenge) فقط برای صفحه‌های دامنه‌ی اصلی و www |
| ربات‌ها (آروان) | چالش نامرئی کوکی، فقط دامنه‌ی اصلی و www | چالش جاوااسکریپت، فقط دامنه‌ی اصلی و www |
در حالت آزمایشی کسی مسدود نمی‌شود؛ کاربر واقعی در بدترین حالت یک بررسی کوتاه مرورگر می‌بیند و رد می‌شود. وقتی قانون بیش از یک روز در حالت آزمایشی بماند، wardex کنارش یادآوری می‌کند که وقت اجرای کامل است. هر وقت لازم شد، برگشت به آزمایشی هم هست.
پایش جهش درخواست (کلادفلر)#
وقتی قانون محدودیت تلاش ورود یا محدودیت ارسال کد روی کلادفلر روشن است، wardex هر ۵ دقیقه تعداد درخواست‌های POST همان مسیر را در ۱۰ دقیقه‌ی گذشته با میانگین روز قبل مقایسه می‌کند:
| مسیر | هشدار وقتی |
|---|---|
| ارسال کد | دست‌کم ۵۰ درخواست و ۵ برابر حالت عادی؛ نشانه‌ی پیامک‌بازی و بالا رفتن قبض پیامک |
| ورود | دست‌کم ۱۰۰ تلاش و ۴ برابر حالت عادی، از دست‌کم ۲۰ آدرس مختلف؛ نشانه‌ی credential stuffing، یعنی امتحان رمزهای لو رفته از سایت‌های دیگر |
حدس رمز از یک IP را خود قانون محدودیت متوقف می‌کند و هشدار جدا نمی‌سازد. هشدار در رخدادها باز می‌شود و وقتی ترافیک به حالت عادی برگشت، خودکار بسته می‌شود. آروان آمار درخواست به تفکیک مسیر را در API نمی‌دهد، پس این پایش فقط روی کلادفلر است.
برداشتن قانون#
برداشتن قانون را از خود CDN حذف می‌کند. برای WAF آروان، wardex حالت WAF را دقیقاً به همان چیزی برمی‌گرداند که پیش از روشن کردن داشت. هر ساختن، تغییر حالت و برداشتن قانون در گزارش رویدادهای فضای کاری ثبت می‌شود و فقط مالک یا مدیر فضای کاری اجازه‌اش را دارد.
دسترسی‌های لازم#
| ارائه‌دهنده | دسترسی |
|---|---|
| کلادفلر | Zone → Zone WAF → Edit روی توکن؛ برای دیدن زیردامنه‌ها پیش از روشن کردن قانون ربات‌ها Zone → DNS → Read. قانون‌های ربات قدیمی (Bot Fight Mode) برای برداشته شدن Zone → Bot Management → Edit لازم دارند |
| ابر آروان | دسترسی خواندن و نوشتن (Write) روی CDN همان دامنه |
اگر دسترسی کافی نباشد، قانون ساخته نمی‌شود و wardex دقیقاً می‌گوید کدام دسترسی کم است. چیزی نیمه‌کاره روی CDN نمی‌ماند.
نتیجه را کجا ببینم؟#
در محافظت تب حمله‌ها، درخواست‌هایی که قوانین مهار کرده‌اند جدا از حمله‌های DDoS نمایش داده می‌شوند: چند درخواست، با کدام قانون، روی کدام مسیر و از کدام کشور. این درخواست‌ها هشدار DDoS نمی‌سازند، چون قانون دارد کار خودش را می‌کند.