Firewall web
Cómo puntúa el firewall web de InfraFence a cada visitante a partir de los registros de acceso - tipos de ataque y puntos, decaimiento, niveles de acción, reglas de frecuencia, reglas personalizadas y de dónde salen los registros.
Última actualización:
El firewall web lee los registros de acceso de tus servidores web, asigna una puntuación a cada dirección de visitante y bloquea la dirección en el firewall cuando la puntuación es lo bastante alta. Funciona con cualquier servidor web que escriba un registro de acceso, no necesita cambiar su configuración y no añade latencia a las peticiones.
De dónde salen los registros
El agente encuentra los registros de acceso por sí solo, en este orden:
WEB_LOG_PATH, si está definido (entonces sustituye a la detección);- la configuración de nginx y Apache (
access_log,CustomLog), los virtual hosts de OpenLiteSpeed, los domlogs de cPanel; - los contenedores web del host (consulta Docker);
- los registros por dominio de Plesk, ISPConfig, DirectAdmin, CyberPanel y otros, y las rutas habituales de nginx, Apache, LiteSpeed y Caddy.
Vuelve a buscar cada 5 minutos, así que los sitios nuevos se detectan. Las peticiones de archivos estáticos (CSS, JavaScript, imágenes, fuentes) no puntúan, y las direcciones privadas se omiten.
Tipos de ataque y puntos
| Tipo de ataque | Puntos |
|---|---|
| Ejecución remota de código, web shell, Shellshock, user agent de escáner | 50 |
| Inyección SQL, SSRF, exploit web, honeypot | 40 |
| Path traversal, inyección de cabeceras, fuerza bruta contra WordPress o un CMS | 30 |
XSS, sondeo de .env, abuso de XML-RPC |
25 |
| Sondeo de configuración | 20 |
| Avalancha de 404 | 15 |
Los user agents de escáneres incluyen sqlmap, nikto, nmap, masscan, wpscan, gobuster, nuclei, acunetix y nessus. El catálogo integrado completo, 109 patrones, se publica con cada versión como waf-catalog.json, y la página Web firewall muestra cada patrón que aplica el agente.
Reglas de frecuencia
Algunos ataques son cuestión de volumen. Estas reglas suman sus puntos cuando una dirección supera el umbral dentro de la ventana:
| Regla | Umbral por defecto | Ventana |
|---|---|---|
| Acceso a WordPress | 10 | 2 minutos |
admin-ajax.php de WordPress sin sesión |
10 | 30 segundos |
| XML-RPC | 5 | 1 minuto |
| Acceso a Drupal, acceso a Joomla | 5 | 30 segundos |
| Escaneo de plugins | 5 | 5 minutos |
| Avalancha de 404 | 15 | 5 minutos |
Puntuación y acciones
Las puntuaciones bajan 5 puntos por minuto, así que una petición rara aislada se desvanece. La puntuación decide el nivel:
| Puntuación | Nivel | Qué pasa |
|---|---|---|
| 30 | observar | Se notifica como evento informativo. |
| 60 | ralentizar | Se notifica como aviso. |
| 80 | bloquear | Se bloquea en el firewall y se notifica como crítico. |
| 100 | bloqueo en el firewall | Se bloquea en el firewall y se notifica como crítico. |
Un bloqueo dura lo que indique Ajustes › Agente › Duración de los bloqueos, igual que un bloqueo SSH. Una dirección que ModSecurity ya ha notificado no se puntúa una segunda vez.
Cambiar las reglas
En la página Web firewall (propietarios y administradores; los miembros pueden consultarla):
- por tipo de ataque: los Puntos, un Umbral para las reglas de frecuencia y el modo: Activo, Solo detectar (se notifica, nunca se bloquea) o Desactivado;
- Patrones integrados: desactiva patrones sueltos que causen falsos positivos;
- Reglas personalizadas: un patrón de texto plano o de expresión regular que se compara con la URL, el User-Agent o el Referer, y que puntúa como el tipo de ataque que elijas. Una ruta señuelo puntuada como honeypot atrapa a los escáneres. Las expresiones regulares usan la sintaxis RE2, sin distinguir mayúsculas y minúsculas, y el cuadro Probar con prueba un patrón antes de guardarlo.
Guardar ajustes WAF envía los cambios; los servidores los aplican en segundos.
Modo monitor
Con el Modo monitor (solo detectar, nunca bloquear) activado, todos los tipos pasan a solo detectar: las puntuaciones y los eventos continúan, no se bloquea nada.
Para bloquear dentro del servidor web, en la primera petición, consulta ModSecurity.