क्लाउडफ्लेयर के खतरे के संकेतकों को वास्तविक समय के WAF नियमों में बदलना

जैसे ही कोई खतरा सूचक सिस्टम में प्रवेश करता है, नियम यातायात को अवरुद्ध करना शुरू कर देते हैं। यह क्रिया बहुत साफ-सुथरी लगती है. गति तेज़ है, प्रतिक्रिया त्वरित है और रिपोर्ट सुंदर हैं। लेकिन एक बार जब इस चीज़ को उत्पादन में डाल दिया जाता है, तो वास्तविक कठिनाई संकेतक को एक नियम में बदलना नहीं है, बल्कि इस नियम को ट्रैफ़िक, झूठी सकारात्मकता और रोलबैक के लिए खड़ा करना है।

जब मैंने टर्निंग क्लाउडफ्लेयर के खतरे के संकेतकों को वास्तविक समय के WAF नियमों में पढ़ा, तो मेरे दिमाग में जो आया वह फैंसी शब्द “इंटेलिजेंस एक्सेस ऑटोमेशन” नहीं था, बल्कि कई बहुत ही व्यावहारिक चित्र थे: एक आईपी को लाल रंग से चिह्नित किया गया था और दस मिनट बाद इंटरसेप्ट किया गया था; एक एएसएन को उच्च जोखिम के रूप में चिह्नित किया गया था, और परिणामस्वरूप, एक संपूर्ण साझा निकास शामिल था; एक अल्पकालिक हमले का नमूना अभी-अभी नियम आधार में प्रवेश किया था, और हमले का ट्रैफ़िक काट दिया गया था, जिससे एक पुराना नियम रह गया जो प्रभावी बना हुआ है। यहां वास्तविक समय केवल गति के बारे में नहीं है, यह नियम जीवनचक्र, डेटा विश्वसनीयता और स्वभाव जिम्मेदारियों को एक ही विंडो में संपीड़ित करता है।

नियम त्वरित हो सकते हैं, बशर्ते उन्हें वापस लिया जा सके

जब कोई खतरा सूचक WAF में प्रवेश करता है, तो धैर्य खोने वाला पहला व्यक्ति आमतौर पर हमलावर नहीं, बल्कि ड्यूटी पर मौजूद व्यक्ति होता है। क्योंकि एक बार जब कोई नियम प्रभावी हो जाता है, तो उसके बाद जो होता है वह अमूर्त “सुरक्षा सुधार” नहीं होता है, बल्कि विशिष्ट आकस्मिक चोटें, अपील, रोलबैक और ऑडिट होता है। आईपी-स्तरीय संकेतक प्रत्यायोजित करना सबसे आसान है। उनके पास एकल-बिंदु हिट, कम जीवित रहने का समय और कम पुनर्प्राप्ति लागत है। एएसएन, नेटवर्क सेगमेंट, टीएलएस फिंगरप्रिंट और अनुरोध संयोजन जैसे संकेतक अधिक सतर्क हैं। वे एक बड़े क्षेत्र को कवर करते हैं और मारते समय उनके दुष्प्रभाव अधिक कठिन होते हैं।

इसका वास्तव में मूल्यवान हिस्सा यह है कि नियम एक बार में लिखे नहीं जाते हैं और फिर समाप्त हो जाते हैं, बल्कि टीटीएल, स्रोत, हिट रेंज और पूर्ववत शर्तों के साथ दिखाई देते हैं। इन क्षेत्रों के बिना, वास्तविक समय के नियम जल्दी ही समाप्त हो चुके प्रतिबंध रिकॉर्ड के समूह में बदल जाएंगे। यदि आप आज किसी हमले को रोकते हैं, तो कल आप सामान्य उपयोगकर्ताओं को रोकना शुरू कर देंगे। उत्पादन में सबसे आम ख़राब गंध यह है कि नियम का आधार मोटा और मोटा होता जा रहा है, और जो बरकरार रखा गया है वह प्रभावी निर्णय नहीं है, बल्कि ऐतिहासिक भावनाएँ हैं।

संकेतक परत और एक्शन परत के बीच एक बफर छोड़ा जाना चाहिए।

खतरे के संकेतकों को सीधे ब्लॉक नियमों में अनुवाद करना निश्चित रूप से सबसे तेज़ है, लेकिन यह कदम ऑनलाइन दुर्घटनाओं में खुफिया त्रुटियों को बढ़ाने के लिए भी सबसे आसान है। एक अधिक स्थिर दृष्टिकोण आमतौर पर संकेतक और कार्रवाई के बीच बफर की एक परत छोड़ना है, जिससे समान सिग्नल को पहले अवलोकन, चुनौती और गति सीमा से गुजरने की अनुमति मिलती है, और फिर तय होता है कि इसे वास्तव में अवरुद्ध करना है या नहीं। एक बार जब यह बफ़र परत गायब हो जाती है, तो जितनी तेज़ी से संकेतक अपडेट किए जाएंगे, उतनी ही तेज़ी से नियम गलती से क्षतिग्रस्त हो जाएंगे।

जब वास्तव में लागू किया जाता है, तो नियम एक फ्लैट ऑन/ऑफ स्विच नहीं होना चाहिए, बल्कि राज्यों का एक सेट होना चाहिए जो कार्रवाई की तीव्रता को व्यक्त कर सकता है: पहले रिकॉर्ड करें, फिर चुनौती दें, फिर वर्तमान को सीमित करें, और अंत में अवरोधन दर्ज करें। इसका लाभ सीधा है, साक्ष्य मजबूत होने पर नियमों को धीरे-धीरे बढ़ाया जा सकता है, और साक्ष्य कमजोर होने पर नियमों को तुरंत कम किया जा सकता है। सुरक्षा टीम के लिए, यह सभी नियमों को एक साथ भरने से बेहतर विश्वसनीयता बनाए रख सकता है; व्यावसायिक पक्ष के लिए, कम से कम जब वे पहली बार सामने आते हैं तो वे असामान्य उतार-चढ़ाव देख सकते हैं, बजाय इसके कि ग्राहक सेवा टिकटों के ढेर लगने तक इंतजार करें कि क्या हुआ।

{
  "action": "challenge",
  "scope": "path:/login",
  "ttl": "15m",
  "confidence": 0.82
}

यह संरचना सरल दिखती है, लेकिन वास्तव में बहुत महत्वपूर्ण है। जब confidence कम होता है, तो पहले चुनौती देना प्रत्यक्ष अवरोधन की तुलना में इंजीनियरिंग निर्णय की तरह होता है; पुरानी जानकारी को किनारे पर लटकने से बचाने के लिए ttl समाप्ति के बाद स्वचालित रूप से समाप्त हो जाता है; scope को एक पथ या यातायात खंड तक सीमित कर दिया गया है ताकि आकस्मिक क्षति क्षेत्र असीमित रूप से न बढ़े।

समीक्षा के बिना, नियम केवल लंबे होते जाएंगे और कूड़े के ढेर की तरह दिखेंगे।

वास्तविक समय WAF का सबसे बड़ा डर कम हिट दर नहीं है, बल्कि यह है कि कोई नहीं जानता कि हिट के बाद क्या हुआ। नियम जारी होने के बाद, आपको तीन चीजों पर वापस देखने में सक्षम होना चाहिए: कितने वास्तविक हमलों को अवरुद्ध किया गया था, कितने सामान्य अनुरोध गलती से मारे गए थे, और क्या हिट के बाद नए बाईपास तरीके थे। इन तीन बातों को जोड़कर ही नियम को संचालन योग्य एवं पालन योग्य माना जा सकता है; उनमें से किसी एक के बिना, अंततः यह “किसी भी तरह पहले इसे अवरुद्ध करने” की एक जड़त्वीय क्रिया बन जाएगी।

यह खतरा सूचक स्वचालन का सबसे कम आंका गया हिस्सा भी है। संकेतकों के कई स्रोत हो सकते हैं, और खुफिया अपडेट बार-बार हो सकते हैं, लेकिन स्थिर फीडबैक लूप के बिना, नियम हमेशा आगे बढ़ते रहेंगे। वास्तव में परिपक्व प्रणाली प्रत्येक नियम की हिट दर, रोलबैक की संख्या, मैन्युअल रिलीज़ की संख्या, संबंधित अलार्म और व्यावसायिक घाटे को रिकॉर्ड करेगी। इस बिंदु पर, नियम अब केवल सुरक्षा कॉन्फ़िगरेशन नहीं हैं, बल्कि साक्ष्य श्रृंखला के साथ निपटान रिकॉर्ड भी हैं।

उपकरणों का यह सेट केवल उन टीमों के लिए उपयुक्त है जिनके पास पहले से ही निपटान क्षमताएं हैं

वास्तविक समय में खतरे के संकेतकों को WAF नियमों में बदलना सभी परिदृश्यों के लिए उपयुक्त नहीं है। छोटे ट्रैफ़िक, संकीर्ण आक्रमण सतह और पर्याप्त तेज़ मैन्युअल ऑन-ड्यूटी वाले सिस्टम के लिए, स्थिर नियमों और मैन्युअल अपडेट पर भरोसा करना जारी रखना अक्सर अधिक परेशानी भरा होता है। जिन लोगों को वास्तव में इस क्षमता की आवश्यकता होती है, वे आम तौर पर भारी ट्रैफ़िक, उच्च आक्रमण घनत्व, बार-बार नियम बदलने वाली टीमें होती हैं, और उनके पास पहले से ही लॉग, समीक्षा और ड्यूटी प्रक्रियाएं होती हैं।

एक बार इस प्रकार की प्रणाली लागू हो जाने के बाद, मूल्य केवल “तेज़ी से रुकना” नहीं है। सुरक्षा निपटान को एक बार के मैन्युअल निर्णय से रद्द करने योग्य, समीक्षा योग्य और क्रमिक निष्पादन श्रृंखला में बदलना अधिक महत्वपूर्ण है। ऐसा करने में क्लाउडफ्लेयर जैसे प्लेटफ़ॉर्म का लाभ केवल यह नहीं है कि यह अधिक खतरे के संकेत प्राप्त कर सकता है, बल्कि इसमें संकेतों को नियम परत तक धकेलने की क्षमता है, और फिर नियम परत को निगरानी, ​​​​रोलबैक और ऑडिटिंग से कनेक्ट करने की क्षमता है। इस श्रृंखला के बिना, वास्तविक समय में गलतियाँ तेजी से होंगी; इस श्रृंखला के साथ, नियम वास्तव में उत्पादन में प्रवेश कर सकते हैं।