In diesem Artikel erfahren Sie:
- Wie der Emergency Mode funktioniert
- Wie Sie den aktiven Modus ändern
- Wann Sie welchen Modus verwenden
- Häufig gestellte Fragen
Emergency Mode
Emergency Mode steuert, wie WEDOS Protection den eingehenden Datenverkehr einer Domain auf globaler Ebene verarbeitet. Er bestimmt, ob die Schutzregeln normal durchgesetzt, nur protokolliert oder durch ein strengeres Verhalten zur Incident-Reaktion ersetzt werden – alles über ein einziges Dropdown-Menü.
Die Änderung des Protection-Modus gilt für die gesamte Domain-Konfiguration. Sie löscht oder überschreibt keine einzelnen Filter oder Combo Rules. Sie ändert lediglich, wie sich diese Regeln am Proxy verhalten.
Verfügbare Modi
WEDOS Protection unterstützt derzeit die folgenden fünf Modi:
| Modus | Verhalten |
|---|---|
| Normal (Deactivate) | Es ist kein Notfallmodus aktiv. Die Domain läuft im vollen Normal-Schutz, alle Filter, Rate-Limits und CMS-Regeln werden durchgesetzt. Für den Produktivbetrieb empfohlen. |
| Under Attack, Soft | Verschärftes Challenge-Gate in Kombination mit strengeren Rate-Limits. Gedacht für einen aktiven L7-Angriff, bei dem Sie härter filtern und die Website zugleich für legitime Nutzer erreichbar halten wollen. |
| Bypass | Die Schutzregeln werden übergangen und der Datenverkehr wird mit reduzierter Filterung an den Origin weitergeleitet. Nützlich bei der Untersuchung eines vermuteten False Positive in Ihren Schutzregeln. |
| Log Only | Filter und Regeln werden ausgewertet, beeinflussen den Datenverkehr aber nicht. Aktionen werden zu “log”-Einträgen, einsehbar in Grafana. Dient zur Validierung von Regeln oder zum Audit des bestehenden Schutzes. |
| Full Drop | Alle eingehenden TCP-Verbindungen werden an der Proxy-Edge stillschweigend verworfen. Besucher sehen einen Verbindungs-Timeout. Isolierung als letztes Mittel. |
Weitere Informationen zu den Modi finden Sie im Kapitel Modus Manual .
Einrichtung des Emergency Mode
Um den aktiven Emergency Mode für eine Domain zu ändern, gehen Sie wie folgt vor:
- Melden Sie sich im WEDOS Global Administrationspanel ⧉.
- Wählen Sie eine Domain (oder eine Vorlage) zur Einrichtung aus.
- Öffnen Sie oben im Domain-Dashboard das Dropdown-Menü Emergency Mode und wählen Sie den Modus aus, den Sie aktivieren möchten.
- Bestätigen Sie die Änderung im Dialogfenster.
Der neue Modus wird innerhalb weniger Sekunden an der Proxy-Edge wirksam.
Der aktuell aktive Modus wird stets als Beschriftung des Dropdown-Menüs angezeigt.
Um einen bestimmten Modus schnell für eine große Anzahl von Domains zu setzen, erstellen Sie eine Vorlage mit diesem aktiven Modus.
Rückkehr zum Normal-Schutz
Um zum vollen Produktivschutz zurückzukehren, wählen Sie im Dropdown-Menü Deactivate und bestätigen Sie die Änderung. Durch das Deaktivieren des Notfallmodus werden alle Filter, Rate-Limits und CMS-Regeln wieder in den durchsetzenden Zustand versetzt. Regeln, die während eines anderen Modus hinzugefügt oder geändert wurden, greifen, sobald der Normal-Schutz aktiv ist.
Modus Manual
Die folgende Liste beschreibt die typische Situation, für die jeder Modus gedacht ist. Grundsätzlich sollte eine Domain die meiste Zeit im Modus Normal laufen. Verwenden Sie andere Modi gezielt für einen bekannten Zweck und stellen Sie den Modus wieder auf Normal zurück, sobald dieser Zweck erfüllt ist.
Normal (Deactivate)
Dies ist die Standardeinstellung für den Produktivbetrieb und sollte immer aktiv sein, sofern kein konkreter Grund für einen Wechsel besteht. Der Normal-Schutz wendet den vollständigen L3-, L4- und L7-Schutzstack zusammen mit allen von Ihnen konfigurierten eigenen Regeln an.
Under Attack, Soft
Verwenden Sie Under Attack, Soft, wenn die Domain Ziel eines gezielten Angriffs ist, Sie den Dienst aber weiterhin für legitime Nutzer verfügbar halten wollen. Das Challenge-Gate wird verschärft und die Rate-Limits werden gesenkt, sodass ein Client, der die Challenge nicht besteht oder die reduzierten Schwellenwerte überschreitet, herausgefiltert wird, bevor der Origin die Anfrage sieht.
Bypass
Verwenden Sie Bypass, wenn Sie vermuten, dass eine Schutzregel legitimen Datenverkehr blockiert, und Sie diese Einschränkung während der Untersuchung schnell aufheben müssen. Der Datenverkehr wird mit reduzierter Filterung an den Origin weitergeleitet, sodass die Website erreichbar bleibt, während Sie die Regel isolieren, die den False Positive verursacht. Sobald Sie die Untersuchung abgeschlossen und Protection entsprechend angepasst haben, stellen Sie die Domain wieder auf Normal.
Log Only
Verwenden Sie Log Only, wenn Sie zum ersten Mal mit WGP starten und sich einen Überblick über Ihren Datenverkehr verschaffen wollen, um das nötige Schutzniveau zu bestimmen, um Filter oder WAF -Einstellungen zu bewerten, oder wenn Sie den bestehenden Schutz auditieren wollen, ohne den Datenverkehr zu beeinflussen. Filter und Regeln werden ausgewertet, blockieren den Datenverkehr aber nicht. Die daraus resultierenden Aktionen werden zu Log-Einträgen, mit denen Sie den Bedarf an Filtern und Regeln prüfen können, bevor Sie diese im Normal-Modus aktivieren.
Full Drop
Verwenden Sie Full Drop als Isolationsmodus für den äußersten Notfall. Alle eingehenden TCP-Verbindungen werden an der Proxy-Edge stillschweigend verworfen, das heißt, Besucher sehen einen Verbindungs-Timeout statt irgendeiner Antwort. Dieser Modus ist nur angebracht, wenn kein anderer Modus ausreicht, zum Beispiel bei einem katastrophalen Vorfall, bei dem jeglicher Datenverkehr zum Origin inakzeptabel ist.
FAQ
Wie erkenne ich, welcher Modus für meine Domain aktiv ist?
Der aktuelle Modus wird im Dropdown-Menü angezeigt. Wenn es nicht der Normal-Modus ist und Sie weder testen noch angegriffen werden, wählen Sie die Option Deactivate , um zum Modus Normal zurückzukehren.
Löscht oder überschreibt die Änderung des Protection-Modus meine Filter und Combo Rules?
Nein. Ihre Filter und Combo Rules bleiben in der Konfiguration unverändert erhalten. Der Protection-Modus ändert nur, wie sich diese Regeln zur Laufzeit verhalten. Die Rückkehr zum Normal-Schutz stellt die vollständige Durchsetzung jeder Regel genau so wieder her, wie sie konfiguriert wurde.
Wie schnell wird ein Moduswechsel wirksam?
Sobald der Bestätigungsdialog akzeptiert wurde, wird der neue Modus innerhalb weniger Sekunden an die Proxy-Edge übertragen. Eine DNS-Änderung oder ein Neustart ist nicht erforderlich.
Kann ich direkt von einem Modus in einen anderen wechseln, ohne vorher zu Normal zurückzukehren?
Ja. Sie können direkt zwischen beliebigen zwei Modi wechseln. Jeder Wechsel erfordert weiterhin eine Bestätigung. Sie können zum Beispiel von Under Attack, Soft auf Full Drop wechseln, wenn ein Vorfall eskaliert, und danach wieder zurück auf Deactivate , sobald er beendet ist.
Sollte ich Under Attack, Soft für zusätzliche Sicherheit dauerhaft aktiv lassen?
Nein. Under Attack, Soft ist für aktive Vorfälle gedacht und nutzt engere Schwellenwerte sowie ein verschärftes Challenge-Gate, das legitime Nutzer mit der Zeit beeinträchtigen kann. Die empfohlene Grundeinstellung für den Produktivbetrieb ist Deactivate, die bereits den vollständigen WGP-Schutzstack ausführt. Verwenden Sie Under Attack, Soft nur, wenn Sie Belege für einen gezielten Angriff haben.
Sehen Besucher eine WEDOS Protection-Fehlerseite, wenn ich Full Drop aktiviere?
Nein. Full Drop verwirft alle eingehenden TCP-Verbindungen an der Proxy-Edge stillschweigend, sodass keine HTTP-Antwort erzeugt wird. Besucher sehen in ihrem Browser einen Verbindungs-Timeout oder einen Verbindungsabbruch, keine WEDOS Protection-Seite. Das ist beabsichtigt und mit ein Grund, warum Full Drop dem äußersten Notfall vorbehalten ist.