Este artículo trata sobre las funciones WAF (Web Application Firewall) y Combo Rules de WEDOS Protection. Para las reglas de una sola dimensión, consulte filtros y GeoIP.
En este artículo aprenderá:
- Cómo funcionan el WAF y las Combo Rules de WEDOS Protection
- Cómo configurar:
- Casos de uso y ejemplos de Combo Rules
- Preguntas frecuentes
WAF y Combo Rules
El Web Application Firewall (WAF) de WEDOS Protection inspecciona las solicitudes HTTP/HTTPS entrantes en la capa del proxy y bloquea las que coinciden con patrones de ataque conocidos (inyección SQL, XSS, RCE, path traversal y otras amenazas de la clase OWASP) antes de que lleguen a su servidor de origen. El WAF trabaja junto con los filtros y GeoIP, y con la protección Modo IA que funciona en toda la red de WEDOS Protection.
Las Combo Rules se sitúan por encima del WAF y le permiten definir reglas avanzadas y combinadas L3–L7 por dominio. Cada regla comprueba varias condiciones a la vez (IP/ASN, Geo, Path, User-Agent, JA4, JA4H, método HTTP, versión HTTP), y gana la primera regla coincidente. Las Combo Rules resultan útiles cuando un solo filtro no es lo bastante específico: por ejemplo, cuando quiere permitir el ASN de un rastreador conocido únicamente en una ruta concreta, o bloquear una huella TLS determinada procedente de un solo país.
El WAF y las Combo Rules complementan, pero no sustituyen, los filtros y GeoIP. Las reglas de Filters y GeoIP están pensadas para la protección de una sola dimensión, mientras que las Combo Rules sirven para escenarios más complejos. Además, el AI Mode sigue funcionando en paralelo y no se puede desactivar.
Configuración de WAF y Combo Rules
En los planes de suscripción Iniciar y Avanzado , el WAF funciona únicamente en Modo IA y las Combo Rules no están disponibles. Para poder seleccionar el WAF Mode y usar las Combo Rules, pase al plan Expert .
Para acceder a los ajustes, siga estos pasos:
- Inicie sesión en la administración de WEDOS Global ⧉.
- Seleccione un dominio (o una plantilla) que desee configurar.
- En el menú de la izquierda, haga clic en WAF.
Modo del WAF
El selector Modo del WAF controla el conjunto de reglas que utiliza el Web Application Firewall para el dominio seleccionado. Hay tres modos disponibles:
- Advanced WAF (full ruleset) — predeterminado: Ejecuta el conjunto completo de reglas WAF, incluidas las protecciones básicas y las firmas ampliadas frente a ataques a la capa de aplicación. Recomendado para la mayoría de sitios web y aplicaciones.
- WAF básico (solo reglas principales): Ejecuta solo el conjunto básico de reglas. Resulta útil cuando el conjunto completo provoca falsos positivos en una aplicación legítima pero poco habitual y necesita un conjunto de firmas menor y más conservador.
- Desactivado: Desactiva por completo la evaluación de las reglas WAF. AI Mode, Filters, GeoIP y Combo Rules siguen activos.
Poner el WAF Mode en Desactivado desactiva únicamente las reglas WAF. Eso no desactiva AI Mode, Filters, GeoIP ni Combo Rules. Desactive el WAF solo si tiene un motivo concreto, por ejemplo mientras diagnostica falsos positivos.
Combo Rules
Las Combo Rules son reglas avanzadas combinadas L3–L7. Cada regla comprueba varias condiciones y gana la primera regla coincidente. Ordene las reglas de la más específica a la más general: por ejemplo, primero las reglas de permiso para rastreadores legítimos conocidos y, al final, una regla de bloqueo general.
Las Combo Rules funcionan junto a AUTO AI, que siempre evalúa el tráfico en segundo plano. AUTO AI no se puede desactivar.
Acciones
Cuando una Combo Rule coincide, se aplica una de las siguientes acciones:
- Permitir acceso / Lista blanca: Omite todas las capas de protección y entrega la solicitud directamente al servidor de origen. Úselo solo con tráfico de confianza y bien identificado (por ejemplo, un sistema de monitorización interno verificado).
- Verificación CAPTCHA (Proof of Work): Muestra un desafío de Proof of Work o antibot antes de dejar pasar la solicitud.
- Bloquear con página de error (HTTP 456): Bloquea la solicitud y devuelve una página de error personalizable con el estado HTTP 456.
- Bloquear silenciosamente (descartar el tráfico): Descarta la solicitud en silencio. El cliente no recibe ninguna respuesta. Resulta útil frente al tráfico de ataque cuando no quiere confirmar que la solicitud ha llegado a un servidor.
Campos de coincidencia
Cada Combo Rule puede comprobar hasta nueve campos. Cualquier campo puede dejarse vacío para que actúe como comodín, y cualquier campo puede negarse (con el prefijo ! , donde esté admitido, como !as55789). Para que una regla se aplique, deben coincidir todos los campos activos.
- IP/ASN: Dirección IP de origen, rango CIDR o número de sistema autónomo. Se pueden introducir varios valores como lista separada por comas (por ejemplo,
1.2.3.0/24, as12345, !as55789). - Geo: Código de país o continente, tal como se utiliza en GeoIP.
- Ruta: Ruta URL del dominio (por ejemplo,
/admin/login). Admite coincidencia exacta o por prefijo según el Modo. - User-Agent: Valor de la cabecera
User-AgentHTTP (por ejemplo,googlebot). Admite coincidencia exacta o por subcadena según el Modo. - JA4: Huella TLS JA4 del cliente. Útil para identificar una pila TLS de cliente concreta, independientemente del User-Agent que declare.
- JA4H: Huella HTTP JA4H del cliente. Útil para detectar bots que imitan a un navegador en la capa TLS pero se delatan en la capa HTTP.
- Método: Uno o varios métodos HTTP, separados por comas (por ejemplo,
GET, POST). - Versión HTTP: Versión del protocolo HTTP de la solicitud (por ejemplo, HTTP/1.1, HTTP/2, HTTP/3).
Añadir una Combo Rule
Para añadir una nueva Combo Rule, siga estos pasos:
- Asegúrese de que el interruptor Custom Combo Rules está activado.
- Haga clic en el botón Add Combo Rule .
- Seleccione la Acción que se aplicará cuando la regla coincida.
- Rellene solo los campos de coincidencia que necesite. Deje el resto vacíos para que actúen como comodines.
- Asegúrese de que el interruptor Activo está activado y, a continuación, haga clic en Submit.
Cada regla de la lista se puede editar o eliminar desde la columna de acciones. Utilice el indicador Activo para activar o desactivar reglas concretas sin eliminarlas.
Las Combo Rules se evalúan en ordeny gana la primera regla coincidente. Coloque las reglas más específicas (por ejemplo, permitir un ASN concreto en una ruta concreta) por encima de las más generales (por ejemplo, bloquear todo un país).
Casos de uso y ejemplos de Combo Rules
Las Combo Rules son especialmente útiles cuando ningún filtro por sí solo es lo bastante específico. Algunos escenarios habituales:
Incluir un rastreador conocido en la lista blanca por su ASN
Objetivo: Permitir que el tráfico de Googlebot pase sin desafíos, aunque otras reglas lo bloquearan.
Configuración: Acción Allow / Whitelist, IP/ASN as15169, User-Agent googlebot. Coloque esta regla por encima de cualquier regla de bloqueo.
Restringir un endpoint solo a POST
Objetivo: Un endpoint de API solo debe aceptar solicitudes POST; todo lo demás es indeseado.
Configuración: Acción Bloquear con página de error (HTTP 456), Path /api/submit, Method GET, PUT, DELETE, PATCH, HEAD, OPTIONS. Las solicitudes que usen POST no coincidirán y continuarán con normalidad.
Aplicar un desafío a un país en una ruta sensible
Objetivo: Permitir la navegación normal desde un país, pero aplicar un desafío a cualquier intento de acceder al panel de administración.
Configuración: Acción Verificación CAPTCHA (Proof of Work), Geo cz, Path /admin/login.
Descartar en silencio una huella de ataque conocida
Objetivo: Descartar el tráfico que coincida con una huella JA4 observada en un ataque anterior, sin dar ninguna respuesta al atacante.
Configuración: Acción Bloquear silenciosamente (descartar el tráfico), JA4 t13d1516h2_8daaf6152771_....
FAQ
¿Qué ocurre si desactivo el WAF?
Solo se desactiva el conjunto de reglas WAF. AI Mode, los filtros, GeoIP y las Combo Rules siguen funcionando. Su dominio continúa protegido, pero sin reglas de capa de aplicación basadas en firmas, por lo que recomendamos desactivar el WAF solo de forma temporal, por ejemplo mientras diagnostica un falso positivo.
¿Cuándo debo usar Basic WAF en lugar de Advanced WAF?
Use Basic WAF solo si el conjunto de reglas Advanced provoca falsos positivos en una aplicación legítima que no puede ajustar en el origen. El conjunto Basic es más conservador y aplica únicamente las reglas básicas. Para la mayoría de sitios web y API, la opción predeterminada Advanced WAF es la adecuada.
¿Cómo funciona el orden de las reglas?
Las Combo Rules se evalúan de arriba abajo y gana la primera regla coincidente. Coloque las reglas específicas (como las reglas de permiso para rastreadores legítimos conocidos o direcciones IP de confianza) en la parte superior de la lista, y las reglas más amplias (como bloqueos de países enteros o denegaciones generales) por debajo.
¿Tengo que rellenar todos los campos de una Combo Rule?
No. Cualquier campo que se deje vacío actúa como comodín. Una regla en la que solo esté definido Geo = cz coincide con todo el tráfico procedente de Chequia, con independencia de la IP, la ruta, el user agent, el método o la versión. Para que una regla se active, todos los campos rellenados deben coincidir.
¿Puedo negar un valor en una Combo Rule?
Sí. Los campos que aceptan listas separadas por comas (como IP/ASN) admiten la negación con el prefijo ! : por ejemplo, as12345, !as55789 coincide con AS12345 pero excluye explícitamente AS55789.
¿En qué se diferencian las Combo Rules de los Filters?
Los filtros actúan sobre una sola dimensión cada vez (una lista de IP, una lista de ASN, una lista de User-Agent, etc.). Las Combo Rules combinan varias dimensiones en una sola regla, de modo que puede expresar condiciones como «solo este ASN, solo en esta ruta, solo con este método» , que un filtro por sí solo no puede formular.
¿Se puede desactivar AUTO AI para las Combo Rules?
No. AUTO AI siempre está activado y funciona en paralelo con sus Custom Combo Rules. Puede añadir sus propias reglas en modo custom, pero la IA no se puede desactivar.