Tento článok sa venuje funkciám WAF (Web Application Firewall) a Combo Rules vo WEDOS Protection. Pravidlá s jedným kritériom popisuje článok filtre a GeoIP.
V tomto článku sa dozviete:
- Ako fungujú WAF a Combo Rules vo WEDOS Protection
- Ako nastaviť:
- Príklady použitia Combo Rules
- Často kladené otázky
WAF a Combo Rules
Web Application Firewall (WAF) vo WEDOS Protection kontroluje prichádzajúce požiadavky HTTP/HTTPS na úrovni proxy a blokuje tie, ktoré zodpovedajú známym vzorcom útokov (SQL injection, XSS, RCE, path traversal a ďalšie hrozby triedy OWASP), ešte než dorazia na váš zdrojový server. WAF pracuje spoločne s funkciami filtre a GeoIPa s ochranou AI Mode , ktorá beží v celej sieti WEDOS Protection.
Combo Rules nadväzujú na WAF a umožňujú definovať pokročilé kombinované pravidlá L3–L7 pre jednotlivé domény. Každé pravidlo porovnáva viac podmienok naraz (IP/ASN, Geo, Path, User-Agent, JA4, JA4H, metóda HTTP, verzia HTTP) a uplatní sa prvé vyhovujúce pravidlo. Combo Rules sa hodia, keď jeden filter nie je dostatočne konkrétny — napríklad keď chcete povoliť ASN známeho crawlera iba na určitej ceste alebo zablokovať konkrétny odtlačok TLS prichádzajúci z jednej krajiny.
WAF a Combo Rules dopĺňajú, ale nenahrádzajú filtre a GeoIP. Filters a GeoIP slúžia na ochranu podľa jedného kritéria, zatiaľ čo Combo Rules sú určené pre zložitejšie scenáre. AI Mode navyše beží stále súbežne a nedá sa vypnúť.
Nastavenie WAF a Combo Rules
V tarifoch Start a Advanced beží WAF iba v režime AI Mode a Combo Rules nie sú dostupné. Ak chcete mať prístup k voľbe WAF Mode a ku Combo Rules, prejdite na tarif Expert .
K nastaveniu sa dostanete nasledujúcimi krokmi:
- Prihláste sa do administrácie WEDOS Global ⧉.
- Vyberte doménu (alebo šablónu), ktorú chcete nastaviť.
- V ľavom menu kliknite na WAF.
Režim WAF
Prepínač Režim WAF určuje sadu pravidiel, ktorú Web Application Firewall pre vybranú doménu používa. K dispozícii sú tri režimy:
- Advanced WAF (plná sada pravidiel) — predvolené: Používa kompletnú sadu pravidiel WAF vrátane základnej ochrany a rozšírených signatúr pre útoky na aplikačnej vrstve. Odporúčané pre väčšinu webov a aplikácií.
- Basic WAF (iba základné pravidlá): Používa iba základnú sadu pravidiel. Hodí sa, keď plná sada spôsobuje falošne pozitívne detekcie pri legitímnej, ale netypickej aplikácii a potrebujete menšiu a konzervatívnejšiu sadu signatúr.
- Disabled: Úplne vypne vyhodnocovanie pravidiel WAF. AI Mode, Filters, GeoIP a Combo Rules zostávajú aktívne.
Nastavenie WAF Mode na Disabled vypne iba pravidlá WAF. AI Mode, Filters, GeoIP ani Combo Rules tým nevypnete . WAF vypínajte iba vtedy, keď na to máte konkrétny dôvod — napríklad pri riešení falošne pozitívnych detekcií.
Combo Rules
Combo Rules sú pokročilé kombinované pravidlá L3–L7. Každé pravidlo porovnáva viac podmienok naraz a platí, že uplatní sa prvé vyhovujúce pravidlo. Pravidlá zoraďte od najkonkrétnejších po najvšeobecnejšie — napríklad najprv povoľujúce pravidlá pre známe dobré crawlery a úplne dole súhrnné blokujúce pravidlo.
Combo Rules bežia súbežne s AUTO AI, ktorá prevádzku vždy vyhodnocuje na pozadí. AUTO AI sa nedá vypnúť.
Akcie
Keď pravidlo Combo Rule zodpovedá, uplatní sa jedna z nasledujúcich akcií:
- Allow access / Whitelist: Obíde všetky vrstvy ochrany a odovzdá požiadavku priamo na zdrojový server. Používajte iba pre dôveryhodnú a dobre identifikovanú prevádzku (napr. overený interný monitorovací systém).
- Overenie CAPTCHA (Proof of Work): Pred prepustením požiadavky zobrazí overenie Proof of Work / test na roboty.
- Blokovať s chybovou stránkou (HTTP 456): Zablokuje požiadavku a vráti prispôsobiteľnú chybovú stránku so stavovým kódom HTTP 456.
- Ticho blokovať (zahodiť prevádzku): Ticho zahodí požiadavku. Klient nedostane žiadnu odpoveď. Hodí sa proti útočnej prevádzke, pri ktorej nechcete potvrdzovať, že požiadavka dorazila na server.
Polia na porovnanie
Každé pravidlo Combo Rule môže porovnávať až deväť polí. Ktorékoľvek pole možno nechať prázdne, potom funguje ako zástupný znak, a ktorékoľvek pole možno negovať (pomocou predpony ! tam, kde je to podporované, napríklad !as55789). Aby sa pravidlo uplatnilo, musia zodpovedať všetky vyplnené polia.
- IP/ASN: Zdrojová IP adresa, rozsah CIDR alebo číslo autonómneho systému. Viac hodnôt možno zadať ako zoznam oddelený čiarkami (napr.
1.2.3.0/24, as12345, !as55789). - Geo: Kód krajiny alebo kontinentu, rovnaký ako používa GeoIP.
- Cesta: Cesta URL na doméne (napr.
/admin/login). Podporuje presnú zhodu aj zhodu podľa prefixu v závislosti od zvoleného nastavenia Režim. - User-Agent: Hodnota hlavičky
User-Agentprotokolu HTTP (napr.googlebot). Podporuje presnú zhodu aj zhodu na časť reťazca v závislosti od zvoleného nastavenia Režim. - JA4: Odtlačok JA4 TLS klienta. Hodí sa na rozpoznanie konkrétnej TLS implementácie klienta nezávisle od toho, aký User-Agent sám udáva.
- JA4H: Odtlačok JA4H HTTP klienta. Hodí sa na odhalenie robotov, ktoré na vrstve TLS napodobňujú prehliadač, ale na vrstve HTTP sa prezradia.
- Metóda: Jedna alebo viac metód HTTP oddelených čiarkami (napr.
GET, POST). - Verzia HTTP: Verzia protokolu HTTP pri požiadavke (napr. HTTP/1.1, HTTP/2, HTTP/3).
Pridanie pravidla Combo Rule
Nové pravidlo Combo Rule pridáte nasledujúcimi krokmi:
- Uistite sa, že je prepínač Custom Combo Rules zapnutý.
- Kliknite na tlačidlo Add Combo Rule .
- Vyberte akciu Action , ktorá sa uplatní, keď pravidlo zodpovedá.
- Vyplňte iba tie polia, ktoré potrebujete. Ostatné nechajte prázdne, budú fungovať ako zástupné znaky.
- Uistite sa, že je prepínač Active zapnutý, a kliknite na Submit.
Každé pravidlo v zozname možno upraviť alebo zmazať v stĺpci s akciami. Pomocou indikátora Active môžete jednotlivé pravidlá zapínať a vypínať bez toho, aby ste ich mazali.
Combo Rules sa vyhodnocujú postupne a uplatní sa prvé vyhovujúce pravidlo. Konkrétnejšie pravidlá (napr. povolenie určitého ASN na určitej ceste) umiestnite nad všeobecnejšie (napr. blokovanie celej krajiny).
Príklady použitia Combo Rules
Combo Rules sa najviac hodia tam, kde žiadny jednotlivý filter nie je dostatočne konkrétny. Niekoľko typických scenárov:
Povolenie známeho crawlera podľa ASN
Cieľ: Prepúšťať prevádzku Googlebotu bez overovania, aj keby ju iné pravidlá inak zablokovali.
Nastavenie: Action Allow / Whitelist, IP/ASN as15169, User-Agent googlebot. Toto pravidlo umiestnite nad všetky blokujúce pravidlá.
Obmedzenie endpointu iba na POST
Cieľ: API endpoint má prijímať iba požiadavky POST, všetko ostatné je nežiaduce.
Nastavenie: Action Blokovať s chybovou stránkou (HTTP 456), Path /api/submit, Method GET, PUT, DELETE, PATCH, HEAD, OPTIONS. Požiadavky metódou POST pravidlu nezodpovedajú a prejdú bežným spôsobom.
Overovanie návštevníkov z jednej krajiny na citlivej ceste
Cieľ: Povoliť bežné prehliadanie webu z danej krajiny, ale vyžadovať overenie pri všetkom, čo sa pokúša dostať do administrácie.
Nastavenie: Action Overenie CAPTCHA (Proof of Work), Geo cz, Path /admin/login.
Tiché zahadzovanie známeho odtlačku útoku
Cieľ: Zahadzovať prevádzku zodpovedajúcu odtlačku JA4 zaznamenanému pri skoršom útoku bez toho, aby útočník dostal akúkoľvek spätnú väzbu.
Nastavenie: Action Ticho blokovať (zahodiť prevádzku), JA4 t13d1516h2_8daaf6152771_....
Často kladené otázky
Čo sa stane, keď WAF vypnem?
Vypne sa iba sada pravidiel WAF. AI Mode, Filtre, GeoIP a Combo Rules bežia ďalej. Vaša doména je stále chránená, ale bez pravidiel založených na signatúrach pre aplikačnú vrstvu — preto odporúčame vypínať WAF iba dočasne, napríklad pri riešení falošne pozitívnej detekcie.
Kedy použiť Basic WAF namiesto Advanced WAF?
Basic WAF použite iba vtedy, ak sada Advanced spôsobuje falošne pozitívne detekcie pri legitímnej aplikácii, ktorú nemôžete upraviť na zdroji. Základná sada je konzervatívnejšia a uplatňuje iba základné pravidlá. Pre väčšinu webov a API je správnou voľbou predvolený Advanced WAF.
Ako funguje poradie pravidiel?
Combo Rules sa vyhodnocujú zhora nadol a platí, že uplatní sa prvé vyhovujúce pravidlo. Konkrétne pravidlá (napríklad povolenie známych dobrých crawlerov alebo dôveryhodných IP adries) umiestnite na začiatok zoznamu a všeobecnejšie pravidlá (napríklad blokovanie celej krajiny alebo súhrnné zamietnutie) pod ne.
Musím v pravidle Combo Rule vyplniť každé pole?
Nie. Každé prázdne pole funguje ako zástupný znak. Pravidlo, v ktorom je nastavené iba Geo = cz zodpovedá všetkej prevádzke z Česka bez ohľadu na IP, cestu, user agent, metódu alebo verziu. Aby sa pravidlo uplatnilo, musia zodpovedať všetky vyplnené polia.
Môžem v pravidle Combo Rule hodnotu negovať?
Áno. Polia, ktoré prijímajú zoznamy oddelené čiarkami (napríklad IP/ASN), podporujú negáciu pomocou predpony ! — napríklad as12345, !as55789 zodpovedá AS12345, ale výslovne vylučuje AS55789.
Ako sa Combo Rules líšia od Filters?
Filtre porovnávajú vždy len jedno kritérium (jeden zoznam IP adries, jeden zoznam ASN, jeden zoznam User-Agent a tak ďalej). Combo Rules spájajú viac kritérií do jedného pravidla, takže môžete vyjadriť podmienky ako „iba toto ASN, iba na tejto ceste, iba s touto metódou“ , ktoré jediný filter vyjadriť nedokáže.
Dá sa AUTO AI pre Combo Rules vypnúť?
Nie. AUTO AI je vždy zapnuté a beží súbežne s vašimi pravidlami Custom Combo Rules. Vlastné pravidlá môžete pridávať v režime Custom, ale AI sa vypnúť nedá.