Создание цепочек действий

Во время работы с веб-приложением предполагается, что у пользователей должны быть устойчивые паттерны в действиях, в первую очередь обусловленные веб-интерфейсом приложения.

Классический пример: легитимный пользователь не может отправить форму без предварительной ее загрузки. Следовательно, на WAF сперва будет виден GET-запрос загрузки формы авторизации, а после этого должен идти POST-запрос отправки данных. Очень часто бот-системы игнорируют действие загрузки формы и отправляют сразу POST-запросы c данными для авторизации, тем самым нарушая нормальную последовательность работы с веб-приложением.

Именно на этих отличиях и строится работа модуля «Последовательности действий». Важно понимать, что цепочки действий работают поверх сессионной модели.

Для настройки цепочки действий необходимо перейти на вкладку «Приложения» -> «Действия» ->

«Цепочки действий» и нажать на кнопку «Добавить новую цепочку действий» (см. рисунок 168).

image285

Рисунок 168 – Цепочки действий

Откроется окно «Цепочка действий», в котором можно создать новую цепочку действий (см. рисунок 169).

image286

Рисунок 169 – Окно «Цепочка действий»

Окно «Цепочка действий» содержит следующие элементы:

  1. Выбор цепочки действий - выбор цепочки, которая будет считаться либо аномальной (негативная модель), либо ожидаемой (позитивная модель).

  2. Критическое действие – выбор действий из заведенных на приложении в качестве действия, которым должна закончиться цепочка действий.

  3. Действие-пререквизит – выбор действия из заведенных на приложении в качестве действия, которым должна начинаться цепочка действий. Имеется возможность выбора нескольких действий-пререквизитов.

  4. Уверенность – дробное значение от 0 до 1. Степень достоверности цепочки. Чем чаще действия внутри цепочки будут идти одновременно и в одинаковом порядке относительно друг друга, тем выше будет значение уверенности для цепочки при ее генерации инструментами машинного обучения. Этот параметр используется для модуля выявления аномальности сессии при нарушении цепочек. Так как при создании цепочек вручную мы достоверно знаем какое действие-предикат должно быть перед критичным действием данное значение выставляется в 1.

  5. Окно действий – целое число больше 0. При появлении транзакции с критическим действием формируется трасса, состоящая из последних n транзакций, где n - окно действий для цепочки с этим критическим действием. То есть окно действий это n- транзакций до критического действия, среди которых должно быть действие предикат.

  6. Временное окно – целое число больше 0. Величина в минутах. В рамках временного окна рассматривается окно действий, то есть трасса формируется из n-транзакций (где n есть величина окна действий), которые были сделаны за последние m-минут (где m есть величина временного окна) до критического действия. Транзакции, выходящие за рамки временного окна, не учитываются.

Для корректной работы модуля требуется его настройка в анализаторе (см. раздел 17.10).