Reglas de IP, utilizando el cortafuegos

CrowdHandler incluye un potente cortafuegos que permite controlar el acceso a las salas de espera y a tu página web.

La función de cortafuegos está disponible en los planes Plus y superiores, lo que te permite añadir reglas basadas en rangos para bloquear, priorizar o desviar el tráfico. Además, los planes Professional y Enterprise incluyen un filtrado de IP automatizado. Estas funciones funcionan en combinación con la detección de anomalías.

Acceso al

Ve a la lista de dominios y haz clic en el icono del escudo situado junto al nombre de dominio para el que quieras establecer reglas (las reglas de IP se configuran dominio por dominio).

Gestionar

La pantalla «Gestionar direcciones IP» es la vista predeterminada del cortafuegos. En ella se muestran las reglas actuales del cortafuegos y las direcciones IP más activas que están conectadas en este momento. Puedes añadir nuevas reglas, editar una regla existente o cambiar rápidamente el estado de una dirección IP de la lista.

Las reglas afectan al tráfico que entra dentro del ámbito de protección de tus salas de espera activas. Si deseas que las reglas del cortafuegos se apliquen a todo el tráfico de tu dominio en todo momento, deberás crear una sala de espera genérica.

Añadir una

  1. Introduce la dirección IP (o el rango CIDR)
  2. Añade una nota opcional para facilitar la identificación
  3. Selecciona la lista a la que quieras añadir esta dirección IP o este rango

Los estados son los siguientes:

  • Ignorar: esto significa que la dirección IP debe tratarse con normalidad en lo que respecta al acceso al sitio y a la priorización de colas, pero que no debe ser objeto de ninguna actividad automatizada, como el bloqueo automático o el seguimiento de anomalías. Utiliza este estado si conoces y confías en el origen de una dirección IP o un rango y no deseas que sea bloqueado por las reglas habituales.
  • Bloquear: utiliza esta opción para bloquear direcciones IP o rangos de direcciones. El usuario será redirigido a la sala de espera, donde se mostrará el estado de bloqueo. Puedes modificar el mensaje personalizando tu plantilla.
  • Omisión: el tráfico procedente de direcciones IP o rangos configurados para ser omitidos resulta, en esencia, invisible para CrowdHandler. No verificaremos al usuario, no lo pondremos en cola, no realizaremos un seguimiento de la sesión ni registraremos la solicitud. Esto significa que CrowdHandler no te protege en absoluto del tráfico omitido, por lo que recomendamos utilizar esta opción para un número reducido de usuarios de confianza cuando resulte útil. Los casos de uso más evidentes son los del personal operativo que comprueba que la aplicación funciona correctamente tras la cola y los desarrolladores que desean probar su aplicación sin que la cola interfiera en el proceso.
  • Priorizar: el tráfico procedente de direcciones IP y rangos priorizados se atiende en primer lugar en la cola. Dependiendo de los niveles de tráfico, los usuarios pueden percibir esto como si se saltaran por completo la sala de espera. No obstante, se comprueba que cumplan con los límites generales del dominio y, si es necesario, se les colocará en una cola de menor prioridad. Esto funciona igual que si el usuario hubiera utilizado un código de prioridad. La priorización de IP puede resultar útil para dar prioridad automáticamente a los clientes VIP que se conectan desde redes corporativas, o en casos en los que el personal interno de ventas y asistencia técnica utilice aplicaciones públicas en nombre de los clientes.

Lectura de IP y cambios de

La pantalla «Gestionar direcciones IP» muestra una lista de las reglas existentes y las direcciones IP más activas que están conectadas en este momento. La información es la siguiente:

  • Dirección IP: se admiten las versiones v4 y v6
  • Bandera del país de origen e icono de red: al pasar el cursor por encima de cada icono, se mostrarán el nombre de la ciudad y del país, así como el nombre de la red o del proveedor de servicios de Internet (ISP). Al hacer clic en cualquiera de ellos, se mostrará la información de consulta de la IP, incluidos más detalles sobre la ubicación y la red. Puede resultar de especial interés la ruta (un rango CIDR), ya que, en lugar de bloquear o ignorar una IP específica, puede resultar más eficaz aplicar una regla a toda la ruta.
  • Nota: puedes actualizar esta información. Las direcciones IP bloqueadas automáticamente incluirán una nota con el motivo del bloqueo. Las direcciones IP que superen los umbrales de advertencia también incluirán notas.
  • Sesiones: recuento del número de sesiones procedentes de esta dirección IP. Un recuento elevado puede ser indicativo de actividad de bots, comportamiento fraudulento o de usuarios que intentan burlar una cola utilizando muchos dispositivos o pestañas privadas. También podría indicar una red corporativa, gubernamental o educativa. Si consideras que se trata de una audiencia legítima, quizá te interese configurar estas direcciones IP (o rutas) para que se ignoren.
  • Conectado: indica la hora en que las sesiones desde esta dirección IP se conectaron por primera vez. Las sesiones que llevan conectadas un tiempo inusualmente prolongado pueden resultar sospechosas.
  • Estado: puedes asignar rápidamente un estado a una dirección IP, eligiendo uno de los estados descritos anteriormente y haciendo clic en el icono de guardar.

Filtrado de direcciones IP y automático#

En la parte superior de la pantalla hay tres controles que permiten filtrar automáticamente el tráfico en función de la información de IP o del comportamiento.

Para poder utilizar el filtrado de amenazas conocidas y el bloqueo por puntuación de anomalías, es necesario tener el plan Professional o superior.

conocidas#

CrowdHandler utiliza una combinación de información procedente de fuentes externas sobre direcciones IP e información interna basada en la observación del tráfico de los clientes para clasificar las direcciones IP. Puedes utilizar estas categorías para bloquear automáticamente el tráfico desde el primer contacto. Puedes activar cualquiera de estas categorías:

  • Reglas de bloqueo de CrowdHandler: se trata de nuestra base de datos global de bloqueos. Se ha creado a partir del análisis del tráfico de nuestra red y de la identificación de los rangos de IP que muestran repetidamente comportamientos anómalos, fraudulentos o amenazantes en más de un cliente. Actualmente abarca aproximadamente 3 millones de direcciones IP. La lista de reglas se revisa periódicamente, pero se actualiza automáticamente. Los usuarios que se inscriben en esta lista suelen observar que los bloqueos individuales y las alertas de anomalías en su dominio se reducen hasta en un 80 %. Sin embargo, a diferencia del resto de reglas de esta lista, los bloqueos individuales basados en ella no se registran en tu panel de control. Las reglas de tu panel de administración tienen prioridad sobre nuestras reglas de bloqueo. Por lo tanto, si detectas que estamos bloqueando tráfico que consideras que debería permitirse, podrás añadir reglas de ignorar para anular las nuestras.
  • Atacantes conocidos: se trata de direcciones IP que han sido señaladas en bases de datos de direcciones IP externas por intentar comportamientos que suponen una amenaza para la seguridad. Algunos ejemplos serían los intentos de inyección SQL o de XSS. Recomendamos bloquear este tráfico.
  • Usuarios conocidos por comportamientos abusivos: se trata de direcciones IP que han sido señaladas en bases de datos externas de direcciones IP por intentar comportamientos de tipo spam o abusivos. Algunos ejemplos serían el relleno de comentarios, el registro repetido en boletines informativos, el scraping, etc. Recomendamos bloquear este tráfico, pero esta categoría es más propensa a los falsos positivos que la anterior, ya que es habitual que los usuarios de proveedores de acceso a Internet domésticos se vean involucrados sin saberlo en este tipo de comportamientos o que les sea asignada una dirección IP que se haya utilizado anteriormente para tales fines.
  • TOR: La inteligencia externa señala que esta dirección pertenece a la red TOR, una fuente de gran cantidad de tráfico fraudulento. Recomendamos bloquear TOR. Aunque los usuarios puedan tener derecho al anonimato, es probable que no te interesen los clientes anónimos.
  • Centros de datos: es muy probable que el tráfico procedente de centros de datos, en lugar de empresas o proveedores de acceso a Internet domésticos, sea tráfico automatizado (es decir, bots). Recomendamos bloquear los centros de datos. Ten en cuenta que entre las direcciones IP legítimas de los centros de datos pueden encontrarse servicios de monitorización, rastreadores de motores de búsqueda y llamadas de retorno de pasarelas de pago. CrowdHandler mantiene listas globales de excepciones para estos casos, pero si detectas que estás bloqueando un servicio del que dependes, puedes añadir una regla de exclusión para ese rango, lo que anulará el comportamiento de bloqueo automático.
  • Proxies: los usuarios utilizan redes de proxies (o VPN) para ocultar su identidad. La mayor parte del tráfico fraudulento y de bots procede de redes de proxies, ya que los usuarios que actúan de forma ilegal no quieren que se pueda identificar su dirección IP. Bloquear las redes de proxies reduce el tráfico fraudulento. Ten en cuenta que muchos usuarios particulares utilizan ahora VPN por motivos de privacidad, y estos usuarios podrían verse bloqueados. Te recomendamos que actualices el mensaje de bloqueo de tu sala de espera para aconsejar a los usuarios legítimos que desactiven las VPN cuando utilicen tu aplicación.

Bloquear automáticamente las direcciones IP con más de X

Por lo general, se espera que una sesión (un único token de CrowdHandler) se corresponda con una única dirección IP. Si hay muchos tokens que se conectan desde una misma dirección IP, esto puede indicar la presencia de un bot de rastreo o de un usuario que utiliza muchos dispositivos o pestañas anónimas. Este control deslizante te permite establecer el número aceptable de sesiones que pueden conectarse desde una misma dirección IP antes de que dicha dirección sea bloqueada automáticamente. Otra razón por la que puedes observar muchas conexiones desde una misma dirección IP es que dicha dirección forme parte de una red corporativa o de una institución académica. Recomendamos establecer un límite razonable (por ejemplo, 10) y añadir reglas de exclusión para aquellas direcciones IP que pertenezcan a redes en las que consideres razonable que haya varias sesiones.

Bloqueo automático con puntuaciones de anomalía superiores a

Este control deslizante te permite bloquear automáticamente las direcciones IP desde las que se originan sesiones con puntuaciones de anomalía excesivas. Puedes elegir el nivel a partir del cual se activará el bloqueo.

La pestaña «Recomendaciones» te mostrará hasta 20 reglas recomendadas para añadir al cortafuegos. Estas se basan en observaciones de grupos de direcciones IP que activan bloqueos automáticos y alertas en tu dominio.

  • Rango: este es el rango CIDR recomendado para el bloqueo.
  • Iconos de país y red: al pasar el cursor por encima de ellos, se muestra la ciudad y el proveedor de servicios de Internet asociados al rango de direcciones IP. Al hacer clic en ellos, se obtiene información más detallada.
  • Sesiones: aquí se muestra el número de sesiones registradas para ese rango de direcciones IP. Al hacer clic aquí, se abrirá la pestaña «Sesiones», donde aparecerán todas las sesiones anómalas registradas desde ese rango en los últimos siete días. Puedes utilizar esta información para obtener una visión más detallada del comportamiento que subyace a la recomendación.
  • Inicio y Última vez: estas fechas indican cuándo se observaron por primera vez las direcciones IP de este rango y cuándo se detectaron por última vez.
  • Recomendación / Bloquear: si estás de acuerdo con la recomendación de bloquear ese rango, haz clic en el botón «Bloquear». Se añadirá una regla de bloqueo permanente a la pestaña «Reglas».
  • Ignorar: si no estás de acuerdo con la recomendación (por ejemplo, si crees que la red y el comportamiento son compatibles con un bot «bueno»), puedes hacer clic en el botón «Ignorar». De este modo, se añadirá una regla de «Ignorar» a la pestaña «Reglas» para ese rango.

N. de Autoblock#

El registro de bloqueos automáticos ofrece una lista de las direcciones IP bloqueadas automáticamente durante los últimos siete días, así como el motivo del bloqueo. Por defecto, los bloqueos automáticos solo duran una hora. Puedes utilizar el registro de bloqueos automáticos para verificar los informes de falsos positivos. Al hacer clic en una dirección IP en la pantalla del registro de bloqueos automáticos, se abrirá la pantalla «Sesiones» con las sesiones anómalas filtradas por dirección IP, de modo que puedas ver qué comportamiento pudo haber contribuido a un bloqueo automático.