Regole IP, utilizzando il firewall

CrowdHandler include un potente firewall che può essere utilizzato per controllare l'accesso alle sale d'attesa e al vostro sito web.

La funzione firewall è disponibile nei piani Plus e superiori e consente di aggiungere regole basate su intervalli per bloccare, dare priorità o bypassare il traffico. Nei piani Professional ed Enterprise è disponibile un ulteriore filtro IP automatizzato. Queste funzionalità operano in sinergia con il rilevamento delle anomalie.

Accesso al

Vai all'elenco dei domini, clicca sull'icona a forma di scudo accanto al nome di dominio per il quale desideri impostare delle regole (le regole IP vengono configurate dominio per dominio).

Gestione

La schermata "Gestisci IP" è la vista predefinita all'interno del firewall. La schermata mostra le regole attuali del firewall e gli IP attualmente connessi più attivi. È possibile aggiungere nuove regole, modificare una regola esistente o cambiare rapidamente lo stato di un IP presente nell'elenco.

Le regole si applicano al traffico che rientra nell'ambito di protezione delle sale d'attesa attive. Se desideri che le regole del firewall si applichino in ogni momento a tutto il traffico del tuo dominio, dovrai creare una sala d'attesa "catch-all".

Aggiunta di una

  1. Inserisci l'indirizzo IP (o l'intervallo CIDR)
  2. Aggiungi una nota facoltativa per facilitarne l'identificazione
  3. Seleziona l'elenco a cui desideri aggiungere questo indirizzo IP o questo intervallo

Gli stati sono i seguenti:

  • Ignora - Significa che l'indirizzo IP deve essere trattato normalmente per quanto riguarda l'accesso al sito e la priorità nella coda, ma che non deve essere soggetto ad alcuna attività automatizzata, come il blocco automatico o il monitoraggio delle anomalie. Utilizza questo stato se conosci e ti fidi della provenienza di un indirizzo IP o di un intervallo di indirizzi e non desideri che venga bloccato dalle regole standard.
  • Blocca - Utilizza questa opzione per bloccare indirizzi IP o intervalli di indirizzi. L'utente verrà reindirizzato alla sala d'attesa, dove verrà visualizzato lo stato di blocco. È possibile modificare il messaggio personalizzando il modello.
  • Bypass - Il traffico proveniente da indirizzi IP o intervalli impostati per il bypass è sostanzialmente invisibile a CrowdHandler. Non verificheremo l'utente, non lo metteremo in coda, non tracciamo la sessione e non registreremo nemmeno la richiesta. Ciò significa che CrowdHandler non vi protegge affatto dal traffico che viene bypassato, pertanto vi consigliamo di utilizzare questa opzione solo per un numero limitato di utenti fidati, laddove sia utile. I casi d’uso più evidenti sono quelli del personale operativo che verifica il corretto funzionamento dell’applicazione a monte della coda e degli sviluppatori che desiderano testare la propria applicazione senza alcuna interferenza da parte della coda.
  • Priorità - Il traffico proveniente da indirizzi IP e intervalli con priorità viene gestito per primo nella coda. A seconda dei livelli di traffico, gli utenti potrebbero avere l'impressione di saltare completamente la sala d'attesa. Tuttavia, vengono comunque sottoposti a verifica rispetto alle quote complessive del dominio e, se necessario, inseriti in una coda con priorità inferiore. Il funzionamento è lo stesso che si avrebbe se l'utente avesse utilizzato un codice di priorità. La prioritizzazione degli IP può essere utile per dare automaticamente la priorità ai clienti VIP che si connettono da reti aziendali, oppure nei casi in cui il personale interno addetto alle vendite e all'assistenza utilizzi applicazioni pubbliche per conto dei clienti.

Lettura IP e stati in evoluzione

La schermata "Gestisci IP" elenca le regole esistenti e mostra gli IP più attivi attualmente connessi. Le informazioni sono le seguenti:

  • Indirizzo IP: sono supportati sia v4 che v6
  • Bandiera del Paese di origine e icona della rete: passando il mouse su ciascuna icona verranno visualizzati il nome della città e del Paese, nonché il nome della rete o dell'ISP. Cliccando su una di queste icone verranno visualizzate le informazioni relative all'IP, inclusi ulteriori dettagli sulla posizione e sulla rete. Di particolare interesse potrebbe essere la route (un intervallo CIDR), poiché, anziché bloccare o ignorare un IP specifico, potrebbe risultare più efficace applicare una regola all'intera route.
  • Nota: è possibile aggiornare questa sezione. Per ogni indirizzo IP bloccato automaticamente verrà visualizzata una nota che ne spiega il motivo. Anche gli indirizzi IP che superano le soglie di avviso saranno accompagnati da una nota.
  • Sessioni - Il conteggio del numero di sessioni provenienti da questo indirizzo IP. Un numero elevato di sessioni può essere indicativo di attività di bot, comportamenti fraudolenti o di utenti che tentano di aggirare una coda utilizzando più dispositivi o schede private. Potrebbe anche indicare una rete aziendale, governativa o scolastica. Se ritieni che si tratti di un pubblico legittimo, potresti voler impostare questi indirizzi IP (o percorsi) come da ignorare.
  • Connesso - Indica l'ora in cui le sessioni provenienti da questo indirizzo IP si sono connesse per la prima volta. Le sessioni che rimangono connesse per un periodo di tempo insolitamente lungo potrebbero risultare sospette.
  • Stato - È possibile assegnare rapidamente a un indirizzo IP uno degli stati sopra descritti selezionando lo stato desiderato e facendo clic sull'icona di salvataggio.

Filtraggio IP e automatico#

Nella parte superiore dello schermo sono presenti tre controlli che consentono di filtrare automaticamente il traffico in base alle informazioni relative agli indirizzi IP o al comportamento.

Il filtraggio delle minacce note e il blocco in base al punteggio di anomalia richiedono un abbonamento al piano Professional o superiore.

note#

CrowdHandler utilizza una combinazione di informazioni provenienti da fonti esterne relative agli indirizzi IP e di informazioni interne basate sull'analisi del traffico dei clienti per classificare gli indirizzi IP. È possibile utilizzare queste categorie per bloccare automaticamente il traffico al primo contatto. È possibile attivare una qualsiasi di queste categorie:

  • Regole di blocco CrowdHandler - Si tratta del nostro database globale di blocchi. Viene creato osservando il traffico sulla nostra rete e identificando gli intervalli di indirizzi IP che segnalano ripetutamente comportamenti anomali, fraudolenti o minacciosi su più di un cliente. Attualmente copre circa 3 milioni di indirizzi IP. L'elenco delle regole viene rivisto regolarmente, ma si aggiorna automaticamente. Gli utenti che scelgono di aderire a questo elenco spesso riscontrano una riduzione fino all’80% dei singoli blocchi e degli avvisi di anomalia relativi al proprio dominio. Tuttavia, a differenza di tutte le altre regole presenti in questo elenco, i singoli blocchi basati su di esso non vengono registrati nel pannello di controllo. Le regole presenti nel pannello di amministrazione hanno la precedenza sulle nostre regole di blocco. Pertanto, se riscontri che stiamo bloccando traffico che ritieni debba essere consentito, potrai aggiungere regole di esclusione per sovrascrivere le nostre.
  • Attaccanti noti - Si tratta di indirizzi IP che sono stati segnalati in database IP esterni per aver tentato comportamenti che costituiscono una minaccia alla sicurezza. Ne sono un esempio i tentativi di SQL injection o XSS. Si consiglia di bloccare questo traffico.
  • Utenti noti per comportamenti abusivi - Si tratta di indirizzi IP che sono stati segnalati in database IP esterni come responsabili di tentativi di spam o comportamenti abusivi. Tra gli esempi figurano il “comment stuffing”, la registrazione ripetuta a newsletter, lo “scraping”, ecc. Raccomandiamo di bloccare questo traffico, ma questa categoria è più soggetta a falsi positivi rispetto alla precedente, poiché è comune che gli utenti di ISP domestici vengano involontariamente coinvolti in tali comportamenti o che si colleghino a un indirizzo IP precedentemente utilizzato per tali scopi.
  • TOR - I dati di intelligence esterni segnalano che questo indirizzo appartiene alla rete TOR, fonte di un ingente traffico fraudolento. Raccomandiamo di bloccare TOR. Sebbene gli utenti possano avere diritto all'anonimato, probabilmente non desiderate clienti anonimi.
  • Data center - Il traffico proveniente dai data center, anziché da aziende o ISP domestici, è molto probabilmente traffico generato da script (in altre parole, bot). Si consiglia di bloccare i data center. Si noti che gli indirizzi IP legittimi dei data center possono includere servizi di monitoraggio, crawler dei motori di ricerca e callback dei gateway di pagamento. CrowdHandler gestisce elenchi globali di eccezioni per questi casi, ma se si riscontra che si sta bloccando un servizio di cui si fa uso, l’aggiunta di una regola di esclusione per quell’intervallo di indirizzi sovrascriverà il comportamento di blocco automatico.
  • Proxy - Gli utenti utilizzano reti proxy (o VPN) per nascondere la propria identità. La maggior parte degli utenti fraudolenti e del traffico generato dai bot proviene da reti proxy, poiché chi agisce in modo illegale non vuole che il proprio indirizzo IP sia identificabile. Il blocco delle reti proxy comporta una riduzione del traffico fraudolento. Si tenga presente che molti utenti privati utilizzano ormai le VPN per motivi di privacy e che questi utenti potrebbero essere bloccati. Si consiglia di aggiornare il messaggio di blocco nella sala d’attesa per avvisare gli utenti legittimi di disattivare le VPN quando utilizzano la vostra applicazione.

Blocco automatico degli indirizzi IP con più di X

In genere, ci si aspetta che una sessione (un singolo token CrowdHandler) corrisponda a un unico indirizzo IP. Se da un unico indirizzo IP si connettono molti token, ciò può indicare la presenza di un bot scraper o di un utente che utilizza più dispositivi o schede anonime. Questo cursore consente di impostare il numero accettabile di sessioni che possono connettersi da un unico indirizzo IP prima che tale indirizzo venga bloccato automaticamente. Un altro motivo per cui potresti riscontrare molte connessioni da un unico indirizzo IP è che quest’ultimo si trovi su una rete aziendale o di un istituto accademico. Ti consigliamo di impostare un limite ragionevole (ad esempio 10) e di aggiungere regole di esclusione per gli indirizzi IP appartenenti a reti che, a tuo giudizio, potrebbero ragionevolmente ospitare più sessioni.

Blocco automatico con punteggi di anomalia superiori a

Questo cursore consente di bloccare automaticamente gli indirizzi IP da cui provengono sessioni con punteggi di anomalia eccessivi. È possibile scegliere il livello a partire dal quale attivare il blocco.

La scheda "Raccomandazioni" ti mostrerà fino a 20 regole consigliate da aggiungere al firewall. Queste si basano sulle osservazioni relative a gruppi di indirizzi IP che hanno attivato blocchi automatici e avvisi sul tuo dominio.

  • Intervallo - Si tratta dell'intervallo CIDR consigliato per il blocco.
  • Icone di Paese e rete: passando il mouse su queste icone vengono visualizzate la città e il provider di servizi Internet associati all'intervallo di indirizzi IP. Cliccandoci sopra si otterranno informazioni più dettagliate.
  • Sessioni - Qui viene visualizzato il numero di sessioni rilevate per l'intervallo di indirizzi IP. Cliccando su questa voce si aprirà la scheda "Sessioni" con tutte le sessioni anomale rilevate da quell'intervallo negli ultimi sette giorni. È possibile utilizzare questa funzione per ottenere una visione più dettagliata del comportamento alla base del suggerimento.
  • Data di inizio e data più recente - Queste date indicano quando gli indirizzi IP compresi in questo intervallo sono stati rilevati per la prima volta e quando sono stati rilevati l'ultima volta.
  • Raccomandazione / Blocco - Se si concorda con la raccomandazione di bloccare l'intervallo, fare clic sul pulsante Blocca. Una regola di blocco permanente verrà aggiunta alla scheda Regole.
  • Ignora - Se non sei d'accordo con la raccomandazione (ad esempio, se ritieni che la rete e il comportamento siano compatibili con un bot "buono"), puoi fare clic sul pulsante Ignora. In questo modo verrà aggiunta una regola di ignoranza nella scheda Regole per quell'intervallo.

Autoblock n.

Il registro dei blocchi automatici fornisce un elenco degli indirizzi IP bloccati automaticamente negli ultimi sette giorni, indicando il motivo del blocco. Per impostazione predefinita, i blocchi automatici durano solo un’ora. È possibile utilizzare il registro dei blocchi automatici per verificare le segnalazioni di falsi positivi. Cliccando su un indirizzo IP nella schermata del registro dei blocchi automatici si aprirà la schermata “Sessioni” con le sessioni anomale filtrate per indirizzo IP, in modo da poter verificare quale comportamento possa aver contribuito al blocco automatico.