Reducir los escaneos de vulnerabilidades de su sitio

Si utiliza Microsoft IIS o Apache HTTP Server en Windows, puede observar solicitudes repetidas a páginas y archivos ajenos a su sitio.

Scripts PHP en un sitio ASP.NET, páginas de acceso de WordPress en un sitio que no lo utiliza o archivos de sistema Linux buscados en Windows: son casos frecuentes. Muchos producen errores 404 (Not Found) en los registros de acceso.

Los escáneres automatizados prueban numerosas URL en busca de aplicaciones vulnerables, credenciales expuestas y copias de seguridad olvidadas. Su sitio no necesita utilizar el software buscado: los mismos sondeos se dirigen a muchos servidores.

Los siguientes extractos muestran algunos campos de los registros web. El primero contiene solicitudes repetidas a archivos que pueden contener credenciales AWS:

Time      Method  URI                      Client IP
22:37:04  GET     /.aws/credentials        195.201.239.198
22:37:25  GET     /.aws/credentials        206.189.134.134
22:37:25  GET     /.aws/credentials        206.189.134.134
01:29:13  GET     /.aws/credentials        20.242.91.172
19:42:29  GET     /.aws/credentials        35.175.99.115
23:19:28  GET     /.aws/s3cfg              45.32.147.219
23:19:28  GET     /.aws/.secrets.json      45.32.147.219

El segundo muestra intentos de recorrido de directorios en la cadena de consulta. El escáner prueba distintas rutas a /etc/passwd, un archivo normalmente presente en sistemas de tipo Unix:

Time      Method URI Query                     Client IP
12:04:20  GET    /   data1=../etc/passwd       50.53.64.180
12:04:20  GET    /   data1=../etc/passwd%00    50.53.64.180
12:04:21  GET    /   data1=../../etc/passwd    50.53.64.180
12:04:21  GET    /   data1=../../etc/passwd%00 50.53.64.180

Aunque no tengan éxito, estos sondeos consumen tiempo de CPU, memoria, ancho de banda y espacio de registro. Un servidor actualizado puede rechazar cada solicitud y aun así gastar recursos procesando los mismos orígenes.

RdpGuard reduce este tráfico repetitivo. Supervisa los registros IIS o Apache, identifica solicitudes que coinciden con las reglas y bloquea temporalmente la IP de origen cuando se alcanza el umbral. Ese origen no puede seguir sondeando el servidor durante el bloqueo.

Las reglas estándar detectan rutas habituales de credenciales y repositorios y agrupan las respuestas 404 repetidas en detecciones. Otras reglas pueden centrarse en sus rutas o cadenas de consulta. Por ejemplo, los intentos anteriores requieren una regla Query adecuada si sus respuestas no activan ya otra regla. Una solicitud sospechosa en un registro no está cubierta automáticamente por todos los conjuntos de reglas.

Mantenga su servidor web, CMS y plugins actualizados. Guarde las credenciales y copias de seguridad privadas fuera de las carpetas públicas. Bloquear escáneres complementa estas medidas; no corrige un archivo expuesto ni una aplicación vulnerable.

Habilitar y configurar la protección HTTP para IIS y Apache - elegir carpetas y adaptar reglas y umbrales de bloqueo.

Detrás de un proxy inverso, identificar y bloquear al cliente requiere ajustes adicionales. Consulte la configuración de proxy y X-Forwarded-For.