Réduire les scans de vulnérabilités de votre site

Si vous utilisez Microsoft IIS ou Apache HTTP Server sous Windows, vous pouvez observer des requêtes répétées vers des pages et fichiers sans rapport avec votre site.

Scripts PHP sur un site ASP.NET, pages de connexion WordPress sur un site qui n'en utilise pas, ou fichiers système Linux recherchés sur Windows : ces cas sont fréquents. Beaucoup produisent des erreurs 404 (Not Found) dans les journaux d'accès.

Les scanners automatisés essaient de nombreuses URL à la recherche d'applications vulnérables, d'identifiants exposés et de sauvegardes oubliées. Votre site n'a pas besoin d'utiliser le logiciel recherché : les mêmes sondages ciblent de nombreux serveurs.

Les extraits suivants montrent certains champs des journaux web. Le premier contient des requêtes répétées vers des fichiers pouvant contenir des identifiants AWS :

Time      Method  URI                      Client IP
22:37:04  GET     /.aws/credentials        195.201.239.198
22:37:25  GET     /.aws/credentials        206.189.134.134
22:37:25  GET     /.aws/credentials        206.189.134.134
01:29:13  GET     /.aws/credentials        20.242.91.172
19:42:29  GET     /.aws/credentials        35.175.99.115
23:19:28  GET     /.aws/s3cfg              45.32.147.219
23:19:28  GET     /.aws/.secrets.json      45.32.147.219

Le second montre des tentatives de traversée de répertoires dans la chaîne de requête. Le scanner essaie différents chemins vers /etc/passwd, un fichier normalement présent sur les systèmes de type Unix :

Time      Method URI Query                     Client IP
12:04:20  GET    /   data1=../etc/passwd       50.53.64.180
12:04:20  GET    /   data1=../etc/passwd%00    50.53.64.180
12:04:21  GET    /   data1=../../etc/passwd    50.53.64.180
12:04:21  GET    /   data1=../../etc/passwd%00 50.53.64.180

Même infructueux, ces sondages consomment du temps processeur, de la mémoire, de la bande passante et de l'espace journal. Un serveur à jour peut rejeter chaque requête tout en dépensant des ressources à traiter les mêmes sources.

RdpGuard réduit ce trafic répétitif. Il surveille les journaux IIS ou Apache, identifie les requêtes correspondant aux règles et bloque temporairement l'IP source lorsque le seuil est atteint. Cette source ne peut plus sonder le serveur pendant le blocage.

Les règles standard détectent les chemins courants d'identifiants et de dépôts, et regroupent les réponses 404 répétées en détections. D'autres règles peuvent cibler vos chemins ou chaînes de requête. Les tentatives ci-dessus nécessitent, par exemple, une règle Query adaptée si leurs réponses ne déclenchent pas déjà une autre règle. Une requête suspecte dans un journal n'est pas automatiquement couverte par tous les jeux de règles.

Gardez votre serveur web, CMS et plugins à jour. Placez les identifiants et sauvegardes privées hors des dossiers publics. Bloquer les scanners complète ces mesures ; cela ne corrige pas un fichier exposé ou une application vulnérable.

Activer et configurer la protection HTTP pour IIS et Apache - choisir les dossiers, adapter les règles et les seuils de blocage.

Derrière un proxy inverse, l'identification et le blocage du client nécessitent des réglages supplémentaires. Consultez les paramètres de proxy et X-Forwarded-For.