Resolver alertas
Resuelve o bloquea una alerta de script en el panel de cside, entiende qué hace cada acción y en qué se diferencia del flujo de revisión de PCI DSS.
Cuando la deteccion de amenazas marca un script en tu sitio, cside genera una alerta en el dashboard. Cada alerta tiene dos acciones: Resolver y Bloquear. Esta pagina explica que hace cada una y cuando usarla.
Resolver una alerta es independiente del flujo de revision de cumplimiento PCI. La pagina de Alertas usa Resolver y Bloquear; el dashboard de PCI DSS usa Revisar y Aprobar. Los dos son independientes.
Encontrar tus alertas
- Abre el dashboard y selecciona tu dominio desde la barra lateral izquierda, o quedate a nivel de equipo para ver las alertas de todos los dominios.
- Ve a Alerts.
- Las alertas se agrupan por el ruleset que las genero. Cada grupo es una tarjeta expandible que muestra el nombre y la descripcion del ruleset, una insignia Low risk, Medium risk o High risk derivada de la puntuacion de riesgo del ruleset (de 1 a 10), y cuantas alertas del grupo estan pending y resolved. Los grupos se ordenan por puntuacion de riesgo, de mayor a menor.
- Expande una tarjeta para listar sus alertas. Cada fila muestra el Type, Target, Impacted Scripts y la hora de Last Triggered, mas una columna Domain en la vista de todos los dominios, y tiene un boton Resolve en linea.
- Haz clic en una fila para abrir la vista de detalle de la alerta, donde estan las acciones Resolver y Bloquear.
Usa el filtro Status (Show only pending alerts) para ocultar las alertas que tu equipo ya ha gestionado, y el cuadro de busqueda para encontrar un objetivo concreto. Una alerta resuelta muestra una insignia Resolved en lugar de su boton Resolve.
Resolver un grupo completo
Cuando un grupo tiene alertas pendientes, la cabecera de su tabla muestra un boton Resolve all. Haz clic en el, introduce un motivo en el dialogo Resolve All Alerts (el comentario es obligatorio) y confirma con Resolve all. Los grupos muy grandes se resuelven por lotes; si quedan alertas pendientes, vuelve a ejecutar Resolve all al cabo de unos minutos.
Una alerta para un script especifico (un objetivo basado en hash) desaparece de esta lista una vez que ese script no se ha visto en tu sitio durante 90 dias, para que la tabla no se llene de alertas de scripts que ya no existen. Las alertas de URL, IP, dominio y hostname no se ven afectadas por esto. Una alerta oculta reaparece si el script vuelve a servirse dentro de la ventana de 90 dias, y un enlace directo a la vista de detalle de una alerta sigue funcionando incluso despues de que desaparezca de la lista.
Resolver
Resolver marca una alerta como revisada. Usala cuando hayas examinado el script marcado y decidido que no necesita ser bloqueado, por ejemplo un cambio que autorizaste, una actualizacion conocida de un proveedor o un falso positivo.
Resolver no bloquea el script; sigue ejecutandose exactamente igual que antes. Registra que tu equipo reviso la alerta y evita que las reglas coincidentes vuelvan a generar alertas sobre este objetivo.
Para resolver una alerta:
- Abre la alerta desde la tabla Alerts.
- Haz clic en Resolve.
- En el dialogo Resolve Alert, ingresa un motivo en el campo de comentario. El comentario es obligatorio.
- Haz clic en Resolve para confirmar.
El badge de estado cambia a Resolved y ves una confirmacion Alert resolved.
Resolver detiene las alertas futuras para este objetivo solo para las reglas que coincidieron. Si una regla diferente coincide con el mismo objetivo mas adelante, aun puede generar una nueva alerta.
Bloquear
Bloquear impide que los scripts que coinciden con el objetivo se ejecuten en los navegadores de tus visitantes. El boton tiene la etiqueta del tipo de objetivo, como Block Hash, Block URL o Block IP.
Para bloquear un objetivo:
- Abre la alerta desde la tabla Alerts.
- Haz clic en el boton Block.
- En el dialogo Block Target, ingresa un motivo en el campo de comentario. El comentario es obligatorio.
- Haz clic en Block para confirmar.
Ves una confirmacion de que el objetivo ha sido bloqueado. Un nuevo bloqueo se aplica en cuanto los visitantes reciben la configuracion actualizada del script de cside.
El bloqueo lo aplica el script de cside en los navegadores de tus visitantes, por lo que funciona en los dominios que usan Script Method. Los dominios en Scan Method no tienen aplicacion en tiempo de ejecucion: usa una cabecera Content Security Policy para impedir que se carguen scripts no autorizados. Consulta Configuracion de Scan Method.
Resolver vs. Bloquear
| Accion | Que hace | Cuando usarla |
|---|---|---|
| Resolver | Marca la alerta como revisada y evita que las reglas coincidentes vuelvan a generar alertas sobre este objetivo. No bloquea el script. | El script marcado es esperado o seguro, y quieres limpiar la alerta. |
| Bloquear | Impide que los scripts que coinciden con el objetivo se ejecuten en los navegadores de tus visitantes. | El script marcado no es deseado y quieres que cside evite que se cargue. |
Revisar lo que ocurrio
Abre una alerta y usa sus pestanas para investigar antes de actuar:
- Payload muestra el contenido del script marcado para objetivos de tipo hash. Para objetivos de URL, IP, dominio y hostname esta pestaña se llama Destination y muestra a donde apunta el objetivo.
- Impacted Scripts lista los scripts que cubre la alerta.
- History registra cada accion de Resolver o Bloquear, quien la realizo y cuando.
- Rulesets muestra las reglas que coincidieron.
Despues de resolver una alerta, la pestana History registra que reglas fueron resueltas y el miembro del equipo que las resolvio.
Thanks for your feedback!