Resolver alertas | cside docs

Quando a detecção de ameaças sinaliza um script, o cside gera um alerta. Todos os alertas oferecem Resolver. Alvos de URL, IP, hostname e domínio também podem oferecer Bloquear se a equipe tiver acesso ao bloqueio. Alertas de hash oferecem somente Resolver.

Resolver alertas é independente da revisão e aprovação PCI DSS. A resolução registra a investigação; ela não aprova um fornecedor para PCI DSS nem bloqueia um script.

Encontrar seus alertas

Abra Alerts no painel. Você também pode clicar no indicador de alertas pendentes em Home para abrir os pendentes de todos os domínios da equipe.
Use o seletor de domínios no topo de Alerts para escolher um domínio. Digite parte do nome para buscar, ou selecione All Domains para a visão de toda a equipe.
Os alertas são agrupados pelo ruleset que os gerou. Cada grupo e um cartao expansivel que mostra o nome e a descricao do ruleset, um selo Low risk, Medium risk ou High risk derivado da pontuacao de risco de 1 a 10 do ruleset, e quantos alertas do grupo estão pending e resolved. Os grupos são ordenados pela pontuacao de risco, do maior para o menor.
Expanda um cartao para listar seus alertas. Cada linha mostra o Type, Target, Impacted Scripts e o horario de Last Triggered, alem de uma coluna Domain na visão de todos os domínios, e tem um botão Resolve inline.
Abra uma linha para investigar o alerta e usar Resolver, ou Bloquear para um alvo compatível que não seja um hash.

Use o filtro Status (Show only pending alerts) para ocultar os alertas que sua equipe ja tratou, e a caixa de busca para encontrar um alvo específico. Um alerta resolvido mostra um selo Resolved no lugar do botão Resolve.

Trocar de domínio preserva sua busca por alvo e o filtro de pendentes. O seletor permite escolher um domínio por vez ou All Domains. Consulte Navegação no painel para conhecer os outros seletores de domínio e os totais de Home.

Os indicadores usam 1-3 para risco baixo, 4-7 para médio e 8-10 para alto. Resolve all se aplica ao grupo de regras no escopo atual: o domínio selecionado ou todos os domínios da equipe com All Domains. Revise o escopo antes de confirmar.

Resolvendo um grupo inteiro

Quando um grupo tem alertas pendentes, o cabecalho da sua tabela mostra um botão Resolve all. Clique nele, informe um motivo na caixa de diálogo Resolve All Alerts (o comentario e obrigatorio) e confirme com Resolve all. Grupos muito grandes são resolvidos em lotes; se alguns alertas continuarem pendentes, execute Resolve all novamente depois de alguns minutos.

Um alerta para um script específico (um alvo baseado em hash) desaparece desta lista quando esse script não e visto no seu site ha 90 dias, para que a tabela não fique cheia de alertas de scripts que ja não existem mais. Alertas de URL, IP, domínio e hostname não são afetados por isso. Um alerta oculto reaparece se o script voltar a ser servido dentro da janela de 90 dias, e um link direto para a visualizacao de detalhes de um alerta continua funcionando mesmo depois de desaparecer da lista.

Resolver

Resolver marca um alerta como revisado. Use esta ação quando tiver examinado o script marcado e decidido que ele não precisa ser bloqueado, por exemplo uma alteracao que voce autorizou, uma atualizacao conhecida de um fornecedor ou um falso positivo.

Resolver não bloqueia o script; ele continua funcionando exatamente como antes. Registra que sua equipe revisou o alerta e impede que as regras correspondentes gerem novos alertas para este alvo.

Para resolver um alerta:

Abra o alerta na tabela Alerts.
Clique em Resolve.
Na caixa de diálogo Resolve Alert, insira um motivo no campo de comentario. Um comentario e obrigatorio.
Clique em Resolve para confirmar.

O badge de status muda para Resolved e voce ve uma confirmação Alert resolved.

Resolver interrompe futuros alertas para este alvo apenas para as regras que corresponderam. Se uma regra diferente corresponder ao mesmo alvo posteriormente, ela ainda poderá gerar um novo alerta.

Bloquear

Bloquear impede que scripts correspondentes ao alvo sejam executados nos navegadores dos seus visitantes. O botão tem o rótulo do tipo de alvo, como Block URL ou Block IP. Alertas de hash não tem ação de Bloquear, apenas Resolver.

Para bloquear um alvo:

Abra o alerta na tabela Alerts.
Clique no botão Block.
Na caixa de diálogo Block Target, insira um motivo no campo de comentario. Um comentario e obrigatorio.
Clique em Block para confirmar.

Voce ve uma confirmação de que o alvo foi bloqueado. Um novo bloqueio passa a valer assim que os visitantes recebem a configuração atualizada do script do cside.

O bloqueio e aplicado pelo script do cside nos navegadores dos seus visitantes, portanto vale para domínios em Script Method. Domínios em Scan Method não tem aplicacao em tempo de execução: use um cabecalho Content Security Policy para impedir o carregamento de scripts não autorizados. Consulte Configuração do Scan Method.

Resolver vs. Bloquear

Ação	O que faz	Quando usar
Resolver	Marca o alerta como revisado e impede que as regras correspondentes gerem novos alertas para este alvo. Não bloqueia o script.	O script marcado e esperado ou seguro, e voce quer limpar o alerta.
Bloquear	Impede que scripts correspondentes sejam executados nos navegadores dos seus visitantes. Não disponível para alertas do tipo hash.	O script marcado e indesejado e voce quer que o cside impeca que ele seja carregado.

Revisar o que aconteceu

Abra um alerta e use suas abas para investigar antes de agir:

Payload exibe o conteúdo do script marcado para alvos de hash. Para alvos de URL, IP, domínio e hostname, esta aba se chama Destination e mostra para onde o alvo aponta.
Impacted Scripts lista os scripts que o alerta abrange.
History registra resoluções e, para alvos compatíveis, bloqueios, incluindo o autor e a data.
Rulesets exibe as regras que corresponderam.

Após resolver um alerta, a aba History registra quais regras foram resolvidas e o membro da equipe que as resolveu.