应用配置

RASP探针说明

支持防护的Java进程

• JDK支持范围：支持JDK 6及以上版本，不支持JDK 13和14，不支持JDK 8中的1.8.0_40及以下版本。

• 中间件支持范围：对中间件类型和版本无特定要求，包括Tomcat、SpringBoot、Jboss、WildFly、Jetty、Resin、Weblogic、Websphere、Liberty、Netty、GlassFish、国产中间件等。

• 操作系统支持：Linux（64位）、Windows（64位）。

支持防护的PHP进程

• PHP版本支持范围： 7.0 ~ 8.3 版本，同时支持线程安全（ts，Thread Safe）和非线程安全（nts，Non-Thread Safe）版本。

• SAPI（Server Application Programming Interface）支持范围：PHP-FPM（FastCGI Process Manager）和Apache PHP模块。

• 操作系统支持：仅支持Linux x86架构（64位）。

• 系统库依赖：glibc 2.14 及以上、libstdc++ 3.4.19 及以上。

资源使用量阈值说明

在主机、容器或JVM资源使用量超过一定阈值时，为了保证应用防护功能的正常运行，自动接入方式会暂停接入RASP探针，直到降到阈值以下才会继续安装RASP探针；手动接入方式无此限制。停止安装探针的具体阈值如下：

• 主机或容器CPU占用超过98%，或剩余内存不足200 MB。

• JVM堆内存剩余不足150 MB，元数据空间不足5 MB。

步骤一：查看哪些应用可以接入

由于应用进程是动态变化的，在购买应用防护授权数后，您可以参考下述步骤查看支持接入RASP进行防护的Java和PHP应用进程列表。

1. 登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。

2. 在左侧导航栏，选择防护配置 > RASP。

3. 在防护统计区域，单击立即扫描。

   单击立即扫描后，云安全中心客户端将会对您资产中进程信息进行采集。

   说明

   • 包年包月服务：免费版、仅采购增值服务版、防病毒版和高级版每天仅支持执行一次立即扫描操作。企业版和旗舰版用户可不限次执行扫描。

   • 按量付费服务：

     • 开通主机及容器安全功能，每天可不限次执行立即扫描操作，仅支持扫描绑定了防护等级：主机全面防护或主机及容器全面防护的服务器。

     • 未开通主机及容器安全功能，每天仅可执行一次扫描。

4. 查看您资产中存在的应用进程数量，您可以单击数字查看应用进程列表。应用进程列表提供了支持接入应用防护的应用进程所在服务器信息、进程名、PID（进程标识符）和启动参数。

   重要

   • 防护一个应用进程需消耗一个应用防护授权数。进程数量是动态变化的，此处采集的数据是执行扫描的时刻状态为启动中的进程。您可以根据这里的数量，预估需要购买的应用防护授权数。

   • 如果您之前执行过扫描操作，系统将自动保存并展示7天内的扫描数据。超过7天的扫描数据将自动被清理。执行扫描后，采集到的服务器最新数据将覆盖之前已有的服务器数据。

   

步骤二：购买应用防护授权数

您需要购买足够的应用防护授权数，才能将应用接入到应用防护中。在购买云安全中心时，选择需要的版本（任一版本）和应用防护授权数即可。具体操作，请参见购买云安全中心。

步骤三：接入应用防护

一、创建应用分组

1. 登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。

2. 在左侧导航栏，选择防护配置 > RASP。

3. 在应用配置页签，单击新建应用分组。

4. 在新建应用分组向导页面，输入要新建的应用分组名称，选择应用语言（Java或PHP）和备注信息，然后单击下一步。

二、自动接入或手动接入

接入方式说明

自动接入

1. （可选）在自动/手动接入应用防护向导页面自动接入页签，单击接入黑名单或接入白名单，设置需要自动接入的进程。

   通过设置黑名单或白名单，您可以定义自动接入的进程范围。具体操作，请参见新增白名单或黑名单。

2. 在自动/手动接入应用防护向导页面自动接入页签，单击选择资产接入应用防护。

3. 在选择资产面板，选择需要接入的资产后，单击确定。

   执行该步骤后，应用防护功能会自动识别并接入所选主机上的Java服务进程（包括容器环境），无需重启进程。单次最多支持选择50台服务器。

   根据您的网络环境不同接入防护的过程可能会持续约10分钟。如果您的主机中有多个运行状态的Java进程，云安全中心会同时接入满足接入规则的进程。

4. 查看应用进程接入状态。

   您可以在应用防护接入状态列查看应用实例的接入状态。以下是应用防护接入状态的说明：

   • 未连接：表示该服务器未开启应用防护开关。

   • 接入失败：表示该服务器所有支持防护的应用都接入失败。

   • 部分接入：表示该服务器支持防护的应用部分接入成功，部分接入失败。

   • 全部接入：表示该服务器支持防护的Java应用均已接入应用防护，或者该服务器上无可接入的进程。

     说明

     应用防护接入状态显示为全部接入时，如果服务器上不存在可接入的进程，或者所属业务进程不在支持范围内，此时接入详情列表为空。如果后续该服务器上出现可接入的进程可自动接入应用防护。

   在操作列单击详情，可以查看已接入的Java进程状态。

   说明

   如果您已为应用分组配置接入规则，命中接入黑名单的规则和未命中接入白名单规则的进程会被跳过接入。

   

手动接入主机

在自动/手动接入应用防护向导页面手动接入页签，按照主机接入指南子页签的接入步骤，安装RASP探针，再重启应用。单击下一步。

重启应用前，您需要根据应用运行环境进行相关部署。下表以部署应用的JVM参数为例介绍重启应用时的运行环境部署。如果遇到需要配置的中间件不在列表的情况，在配置参数时，您需要使用主机接入指南页签展示的应用ID替换{appId}。应用ID的位置如下图所示：

export CATALINA_OPTS="$CATALINA_OPTS -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar"

set CATALINA_OPTS=%CATALINA_OPTS% "-javaagent:C:\Program Files (x86)\Alibaba\Aegis\rasp\apps\{appId}\rasp.jar" 

--exec -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar

java -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar

java -jar app.jar

java -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar -jar app.jar

-javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar

在本地重启需接入的应用。应用重启后RASP防护可立即生效。您可以在应用配置页面，查看该应用分组下接入实例列表。

手动接入容器（一键推送安装）

1. 在手动接入页签的容器接入指南子页签，单击一键推送。

   您也可以在推送记录页签，单击推送RASP探针，为应用所在的主机或容器推送并安装RASP探针。

2. 在推送RASP探针对话框，选择需推送探针的服务器，并单击确定。

3. 启动RASP探针。

   • 方法一：写入Dockerfile方式

     1. 执行下述命令进入Dockerfile所在目录，并创建rasp目录。

        cd <Dockerfile所在目录>
        mkdir rasp

     2. 执行下述命令将推送到服务器上的RASP文件拷贝到新创建的rasp目录下。

        您可以在云安全中心控制台容器接入指南页签下，获取应用分组ID的值。

        cp -r /usr/local/aegis/rasp/apps/<应用分组ID>/* ./rasp

     3. 修改Dockerfile文件，将下载好的 rasp 安装包打包到容器镜像中。Dockerfile文件需要添加的内容如下。

        COPY rasp /rasp/

        重要

        您需要赋予指定用户读取和执行/rasp/目录以及目录下文件的权限。

     4. 通过Dockerfile 修改JVM启动参数，添加-javaagent:/rasp/rasp.jar。

        您需要使用容器接入指南页签展示的Dmanager.key值替换下表中的{manager.key}。

        运行环境	参数配置说明
        SpringBoot	在镜像打包时安装RASP探针，您需要在Dockerfile上修改启动参数。启动应用的命令修改如下： 修改前： CMD ["java","-jar","/app.jar"] 修改后： CMD ["java","-javaagent:/rasp/rasp.jar","-Dmanager.key={manager.key}","-jar","/app.jar"]
        Tomcat	在镜像打包时安装RASP探针，您需要在Dockerfile中添加以下内容。 ENV JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}" 在容器启动时安装RASP探针，您需要在启动时添加以下参数。 docker --env JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}" 例如，您的容器启动命令为docker -itd --name=test -P 镜像名，您需要在启动容器时安装RASP探针，则执行的命令需要修改为docker -itd --env JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}" --name=test -P 镜像名。
        Weblogic

     5. 重新生成镜像，并启动容器。

   • 方法二：数据卷挂载方式

     1. 执行下述命令在创建容器时将服务器上的rasp目录挂载到容器指定目录。

        docker run -itd --privileged=true -v /usr/local/aegis/rasp/apps/<应用分组ID>:/rasp/ 镜像ID

     2. 执行下述命令进入容器。

        docker exec -it <容器ID> /bin/bash

     3. 在应用服务器的启动脚本中添加以下JVM参数以启动RASP探针。

        您需要参考下述参数结合自己的业务环境进行配置。您需要使用容器接入指南页签展示的Dmanager.key值替换下述{manager.key}。

        -javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}

三、设置防护策略

在观察告警无误设置“防护”模式向导页面，设置防护策略，单击确定。

步骤四：验证应用接入情况

如果应用进程的PID展示在应用分组的已授权实例列表中，则说明该应用已正常接入应用防护。参考以下步骤可查看已接入的应用列表。

1. 在应用防护页面的应用配置页签，单击目标应用分组已授权进程列下的数字。

2. 在实例详情面板，查看已接入的应用列表。

   如果目标服务器的应用进程PID在应用列表中，则表示该应用已成功接入应用防护。

   

步骤五：管理防护策略组

为满足不同业务情况下的安全需求，应用防护功能对攻击检测规则的能力进行分级，提供了内置的防护策略组：业务优先组（默认宽松规则组）、正常运营组（默认标准规则组）和防护优先组（默认严格规则组）。

每个默认防护策略组内的规则检测模式均相同，例如默认业务优先组（默认宽松规则组）内所有攻击规则的检测模式均为宽松；您可以根据实际需要使用对应规则组，或自定义规则组。

检测模式说明

为了平衡不同业务场景下误报率和攻击防护强度，应用防护功能定义了多种检测模式：宽松、标准和严格。这三种模式的防护能力从低到高逐级递增，误报率也是从低到高。

• 宽松：只覆盖已知攻击特征，极少误报。

• 标准（默认）：覆盖常见攻击特征，并具有部分泛化推理能力，适用于日常运维场景。

• 严格：支持识别更多隐蔽的攻击行为，适用于重保场景，但存在一定的误报风险。

新建防护策略组

1. 在应用配置页签，单击页面右上角管理设置。

2. 在管理设置面板防护策略管理页签，单击新建防护策略组。

3. 在新建防护策略组面板，输入防护策略组名称，选择应用语言，并单击检测类型右侧的选择配置检测类型。

4. 在选择检测类型面板，选中需要的检测类型，并设置检测模式，选择完成后，单击确定。

   例如，在已有的告警中，您发现SQL注入误报较多，您可以将SQL注入检测项的检测模式修改为宽松。

   

相关操作

授权数管理

• 查看应用防护剩余授权数

  防护一个应用进程实例会消耗一个授权数。在使用应用防护功能时，请确保您拥有充足的剩余授权数。购买应用防护授权数后，您可以在应用防护页面应用配置页签查看剩余授权数。

  

  • 进行自动接入时，无法选择主机资产进行接入。

    说明

    如果在自动接入的过程中授权数消耗完，应用进程可正常接入，但是超出授权数部分的进程实例状态为未授权。

  • 使用手动接入方式可正常接入应用进程，但实例状态为未授权。未授权状态的实例没有受到防护。

• 扩充应用防护授权数

  如果需要防护的应用实例数量大于剩余授权数，您需要在应用防护页面应用配置页签，单击剩余授权数右侧的升级，前往相应页面购买应用防护授权数。

修改应用分组的防护策略

您可以参考下述步骤修改应用分组的防护策略。

1. 在应用防护页面的应用配置页签，单击目标应用分组操作列的防护策略。

2. 在防护策略面板，修改防护状态、防护模式、防护策略组、检测策略和常用配置等信息。

3. 单击确定。

4. （可选）在应用配置页签，参考下述说明进行批量操作。

   • 修改为防护模式：选中目标应用分组，单击列表下方的全部防护，即可将选中应用分组的防护模式修改为防护。

   • 修改为监控模式：选中目标应用分组，单击列表下方的全部监控，即可将选中应用分组的防护模式修改为监控。

   • 禁用检测或防护：选中目标应用分组，单击列表下方的全部禁用，即可禁用选中的应用分组的防护能力。禁用会关闭当前应用分组内应用实例的防护功能，不检测也不阻断任何攻击行为。

   • 启用检测或防护：选中目标应用分组，单击列表下方的全部启用，即可启用选中的应用分组。

关闭应用防护

关闭单个应用的防护

查看探针版本

在应用防护页面应用配置页签，单击目标应用分组接入实例列的数字，查看已接入的实例列表。如果应用实例RASP版本列右侧显示图标，代表该应用实例安装的探针存在新版本，建议您重启应用来自动更新探针版本。