TLS-отпечатки

Под TLS-отпечатком подразумевается уникальный паттерн взаимодействия приложения с сервером на этапе установки TLS-соединения, представленный в виде строкового значения (md5hashString). Если вы знаете набор TLS-отпечатков доверенных устройств, то можете блокировать запросы от источников, чьи TLS-отпечатки отличаются.

Этот метод основан на анализе уникальных параметров TLS в запросе и сравнении их с заранее определённым или настроенным набором TLS-отпечатков. TLS-отпечаток извлекается из запроса TLS (ClientHello) и может включать такие параметры, как версия TLS, поддерживаемые наборы шифров и другие характеристики.

Настройте правила обработки запросов для митигации нежелательного трафика с использованием TLS-отпечатков¶

1. На странице Основные настройки (в боковом меню настроек выбранной сервисной конфигурации) на вкладке Обработка запросов нажмите на кнопку Детали набора правил для перехода к странице Управление набором правил сервисной конфигурации.
2. Создайте новое правило с критерием tls.ngx_fp_hash и действием setHeader для передачи TLS-отпечатка на сервера оригинации своего веб-ресурса. Таким образом вы получите статистические данные о TLS-отпечатках своего трафика.
3. Проанализируйте самостоятельно трафик на основе полученных TLS-отпечатков и выявите нежелательные TLS-отпечатки.
4. На странице Списки (боковое меню настроек Аккаунта) создайте новый список и внесите в него TLS-отпечатки, которые вы определили как нежелательные при анализе трафика своего веб-ресурса. Опционально можно также создать список легитимных TLS-отпечатков.
5. На странице Управление набором правил вашей сервисной конфигурации создайте новые правила обработки запросов:
   1. С критерием tls.ngx_fp_hash, списком нежелательных TLS-отпечатков и действием deny — для блокировки нежелательного трафика, основываясь на TLS-отпечатке.
   2. С критерием tls.ngx_fp_hash, указанием списка легитимных TLS-отпечатков и действием allow — для пропуска легитимного трафика.
   3. С критерием tls.ngx_fp_hash в комбинации с дополнительным критерием bot_management.source_category и действием botChallenge — для корректировки классификации запросов сервисом Bot Detection.