Use proxies CIS para todos os registros DNS para o tráfego HTTP de sua origem

Para aumentar a segurança do seu endereço IP de origem, você deve fazer proxy de todo o tráfego HTTP e HTTPS.

Veja a diferença consultando um registro não proxy e um proxy:

dig nonproxied.theburritobot.com +short
1.2.3.4 (The origin IP address)

$ dig proxied.theburritobot.com +short
104.16.22.6 , 104.16.23.6 (CIS IP addresses)

Obscureça registros de origem não proxy com nomes não padrão

Todos os registros que não podem ser submetidos a proxy por meio do site CIS e que ainda usam o seu IP de origem, como o FTP, podem ser protegidos com a criação de ofuscação adicional. Em particular, se você precisar de um registro para a sua origem que não possa ser representado por CIS, use um nome não padrão. Por exemplo, em vez de ftp.example.com use [random word or-random characters].example.com. Este ofuscamento torna as varreduras de dicionário de seus registros DNS menos propensos a expor seus endereços IP de origem.

Use intervalos de IP separados para tráfego HTTP e não HTTP, se possível

Alguns clientes usam intervalos de IP separados para tráfego HTTP e não HTTP. Essa abordagem os ajuda a fazer proxy de todos os registros para o intervalo de IPs HTTP e a ocultar todo o tráfego que não seja HTTP com uma sub-rede de IP diferente.

Aumentar o nível de segurança de áreas sensíveis para 'Alto'

Você pode aumentar esse nível na página Advanced Security do seu domínio ou adicionar uma Page Rule às páginas de administração ou de login para reduzir as tentativas de força bruta:

1. Crie uma Regra de página com o padrão de URL de sua API (por exemplo, www.example.com/wp-login).
2. Identifique a configuração de Nível de segurança.
3. Marque a configuração como Alto.
4. Selecione Recurso de provisão.

Diminuir o nível de segurança para caminhos ou APIs não sensíveis para reduzir os falsos positivos

Você pode diminuir esse nível para páginas gerais e tráfego de API:

1. Crie uma Regra de página com o padrão de URL de sua API (por exemplo, www.example.com/api/*).
2. Identifique a configuração de Nível de segurança.
3. Coloque o nível de segurança em Baixo ou Essencialmente desligado.
4. Selecione Recurso de provisão.

O que significam as configurações de nível de segurança?

Nossas configurações de nível de segurança estão alinhadas com pontuações de ameaça que certos endereços IP adquirem do comportamento malicioso em nossa rede. Uma pontuação de ameaça maior que 10 é considerada alta.

• ALTO: pontuações de ameaça maiores que 0 são desafiadas.
• MÉDIO: pontuações de ameaça maiores que 14 são desafiadas.
• BAIXO: pontuações de ameaça maiores que 24 são desafiadas.
• ESSENCIALMENTE DESATIVADO: pontuações de ameaça maiores que 49 são desafiadas.
• DESATIVADO: somente Enterprise
• Modo de defesa: Esse nível deve ser usado somente quando seu site estiver sendo atacado pelo DDoS. Os visitantes recebem uma página intersticial por cerca de cinco segundos, enquanto o site CIS analisa o tráfego e o comportamento para garantir que é um visitante legítimo que está tentando acessar seu site.O modo de defesa pode afetar algumas ações em seu domínio, como o uso de uma API. Você pode definir um nível de segurança personalizado para sua API ou qualquer outra parte do seu domínio criando uma regra de página para essa seção.

Considere a possibilidade de revisar periodicamente suas configurações de nível de segurança. É possível localizar instruções em Melhores práticas para configuração do CIS.

Upload de certificados customizados

Você pode carregar seu certificado personalizado clicando em Add Certificate e inserindo seu certificado, chave privada e método de pacote. Depois de carregar o certificado personalizado, você obtém compatibilidade imediata com o tráfego criptografado e mantém o controle sobre o seu certificado (por exemplo, um certificado EV (Extended Validation, validação estendida)). O site CIS não oferece suporte à fixação de certificados por meio de certificados ordenados ou universais. Se quiser usar a fixação de certificados, recomendamos que você carregue e mantenha seu próprio certificado personalizado.

Você é responsável por gerenciar seu certificado se fizer o upload de um certificado personalizado. Por exemplo, o site CIS não rastreia a data de expiração do certificado.

Pedido de certificados dedicados

CIS simplifica o gerenciamento de seus certificados, oferecendo certificados dedicados. Não é mais necessário gerar chaves privadas, criar solicitações de assinatura de certificado (CSR) ou lembrar-se de renovar os certificados. Você pode solicitar um certificado dedicado clicando em Add Certificate e solicitando um certificado curinga ou inserindo nomes de host para solicitar um certificado personalizado dedicado. Os tipos de certificados são:

• SHA-2/ECDSA certificado assinado que usa a chave P-256,
• SHA-2/RSA certificado assinado que usa a chave RSA de 2048 bits e
• SHA-1/RSA certificado assinado que usa a chave RSA de 2048 bits.

CIS pode emitir certificados para todos os domínios de primeiro nível (TLDs), exceto para os seguintes:

• .cu (Cuba)
• .iq (Iraque)
• .ir (Irã)
• .kp (Coreia do Norte)
• .sd (Sudão)
• .ss (Sudão do Sul)
• .ye (Iêmen)

CIS gerencia a data de expiração do certificado. Para editar os nomes de host em seu certificado dedicado customizado, reordene-os e, em seguida, exclua-os. Por exemplo, você solicita um certificado dedicado customizado com o nome de host alpha.yourdomain.com. Para incluir o nome de host beta.yourdomain.com em seu certificado dedicado customizado, solicite outro certificado dedicado customizado com os nomes de host alpha.yourdomain.com e beta.yourdomain.com. Depois disso, você deve excluir o certificado personalizado dedicado original.

Na primeira vez em que você solicita um certificado dedicado, ocorre o processo de Validação de Controle de Domínio (DCV), que gera um registro TXT correspondente. Se você excluir o registro TXT, o processo DCV ocorrerá novamente quando você solicitar outro certificado dedicado. Se você excluir um certificado dedicado, o registro TXT correspondente ao processo DCV não será excluído.

A seguir estão os erros comuns que são vistos quando você solicita certificados dedicados:

• Error connecting to certificate service.
• Error while requesting from certificate service.

Se você receber um erro ao solicitar certificados, atualize a página e tente novamente.

Usar um certificado provisionado

A IBM tem parceria com várias Autoridades de Certificação (CAs) para fornecer certificados curinga de domínio para nossos clientes. Pode ser necessária uma verificação manual para configurar esses certificados. Sua equipe de suporte pode ajudá-lo a executar essas etapas adicionais.

Prioridade de certificado em nossa borda

A lista a seguir indica a prioridade pela qual os certificados são exibidos em nossa borda:

1. Customizado e transferido por upload
2. Customizado dedicado
3. Curinga dedicado
4. Universal

Versão mínima do TLS

Os níveis mais altos do TLS fornecem mais segurança, mas podem evitar que os clientes se conectem ao seu site. Para obter mais informações, consulte Versão mínima do TLS.