Refuser la vérification de l’URL

La vérification de l’URL refusée examine et bloque les connexions aux URL auxquelles les pirates et les codes malveillants accèdent couramment. Cette vérification contient une liste d’URL qui sont des cibles communes de pirates ou de code malveillant et qui apparaissent rarement, voire jamais, dans des requêtes légitimes. Vous pouvez également ajouter des URL ou des motifs d’URL à la liste. La vérification de l’URL de refus empêche les attaques contre diverses faiblesses de sécurité connues dans les logiciels de serveur Web ou sur de nombreux sites Web.

La vérification de l’URL Refuser est prioritaire sur la vérification de l’URL de démarrage et refuse ainsi toute tentative de connexion malveillante même si une relaxation de l’URL de démarrage permet normalement à une demande de poursuivre.

Dans la boîte de dialogue Modifier la vérification de l’URL refusée, sous l’onglet Général, vous pouvez activer ou désactiver les actions Bloquer, Journal et Statistiques.

Si vous utilisez l’interface de ligne de commande, vous pouvez entrer la commande suivante pour configurer la vérification de l’URL Refuser :

  • set appfw profile <name> -denyURLAction [**block**] [**log**] [**stats**] [**none**]

Pour créer et configurer vos propres URL de refus, vous devez utiliser l’interface graphique. Sous l’onglet Vérifications de la boîte de dialogue Modifier la vérification de l’URL de refus, cliquez sur Ajouter pour ouvrir la boîte de dialogue Ajouter une URL de refus ou sélectionnez une URL de refus définie par l’utilisateur et cliquez sur Ouvrir pour ouvrir la boîte de dialogue Modifier l’URL de refus. L’une ou l’autre des boîtes de dialogue fournit les mêmes options pour créer et configurer une URL de refus.

Voici des exemples d’expressions d’URL Deny :

  • N’autorisez pas les utilisateurs à accéder directement au serveur d’images sur images.example.com :

     ^http://images[.]example[.]com$
    
  • N’autorisez pas les utilisateurs à accéder directement aux scripts CGI (.cgi) ou PERL (.pl) :

     ^http://www[.]example[.]com/([0-9A-Za-z][0-9A-Za-z_-]\*/)\*
     [0-9A-Za-z][0-9A-Za-z_.-]*[.](cgi|pl)$
    
  • Voici la même URL de refus, modifiée pour prendre en charge les caractères non-ASCII :

     ^http://www[.]example[.]com/(([0-9A-Za-z]|x[0-9A-Fa-f][0-9A-Fa-f])
     ([0-9A-Za-z_-]|x[0-9A-Fa-f][0-9A-Fa-f])\*/)\*([0-9A-Za-z]|x[0-9A-Fa-f][0-9A-Fa-f])
     ([0-9A-Za-z_-]|x[0-9A-Fa-f][0-9A-Fa-f])*[.](cgi|pl)$
    

Avertissement :

Les expressions régulières sont puissantes. Surtout si vous n’êtes pas familier avec les expressions régulières au format PCRE, vérifiez les expressions régulières que vous écrivez. Assurez-vous qu’ils définissent exactement l’URL ou le motif que vous voulez bloquer, et rien d’autre. L’utilisation négligente des caractères génériques, et en particulier de la combinaison de métacaractres/caractères génériques (.*), peut avoir des résultats que vous ne voulez pas, tels que le blocage de l’accès au contenu Web que vous n’aviez pas l’intention de bloquer.

Refuser la vérification de l’URL