CrowdSec 1.8.1 corrige su nueva función de detección de bots

CrowdSec ha publicado la versión 1.8.1, un parche rápido sobre la versión 1.8.0 del mes pasado, que corrige un falso positivo en la función de detección de bots que el proyecto añadió el 31 de agosto. El fallo marcaba como sospechosos a los usuarios del navegador Brave con Shields activado; la 1.8.1 lo corrige junto con tres correcciones menores en el lado de la API local.

Qué ha cambiado y por qué sigue etiquetada como Alpha

La versión 1.8.0 añadió una comprobación de desafío de navegador y huella digital de dispositivo que el módulo AppSec de CrowdSec puede situar delante del tráfico web protegido: emite un desafío de prueba de trabajo, evalúa el resultado y concede una cookie firmada a los clientes que lo superan, mientras que el comportamiento sospechoso repetido se convierte en una alerta y decisión normales de CrowdSec. CrowdSec etiqueta la función como Alpha, lo que significa que su configuración y las reglas distribuidas pueden cambiar entre versiones; conviene saberlo antes de integrarla en una política de bloqueo en producción sin un paso de revisión.

El bucle defensivo para los perímetros de MSP

El patrón operativo que hace útil a CrowdSec para los perímetros gestionados no ha cambiado con esta versión: inventariar qué perímetros emiten realmente los registros de autenticación, WAF o proxy que CrowdSec necesita analizar; suscribirse a los escenarios y listas de bloqueo del hub que coincidan con esas fuentes de registro; desplegar bouncers —los componentes que actúan sobre las decisiones de CrowdSec— solo donde la política de corrección del cliente lo haya aprobado; y programar la revisión de falsos positivos dentro de ventanas de cambio acordadas, en lugar de dejar que las reglas de bloqueo funcionen sin supervisión. Ese bucle se aplica tanto si un sitio concreto activa la nueva comprobación de detección de bots como si no.

Despliegue de la 1.8.1

• Si la detección de bots de la 1.8.0 ya está desplegada, actualice a la 1.8.1 para eliminar el falso positivo de Brave antes de que genere tickets de soporte.
• Trate la detección de bots como Alpha en cualquier SLA de cara al cliente: espere que sus reglas cambien en versiones posteriores.
• Mantenga un registro de auditoría de quién aprobó cada regla de corrección por inquilino; ese registro importa más que la propia función de detección cuando un cliente pregunta por qué se bloqueó el tráfico.

Fuentes: Notas de la versión CrowdSec v1.8.1, Help Net Security.