Panoramica delle regole WAF preconfigurate di Google Cloud Armor

Le regole WAF preconfigurate di Google Cloud Armor sono regole WAF (Web Application Firewall) complesse con decine di firme compilate a partire da standard di settore open source. Ogni firma corrisponde a un rilevamento di attacco nel set di regole. Google offre queste regole così come sono. Le regole consentono a Google Cloud Armor di valutare dozzine di firme di traffico distinte facendo riferimento a regole denominate in modo pratico, anziché richiedere la definizione manuale di ogni firma.

Le regole WAF preconfigurate di Google Cloud Armor possono essere ottimizzate per soddisfare al meglio le tue esigenze. Per maggiori informazioni per informazioni su come ottimizzare le regole, consulta Ottimizzazione delle regole WAF preconfigurate di Google Cloud Armor.

La tabella seguente contiene un elenco completo di regole WAF preconfigurate disponibili per l'uso in un criterio di sicurezza di Google Cloud Armor. Le origini delle regole sono ModSecurity Core Rule Set (CRS) 3.0 e CRS 3.3.2. Ti consigliamo di utilizzare la versione 3.3 per una maggiore sensibilità e per un'ampia gamma di tipi di attacchi protetti. Il supporto di CRS 3.0 è in corso.

Inoltre, le seguenti regole cve-canary sono disponibili per tutti i clienti di Google Cloud Armor per rilevare e, facoltativamente, bloccare le seguenti vulnerabilità:

• Vulnerabilità di Log4j RCE CVE-2021-44228 e CVE-2021-45046
• 942550-sqli Vulnerabilità dei contenuti in formato JSON

Regole ModSecurity preconfigurate

Ogni regola WAF preconfigurata ha un livello di sensibilità che corrisponde a un ModSecurity a livello di paranoia. Un livello di sensibilità più basso indica una firma di confidenza più alta, che è minore. che genererà un falso positivo. Un livello di sensibilità più elevato aumenta la sicurezza, ma aumenta anche il rischio di generare un falso positivo.

SQL injection (SQLi)

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola WAF preconfigurata per le SQLi.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('sqli-v33-stable',
['owasp-crs-v030301-id942110-sqli',
  'owasp-crs-v030301-id942120-sqli',
  'owasp-crs-v030301-id942130-sqli',
  'owasp-crs-v030301-id942150-sqli',
  'owasp-crs-v030301-id942180-sqli',
  'owasp-crs-v030301-id942200-sqli',
  'owasp-crs-v030301-id942210-sqli',
  'owasp-crs-v030301-id942260-sqli',
  'owasp-crs-v030301-id942300-sqli',
  'owasp-crs-v030301-id942310-sqli',
  'owasp-crs-v030301-id942330-sqli',
  'owasp-crs-v030301-id942340-sqli',
  'owasp-crs-v030301-id942361-sqli',
  'owasp-crs-v030301-id942370-sqli',
  'owasp-crs-v030301-id942380-sqli',
  'owasp-crs-v030301-id942390-sqli',
  'owasp-crs-v030301-id942400-sqli',
  'owasp-crs-v030301-id942410-sqli',
  'owasp-crs-v030301-id942470-sqli',
  'owasp-crs-v030301-id942480-sqli',
  'owasp-crs-v030301-id942430-sqli',
  'owasp-crs-v030301-id942440-sqli',
  'owasp-crs-v030301-id942450-sqli',
  'owasp-crs-v030301-id942510-sqli',
  'owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)
          

evaluatePreconfiguredExpr('sqli-v33-stable',
 ['owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)

evaluatePreconfiguredExpr('sqli-v33-stable',
        ['owasp-crs-v030301-id942421-sqli',
         'owasp-crs-v030301-id942432-sqli']
         )

evaluatePreconfiguredExpr('sqli-v33-stable')

In alternativa, puoi configurare una regola a un livello di sensibilità particolare utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Cross-site scripting (XSS)

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola WAF preconfigurata XSS.

Puoi configurare una regola a un determinato livello di sensibilità utilizzo di evaluatePreconfiguredExpr() per disattivare le firme con maggiore sensibilità diversi.

evaluatePreconfiguredExpr('xss-v33-stable',
['owasp-crs-v030301-id941101-xss',
  'owasp-crs-v030301-id941150-xss',
  'owasp-crs-v030301-id941320-xss',
  'owasp-crs-v030301-id941330-xss',
  'owasp-crs-v030301-id941340-xss',
  'owasp-crs-v030301-id941380-xss'
])
          

Tutte le firme per l'XSS sono al di sotto del livello di sensibilità 2. Le seguenti la configurazione funziona per altri livelli di sensibilità:

evaluatePreconfiguredExpr('xss-v33-stable')

In alternativa, puoi configurare una regola a un livello di sensibilità particolare utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Di predefinita, senza configurare la sensibilità del set di regole, Google Cloud Armor valuta tutte le firme.

Inclusione locale di file (LFI)

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola WAF preconfigurata per gli attacchi LFI.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori. Tutte le firme per gli indicatori di livello di rischio sono al livello di sensibilità 1. La seguente configurazione è valida per tutti i livelli di sensibilità:

evaluatePreconfiguredExpr('lfi-v33-stable')

In alternativa, puoi configurare una regola a un livello di sensibilità particolare utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Tutti le firme per LFI sono al livello di sensibilità 1. La seguente configurazione funziona per tutti i livelli di sensibilità:

Esecuzione di codice remoto (RCE)

La tabella seguente fornisce l'ID firma, il livello di sensibilità e descrizione di ogni firma supportata nella regola WAF preconfigurata RCE.

Puoi configurare una regola a un determinato livello di sensibilità utilizzo di evaluatePreconfiguredExpr() per disattivare le firme con maggiore sensibilità diversi. La seguente configurazione funziona per tutti i livelli di sensibilità:

evaluatePreconfiguredExpr('rce-v33-stable',
          ['owasp-crs-v030301-id932200-rce',
           'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable',
           [ 'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Tutte le firme per l'attacco di esecuzione di codice remoto sono a livello di sensibilità 1. La seguente configurazione funziona per tutti i livelli di sensibilità:

Inclusione di file remoti (RFI)

La tabella seguente fornisce l'ID firma, il livello di sensibilità e descrizione di ciascuna firma supportata nella regola WAF preconfigurata di RFI.

Puoi configurare una regola a un determinato livello di sensibilità utilizzo di evaluatePreconfiguredExpr() per disattivare le firme con maggiore sensibilità diversi.

evaluatePreconfiguredExpr('rfi-v33-stable', ['owasp-crs-v030301-id931130-rfi'])

Tutte le firme per le RFI sono al di sotto del livello di sensibilità 2. La seguente configurazione è valida per altri livelli di sensibilità:

evaluatePreconfiguredExpr('rfi-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Di predefinita, senza configurare la sensibilità del set di regole, Google Cloud Armor valuta tutte le firme.

Applicazione del metodo

La tabella seguente fornisce l'ID firma, il livello di sensibilità e descrizione di ogni firma supportata nell'applicazione del metodo preconfigurata personalizzata.

Puoi configurare una regola a un determinato livello di sensibilità utilizzo di evaluatePreconfiguredExpr() per disattivare le firme con maggiore sensibilità diversi. Tutte le firme per l'applicazione del metodo hanno il livello di sensibilità 1. La seguente configurazione funziona per altri livelli di sensibilità:

evaluatePreconfiguredExpr('methodenforcement-v33-stable')

In alternativa, puoi configurare una regola a un livello di sensibilità particolare utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Rilevamento scanner

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata per il rilevamento degli scanner.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('scannerdetection-v33-stable',
  ['owasp-crs-v030301-id913101-scannerdetection',
  'owasp-crs-v030301-id913102-scannerdetection']
)
          

evaluatePreconfiguredExpr('scannerdetection-v33-stable')
          

In alternativa, puoi configurare una regola a un livello di sensibilità particolare utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Attacco di protocollo

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata per gli attacchi di protocollo.

Puoi configurare una regola a un determinato livello di sensibilità utilizzo di evaluatePreconfiguredExpr() per disattivare le firme con maggiore sensibilità diversi.

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921151-protocolattack',
  'owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable')
          

In alternativa, puoi configurare una regola a un livello di sensibilità particolare utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Di predefinita, senza configurare la sensibilità del set di regole, Google Cloud Armor valuta tutte le firme.

PHP

La tabella seguente fornisce l'ID firma, il livello di sensibilità e descrizione di ogni firma supportata nella regola WAF preconfigurata in PHP.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('php-v33-stable',
['owasp-crs-v030301-id933151-php',
  'owasp-crs-v030301-id933131-php',
  'owasp-crs-v030301-id933161-php',
  'owasp-crs-v030301-id933111-php',
  'owasp-crs-v030301-id933190-php']
)
          

evaluatePreconfiguredExpr('php-v33-stable',
  ['owasp-crs-v0303001-id933131-php',
  'owasp-crs-v0303001-id933161-php',
  'owasp-crs-v0303001-id933111-php',
  'owasp-crs-v030301-id933190-php'])
          

evaluatePreconfiguredExpr('php-v33-stable')
          

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Fissazione della sessione

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata di fissazione della sessione.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori. Tutte le firme per la fissazione della sessione sono al livello di sensibilità 1. La seguente configurazione è valida per tutti i livelli di sensibilità:

evaluatePreconfiguredExpr('sessionfixation-v33-stable')

In alternativa, puoi configurare una regola a un livello di sensibilità particolare utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Tutti le firme per la fissazione della sessione sono al livello di sensibilità 1. La seguente configurazione è valida per tutti i livelli di sensibilità:

Attacco Java

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata per gli attacchi Java.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944200-java',
 'owasp-crs-v030301-id944210-java',
 'owasp-crs-v030301-id944240-java',
 'owasp-crs-v030301-id944250-java',
 'owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable')
          

In alternativa, puoi configurare una regola a un livello di sensibilità particolare utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Attacco NodeJS

La tabella seguente fornisce l'ID firma, il livello di sensibilità e descrizione di ogni firma supportata nell’attacco NodeJS preconfigurato personalizzata.

Le seguenti firme delle regole WAF preconfigurate sono incluse solo in CRS 3.3.

Puoi configurare una regola a un determinato livello di sensibilità utilizzo di evaluatePreconfiguredExpr() per disattivare le firme con maggiore sensibilità diversi. Tutte le firme per l'attacco NodeJS sono a livello di sensibilità 1. La la seguente configurazione funziona per altri livelli di sensibilità:

evaluatePreconfiguredExpr('nodejs-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Tutti le firme per l'attacco NodeJS sono al livello di sensibilità 1. Le seguenti la configurazione funziona per altri livelli di sensibilità:

CVE e altre vulnerabilità

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata per la vulnerabilità RCE di Log4j CVE.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('cve-canary', ['owasp-crs-v030001-id244228-cve',
  'owasp-crs-v030001-id344228-cve'])
          

evaluatePreconfiguredExpr('cve-canary')

In alternativa, puoi configurare una regola a un livello di sensibilità particolare utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Di predefinita, senza configurare la sensibilità del set di regole, Google Cloud Armor valuta tutte le firme.

Vulnerabilità SQLi dei contenuti con formattazione JSON

La tabella seguente fornisce l'ID firma, il livello di sensibilità e descrizione della firma supportata 942550-sqli, che copre la vulnerabilità in cui i malintenzionati possono bypassare WAF aggiungendo la sintassi JSON ai payload di SQL injection.

Utilizza la seguente espressione per eseguire il deployment della firma:

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

Ti consigliamo di attivare anche sqli-v33-stable al livello di sensibilità 2 per risolvere completamente i problemi Bypassa SQL injection.

Limitazioni

Le regole WAF preconfigurate di Google Cloud Armor hanno le seguenti limitazioni:

• Tra i tipi di richiesta HTTP con un corpo della richiesta, Google Cloud Armor elabora solo POST richieste. Google Cloud Armor valuta le regole preconfigurate in base ai primi 8 KB dei contenuti del corpo di POST. Per ulteriori informazioni, consulta la limitazione relativa all'ispezione del corpo POST.
• Google Cloud Armor può analizzare e applicare regole WAF preconfigurate quando l'analisi di JSON è abilitata con un valore dell'intestazione Content-Type corrispondente. Per ulteriori informazioni, consulta la sezione Analisi del JSON.
• Quando hai un'esclusione del campo della richiesta associata a una regola WAF preconfigurata, non puoi utilizzare l'azione allow. Le richieste corrispondenti all'eccezione vengono automaticamente consentito.

Passaggi successivi

• Ottimizzazione delle regole WAF
• Utilizzare il riferimento per il linguaggio delle regole personalizzate