Übersicht über die vorkonfigurierten WAF-Regeln für Google Cloud Armor

Vorkonfigurierte WAF-Regeln für Google Cloud Armor sind komplexe Web Application Firewall (WAF)-Regeln mit Dutzenden von Signaturen, die aus Open-Source-Branchenstandards kompiliert wurden. Jede Signatur entspricht einer Angriffserkennungsregel im Regelsatz. Google bietet diese Regeln wie besehen an. Die Regeln ermöglichen es Google Cloud Armor, Dutzende von unterschiedlichen Traffic-Signaturen auszuwerten. Dabei bezieht sich Google Cloud Armor auf Regeln, die praktischerweise benannt sind, anstatt dass Sie jede Signatur manuell definieren müssen.

Vorkonfigurierte WAF-Regeln für Google Cloud Armor können an Ihre Anforderungen angepasst werden. Weitere Informationen zum Optimieren der Regeln finden Sie unter Vorkonfigurierte WAF-Regeln für Google Cloud Armor optimieren.

Die folgende Tabelle enthält eine umfassende Liste vorkonfigurierter WAF-Regeln, die in einer Google Cloud Armor-Sicherheitsrichtlinie verwendet werden können. Die Regelquellen sind ModSecurity Core Rule Set (CRS) 3.0 und CRS 3.3.2. Wir empfehlen Ihnen, Version 3.3 zu verwenden, um die Empfindlichkeit zu erhöhen und eine Vielzahl geschützter Angriffstypen zu erhalten. Derzeit wird CRS 3.0 unterstützt.

Darüber hinaus stehen allen Google Cloud Armor-Kunden die folgenden cve-canary-Regeln zur Verfügung, um die folgenden Sicherheitslücken zu erkennen und optional zu blockieren:

• Log4j-RCE-Sicherheitslücken CVE-2021-44228 und CVE-2021-45046
• 942550-sqli Sicherheitslücke bei JSON-formatierten Inhalten

Vorkonfigurierte ModSecurity-Regeln

Jede vorkonfigurierte WAF-Regel hat eine Empfindlichkeitsstufe, die einer ModSecurity-Paranoia-Ebene entspricht. Eine niedrigere Empfindlichkeitsstufe weist auf eine vertrauenswürdigere Signatur hin, bei der die Wahrscheinlichkeit eines falsch-positiven Ergebnisses geringer ist. Eine höhere Empfindlichkeitsstufe erhöht die Sicherheit, erhöht aber auch das Risiko, ein falsch-positives Ergebnis zu erzeugen.

SQL-Injection (SQLi)

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten WAF-Regel für SQLi.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren.

evaluatePreconfiguredExpr('sqli-v33-stable',
['owasp-crs-v030301-id942110-sqli',
  'owasp-crs-v030301-id942120-sqli',
  'owasp-crs-v030301-id942130-sqli',
  'owasp-crs-v030301-id942150-sqli',
  'owasp-crs-v030301-id942180-sqli',
  'owasp-crs-v030301-id942200-sqli',
  'owasp-crs-v030301-id942210-sqli',
  'owasp-crs-v030301-id942260-sqli',
  'owasp-crs-v030301-id942300-sqli',
  'owasp-crs-v030301-id942310-sqli',
  'owasp-crs-v030301-id942330-sqli',
  'owasp-crs-v030301-id942340-sqli',
  'owasp-crs-v030301-id942361-sqli',
  'owasp-crs-v030301-id942370-sqli',
  'owasp-crs-v030301-id942380-sqli',
  'owasp-crs-v030301-id942390-sqli',
  'owasp-crs-v030301-id942400-sqli',
  'owasp-crs-v030301-id942410-sqli',
  'owasp-crs-v030301-id942470-sqli',
  'owasp-crs-v030301-id942480-sqli',
  'owasp-crs-v030301-id942430-sqli',
  'owasp-crs-v030301-id942440-sqli',
  'owasp-crs-v030301-id942450-sqli',
  'owasp-crs-v030301-id942510-sqli',
  'owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)
          

evaluatePreconfiguredExpr('sqli-v33-stable',
 ['owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)

evaluatePreconfiguredExpr('sqli-v33-stable',
        ['owasp-crs-v030301-id942421-sqli',
         'owasp-crs-v030301-id942432-sqli']
         )

evaluatePreconfiguredExpr('sqli-v33-stable')

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Standardmäßig wertet Google Cloud Armor alle Signaturen aus, ohne die Empfindlichkeit des Regelsatzes zu konfigurieren.

Cross-Site-Scripting (XSS)

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten WAF-Regel für XSS.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren.

evaluatePreconfiguredExpr('xss-v33-stable',
['owasp-crs-v030301-id941101-xss',
  'owasp-crs-v030301-id941150-xss',
  'owasp-crs-v030301-id941320-xss',
  'owasp-crs-v030301-id941330-xss',
  'owasp-crs-v030301-id941340-xss',
  'owasp-crs-v030301-id941380-xss'
])
          

Alle Signaturen für XSS liegen unter der Empfindlichkeitsstufe 2. Die folgende Konfiguration funktioniert für andere Empfindlichkeitsstufen:

evaluatePreconfiguredExpr('xss-v33-stable')

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Standardmäßig wertet Google Cloud Armor alle Signaturen aus, ohne die Empfindlichkeit des Regelsatzes zu konfigurieren.

Aufnahme lokaler Dateien (Local File Inclusion, LFI)

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten WAF-Regel für LFI.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren. Alle Signaturen für LFI entsprechen der Empfindlichkeitsstufe 1. Die folgende Konfiguration funktioniert für alle Empfindlichkeitsstufen:

evaluatePreconfiguredExpr('lfi-v33-stable')

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Alle Signaturen für LFI entsprechen der Empfindlichkeitsstufe 1. Die folgende Konfiguration funktioniert für alle Empfindlichkeitsstufen:

Codeausführung per Fernzugriff (Remote Code Execution, RCE)

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten WAF-Regel für RCE.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren. Die folgende Konfiguration funktioniert für alle Empfindlichkeitsstufen:

evaluatePreconfiguredExpr('rce-v33-stable',
          ['owasp-crs-v030301-id932200-rce',
           'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable',
           [ 'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable')

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Alle Signaturen für RCE entsprechen der Empfindlichkeitsstufe 1. Die folgende Konfiguration funktioniert für alle Empfindlichkeitsstufen:

Datei-Aufnahme per Fernzugriff (Remote File Inclusion, RFI)

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten WAF-Regel für RFI.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren.

evaluatePreconfiguredExpr('rfi-v33-stable', ['owasp-crs-v030301-id931130-rfi'])

Alle Signaturen für RFI liegen unter der Empfindlichkeitsstufe 2. Die folgende Konfiguration funktioniert für andere Empfindlichkeitsstufen:

evaluatePreconfiguredExpr('rfi-v33-stable')

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Standardmäßig wertet Google Cloud Armor alle Signaturen aus, ohne die Empfindlichkeit des Regelsatzes zu konfigurieren.

Methodenerzwingung

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten Methodenerzwingungsregel.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren. Alle Signaturen für die Methodenerzwingung entsprechen der Empfindlichkeitsstufe 1. Die folgende Konfiguration funktioniert für andere Empfindlichkeitsstufen:

evaluatePreconfiguredExpr('methodenforcement-v33-stable')

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Standardmäßig wertet Google Cloud Armor alle Signaturen aus, ohne die Empfindlichkeit des Regelsatzes zu konfigurieren.

Scannererkennung

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten Scannererkennungsregel.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren.

evaluatePreconfiguredExpr('scannerdetection-v33-stable',
  ['owasp-crs-v030301-id913101-scannerdetection',
  'owasp-crs-v030301-id913102-scannerdetection']
)
          

evaluatePreconfiguredExpr('scannerdetection-v33-stable')
          

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Standardmäßig wertet Google Cloud Armor alle Signaturen aus, ohne die Empfindlichkeit des Regelsatzes zu konfigurieren.

Protokollangriff

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten Protokollangriffsregel.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren.

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921151-protocolattack',
  'owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable')
          

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Standardmäßig wertet Google Cloud Armor alle Signaturen aus, ohne die Empfindlichkeit des Regelsatzes zu konfigurieren.

PHP

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten WAF-Regel für PHP.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren.

evaluatePreconfiguredExpr('php-v33-stable',
['owasp-crs-v030301-id933151-php',
  'owasp-crs-v030301-id933131-php',
  'owasp-crs-v030301-id933161-php',
  'owasp-crs-v030301-id933111-php',
  'owasp-crs-v030301-id933190-php']
)
          

evaluatePreconfiguredExpr('php-v33-stable',
  ['owasp-crs-v0303001-id933131-php',
  'owasp-crs-v0303001-id933161-php',
  'owasp-crs-v0303001-id933111-php',
  'owasp-crs-v030301-id933190-php'])
          

evaluatePreconfiguredExpr('php-v33-stable')
          

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Standardmäßig wertet Google Cloud Armor alle Signaturen aus, ohne die Empfindlichkeit des Regelsatzes zu konfigurieren.

Sitzungsfixierung

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten Sitzungsfixierungsregel.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren. Alle Signaturen für die Sitzungsfixierung entsprechen der Empfindlichkeitsstufe 1. Die folgende Konfiguration funktioniert für alle Empfindlichkeitsstufen:

evaluatePreconfiguredExpr('sessionfixation-v33-stable')

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Alle Signaturen für die Sitzungsfixierung entsprechen der Empfindlichkeitsstufe 1. Die folgende Konfiguration funktioniert für alle Empfindlichkeitsstufen:

Java-Angriff

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten Java-Angriffsregel.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren.

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944200-java',
 'owasp-crs-v030301-id944210-java',
 'owasp-crs-v030301-id944240-java',
 'owasp-crs-v030301-id944250-java',
 'owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable')
          

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Standardmäßig wertet Google Cloud Armor alle Signaturen aus, ohne die Empfindlichkeit des Regelsatzes zu konfigurieren.

NodeJS-Angriff

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten NodeJS-Angriffsregel.

Die folgenden vorkonfigurierten WAF-Regelsignaturen sind nur in CRS 3.3 enthalten.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren. Alle Signaturen für NodeJS-Angriffe entsprechen der Empfindlichkeitsstufe 1. Die folgende Konfiguration funktioniert für andere Empfindlichkeitsstufen:

evaluatePreconfiguredExpr('nodejs-v33-stable')

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Alle Signaturen für den NodeJS-Angriff entsprechen der Empfindlichkeitsstufe 1. Die folgende Konfiguration funktioniert für andere Empfindlichkeitsstufen:

CVEs und andere Sicherheitslücken

Die folgende Tabelle enthält die Signatur-ID, Empfindlichkeitsstufe und Beschreibung jeder unterstützten Signatur in der vorkonfigurierten Regel für die CVE-Log4j-RCE-Sicherheitslücke.

Sie können eine Regel für eine bestimmte Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredExpr(), um Signaturen für höhere Empfindlichkeitsstufen zu deaktivieren.

evaluatePreconfiguredExpr('cve-canary', ['owasp-crs-v030001-id244228-cve',
  'owasp-crs-v030001-id344228-cve'])
          

evaluatePreconfiguredExpr('cve-canary')

Alternativ können Sie eine Regel mit einer bestimmten Empfindlichkeitsstufe konfigurieren. Verwenden Sie dazu evaluatePreconfiguredWaf() mit einem voreingestellten Empfindlichkeitsparameter. Standardmäßig wertet Google Cloud Armor alle Signaturen aus, ohne die Empfindlichkeit des Regelsatzes zu konfigurieren.

SQLi-Sicherheitslücke bei JSON-formatierten Inhalten

Die folgende Tabelle enthält die Signatur-ID, die Empfindlichkeitsstufe und die Beschreibung der unterstützten Signatur 942550-sqli. Diese Signatur deckt die Sicherheitslücke ab, bei der böswillige Angreifer die WAF umgehen können, indem sie SQL-Injection-Nutzlasten JSON-Syntax hinzufügen.

Verwenden Sie den folgenden Ausdruck, um die Signatur bereitzustellen:

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

Wir empfehlen, sqli-v33-stable auch auf Sensibilitätsstufe 2 zu aktivieren, um JSON-basierte SQL-Injection-Umgehungen vollständig zu beheben.

Beschränkungen

Vorkonfigurierte WAF-Regeln für Google Cloud Armor unterliegen den folgenden Einschränkungen:

• Es kann einige Minuten dauern, bis WAF-Regeländerungen übernommen werden.
• Von den HTTP-Anfragetypen mit einem Anfragetext verarbeitet Google Cloud Armor nur POST-Anfragen. Google Cloud Armor wertet vorkonfigurierte Regeln für die ersten 8 KB des Textinhalts POST aus. Weitere Informationen finden Sie unter POST-Beschränkung von Textkörperinspektion.
• Google Cloud Armor kann vorkonfigurierte WAF-Regeln parsen und anwenden, wenn die JSON-Analyse mit einem übereinstimmenden Content-Type-Headerwert aktiviert ist. Weitere Informationen finden Sie unter JSON-Parsing.
• Wenn einer vorkonfigurierten WAF-Regel ein Anfragefeldausschluss zugeordnet ist, können Sie die Aktion allow nicht verwenden. Anfragen, die der Ausnahme entsprechen, werden automatisch zugelassen.

Nächste Schritte

• WAF-Regeln optimieren
• Referenz der Sprache für benutzerdefinierte Regeln verwenden