Descripción general de las reglas de WAF preconfiguradas de Google Cloud Armor

Las reglas de WAF preconfiguradas de Google Cloud Armor son reglas complejas de firewall de aplicación web (WAF) con decenas de firmas que se compilan a partir de estándares de la industria de código abierto. Cada firma corresponde a una regla de detección de ataques en el conjunto de reglas. Google ofrece estas reglas tal como están. Las reglas permiten que Google Cloud Armor evalúe decenas de firmas de tráfico distintas, ya que consulta las reglas con nombres prácticos en lugar de requerir que definas cada firma de forma manual.

Las reglas de WAF preconfiguradas de Google Cloud Armor se pueden ajustar según tus necesidades. Para obtener más información sobre cómo ajustar las reglas, consulta Ajusta las reglas de WAF preconfiguradas de Google Cloud Armor.

En la siguiente tabla, se incluye una lista completa de las reglas de WAF preconfiguradas que están disponibles para usar en una política de seguridad de Google Cloud Armor. Las fuentes de reglas son el conjunto de reglas principales de ModSecurity (CRS) 3.0 yCRS 3.3.2. Te recomendamos usar la versión 3.3 para obtener una mayor sensibilidad y una mayor variedad de tipos de ataques protegidos. La compatibilidad con CRS 3.0 está en curso.

Además, las siguientes reglas cve-canary están disponibles para todos los clientes de Google Cloud Armor para ayudar a detectar y, de forma opcional, bloquear las siguientes vulnerabilidades:

• Vulnerabilidades de RCE de Log4j CVE-2021-44228 y CVE-2021-45046
• 942550-sqli Vulnerabilidad de contenido con formato JSON

Reglas de ModSecurity preconfiguradas

Cada regla de WAF preconfigurada tiene un nivel de sensibilidad que corresponde a un nivel de paranoia de ModSecurity. Un nivel de sensibilidad más bajo indica una firma de confianza más alta, y es menos probable que genere un falso positivo. Un nivel de sensibilidad más alto aumenta la seguridad, pero también aumenta el riesgo de generar un falso positivo.

Inyección de SQL (SQLi)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de SQLi.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

evaluatePreconfiguredExpr('sqli-v33-stable',
['owasp-crs-v030301-id942110-sqli',
  'owasp-crs-v030301-id942120-sqli',
  'owasp-crs-v030301-id942130-sqli',
  'owasp-crs-v030301-id942150-sqli',
  'owasp-crs-v030301-id942180-sqli',
  'owasp-crs-v030301-id942200-sqli',
  'owasp-crs-v030301-id942210-sqli',
  'owasp-crs-v030301-id942260-sqli',
  'owasp-crs-v030301-id942300-sqli',
  'owasp-crs-v030301-id942310-sqli',
  'owasp-crs-v030301-id942330-sqli',
  'owasp-crs-v030301-id942340-sqli',
  'owasp-crs-v030301-id942361-sqli',
  'owasp-crs-v030301-id942370-sqli',
  'owasp-crs-v030301-id942380-sqli',
  'owasp-crs-v030301-id942390-sqli',
  'owasp-crs-v030301-id942400-sqli',
  'owasp-crs-v030301-id942410-sqli',
  'owasp-crs-v030301-id942470-sqli',
  'owasp-crs-v030301-id942480-sqli',
  'owasp-crs-v030301-id942430-sqli',
  'owasp-crs-v030301-id942440-sqli',
  'owasp-crs-v030301-id942450-sqli',
  'owasp-crs-v030301-id942510-sqli',
  'owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)
          

evaluatePreconfiguredExpr('sqli-v33-stable',
 ['owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)

evaluatePreconfiguredExpr('sqli-v33-stable',
        ['owasp-crs-v030301-id942421-sqli',
         'owasp-crs-v030301-id942432-sqli']
         )

evaluatePreconfiguredExpr('sqli-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

Secuencia de comandos entre sitios (XSS)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de XSS.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

evaluatePreconfiguredExpr('xss-v33-stable',
['owasp-crs-v030301-id941101-xss',
  'owasp-crs-v030301-id941150-xss',
  'owasp-crs-v030301-id941320-xss',
  'owasp-crs-v030301-id941330-xss',
  'owasp-crs-v030301-id941340-xss',
  'owasp-crs-v030301-id941380-xss'
])
          

Todas las firmas para XSS están por debajo del nivel 2 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

evaluatePreconfiguredExpr('xss-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

Inclusión de archivos locales (LFI)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de LFI.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos. Todas las firmas para LFI están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

evaluatePreconfiguredExpr('lfi-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. Todas las firmas para LFI están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

Ejecución de código remoto (RCE)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de RCE.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos. La siguiente configuración funciona para todos los niveles de sensibilidad:

evaluatePreconfiguredExpr('rce-v33-stable',
          ['owasp-crs-v030301-id932200-rce',
           'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable',
           [ 'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. Todas las firmas para RCE están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

Inclusión de archivos remotos (RFI)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de RFI.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

evaluatePreconfiguredExpr('rfi-v33-stable', ['owasp-crs-v030301-id931130-rfi'])

Todas las firmas para RFI están por debajo del nivel 2 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

evaluatePreconfiguredExpr('rfi-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

Aplicación de métodos

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada del método de aplicación.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos. Todas las firmas para la aplicación de métodos están en el nivel 1 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

evaluatePreconfiguredExpr('methodenforcement-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

Detección de escáner

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de detección del analizador.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

evaluatePreconfiguredExpr('scannerdetection-v33-stable',
  ['owasp-crs-v030301-id913101-scannerdetection',
  'owasp-crs-v030301-id913102-scannerdetection']
)
          

evaluatePreconfiguredExpr('scannerdetection-v33-stable')
          

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

Ataque de protocolo

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de RFI.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921151-protocolattack',
  'owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable')
          

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

PHP

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de PHP.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

evaluatePreconfiguredExpr('php-v33-stable',
['owasp-crs-v030301-id933151-php',
  'owasp-crs-v030301-id933131-php',
  'owasp-crs-v030301-id933161-php',
  'owasp-crs-v030301-id933111-php',
  'owasp-crs-v030301-id933190-php']
)
          

evaluatePreconfiguredExpr('php-v33-stable',
  ['owasp-crs-v0303001-id933131-php',
  'owasp-crs-v0303001-id933161-php',
  'owasp-crs-v0303001-id933111-php',
  'owasp-crs-v030301-id933190-php'])
          

evaluatePreconfiguredExpr('php-v33-stable')
          

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

Corrección de la sesión

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de corrección de la sesión.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos. Todas las firmas para la corrección de sesiones están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

evaluatePreconfiguredExpr('sessionfixation-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. Todas las firmas para la corrección de sesiones están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

Ataque de Java

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada del ataque de Java.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944200-java',
 'owasp-crs-v030301-id944210-java',
 'owasp-crs-v030301-id944240-java',
 'owasp-crs-v030301-id944250-java',
 'owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable')
          

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

Ataque de NodeJS

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada del ataque de NodeJs.

Las siguientes firmas de reglas de WAF preconfiguradas solo se incluyen en CRS 3.3.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos. Todas las firmas para el ataque de NodeJS están en el nivel 1 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

evaluatePreconfiguredExpr('nodejs-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. Todas las firmas para el ataque de NodeJS están en el nivel 1 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

CVE y otras vulnerabilidades

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de vulnerabilidad de RCE de Log4j CVE.

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

evaluatePreconfiguredExpr('cve-canary', ['owasp-crs-v030001-id244228-cve',
  'owasp-crs-v030001-id344228-cve'])
          

evaluatePreconfiguredExpr('cve-canary')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

Vulnerabilidad de SQLi en el contenido con formato JSON

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de la firma compatible 942550-sqli, que abarca la vulnerabilidad en la que los atacantes maliciosos pueden omitir el WAF agregando sintaxis JSON a las cargas útiles de inyección de SQL.

Usa la siguiente expresión para implementar la firma:

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

Te recomendamos que también habilites sqli-v33-stable en el nivel de sensibilidad 2 para abordar por completo las anulaciones de la inyección de SQL basadas en JSON.

Limitaciones

Las reglas de WAF preconfiguradas de Google Cloud Armor tienen las siguientes limitaciones:

• Los cambios en las reglas del WAF suelen tardar varios minutos en propagarse.
• Entre los tipos de solicitudes HTTP con un cuerpo de solicitud, Google Cloud Armor solo procesa solicitudes POST. Google Cloud Armor evalúa las reglas preconfiguradas en función de los primeros 8 KB de contenido del cuerpo de POST. Para obtener más información, consulta Limitación de inspección del cuerpo de POST.
• Google Cloud Armor puede analizar y aplicar reglas de WAF preconfiguradas cuando el análisis de JSON está habilitado con un valor de encabezado Content-Type coincidente. Para obtener más información, consulta Análisis de JSON.
• Cuando tienes una exclusión de campo de solicitud adjunta a una regla de WAF preconfigurada, no puedes usar la acción allow. Las solicitudes que coincidan con la excepción se permiten automáticamente.

¿Qué sigue?

• Ajusta las reglas de WAF
• Usa la referencia del lenguaje de reglas personalizadas