Présentation des règles WAF préconfigurées de Google Cloud Armor

Les règles WAF préconfigurées Google Cloud Armor sont des règles complexes de pare-feu d'application Web (WAF, web application firewall) composées de dizaines de signatures, qui sont compilées à partir des normes Open Source. Chaque signature correspond à une règle de détection d'attaques dans l'ensemble de règles. Google propose ces règles en l'état. Elles permettent à Google Cloud Armor d'évaluer des dizaines de signatures de trafic distinctes en se référant à des règles bien nommées, plutôt que de vous obliger à définir chaque signature manuellement.

Les règles WAF préconfigurées de Google Cloud Armor peuvent être adaptées à vos besoins. Pour en savoir plus sur la façon d'ajuster les règles, consultez la section Ajuster les règles WAF préconfigurées de Google Cloud Armor.

Le tableau suivant contient une liste complète des règles WAF préconfigurées pouvant être utilisées dans une stratégie de sécurité Google Cloud Armor. Les sources de règles sont ModSecurity Core Rule Set (CRS) 3.0 et CRS 3.3.2. Nous vous recommandons d'utiliser la version 3.3 pour renforcer la sensibilité et pour une plus grande étendue des types d'attaque protégés. La prise en charge de CRS 3.0 est en cours.

En outre, les règles cve-canary suivantes sont disponibles pour tous les clients Google Cloud Armor afin d'aider à détecter et éventuellement bloquer les failles suivantes:

• Vulnérabilités RCE Log4j CVE-2021-44228 et CVE-2021-45046
• Vulnérabilité du contenu au format JSON 942550-sqli

Règles ModSecurity préconfigurées

Chaque règle WAF préconfigurée a un niveau de sensibilité qui correspond à un niveau de paranoïa ModSecurity. Un niveau de sensibilité inférieur indique une signature à confiance élevée, qui est moins susceptible de générer un faux positif. Un niveau de sensibilité plus élevé augmente la sécurité, mais augmente également le risque de générer un faux positif.

Injection SQL (SQLi)

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle WAF préconfigurée SQLi.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs.

evaluatePreconfiguredExpr('sqli-v33-stable',
['owasp-crs-v030301-id942110-sqli',
  'owasp-crs-v030301-id942120-sqli',
  'owasp-crs-v030301-id942130-sqli',
  'owasp-crs-v030301-id942150-sqli',
  'owasp-crs-v030301-id942180-sqli',
  'owasp-crs-v030301-id942200-sqli',
  'owasp-crs-v030301-id942210-sqli',
  'owasp-crs-v030301-id942260-sqli',
  'owasp-crs-v030301-id942300-sqli',
  'owasp-crs-v030301-id942310-sqli',
  'owasp-crs-v030301-id942330-sqli',
  'owasp-crs-v030301-id942340-sqli',
  'owasp-crs-v030301-id942361-sqli',
  'owasp-crs-v030301-id942370-sqli',
  'owasp-crs-v030301-id942380-sqli',
  'owasp-crs-v030301-id942390-sqli',
  'owasp-crs-v030301-id942400-sqli',
  'owasp-crs-v030301-id942410-sqli',
  'owasp-crs-v030301-id942470-sqli',
  'owasp-crs-v030301-id942480-sqli',
  'owasp-crs-v030301-id942430-sqli',
  'owasp-crs-v030301-id942440-sqli',
  'owasp-crs-v030301-id942450-sqli',
  'owasp-crs-v030301-id942510-sqli',
  'owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)
          

evaluatePreconfiguredExpr('sqli-v33-stable',
 ['owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)

evaluatePreconfiguredExpr('sqli-v33-stable',
        ['owasp-crs-v030301-id942421-sqli',
         'owasp-crs-v030301-id942432-sqli']
         )

evaluatePreconfiguredExpr('sqli-v33-stable')

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Par défaut, sans configurer de sensibilité à l'ensemble de règles, Google Cloud Armor évalue toutes les signatures.

Script intersites (XSS)

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle WAF préconfigurée XSS.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs.

evaluatePreconfiguredExpr('xss-v33-stable',
['owasp-crs-v030301-id941101-xss',
  'owasp-crs-v030301-id941150-xss',
  'owasp-crs-v030301-id941320-xss',
  'owasp-crs-v030301-id941330-xss',
  'owasp-crs-v030301-id941340-xss',
  'owasp-crs-v030301-id941380-xss'
])
          

Toutes les signatures pour XSS sont inférieures au niveau de sensibilité 2. La configuration suivante fonctionne pour d'autres niveaux de sensibilité :

evaluatePreconfiguredExpr('xss-v33-stable')

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Par défaut, sans configurer de sensibilité à l'ensemble de règles, Google Cloud Armor évalue toutes les signatures.

Inclusion de fichiers locaux (LFI)

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle WAF préconfigurée LFI.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs. Toutes les signatures pour LFI sont au niveau de sensibilité 1. La configuration suivante fonctionne pour tous les niveaux de sensibilité :

evaluatePreconfiguredExpr('lfi-v33-stable')

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Toutes les signatures pour LFI sont au niveau de sensibilité 1. La configuration suivante fonctionne pour tous les niveaux de sensibilité :

Exécution de code à distance (RCE)

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle WAF préconfigurée RCE.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs. La configuration suivante fonctionne pour tous les niveaux de sensibilité:

evaluatePreconfiguredExpr('rce-v33-stable',
          ['owasp-crs-v030301-id932200-rce',
           'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable',
           [ 'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable')

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Toutes les signatures pour le RCE sont au niveau de sensibilité 1. La configuration suivante fonctionne pour tous les niveaux de sensibilité :

Inclusion de fichiers à distance (RFI)

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle WAF préconfigurée RFI.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs.

evaluatePreconfiguredExpr('rfi-v33-stable', ['owasp-crs-v030301-id931130-rfi'])

Toutes les signatures pour RFI sont inférieures au niveau de sensibilité 2. La configuration suivante fonctionne pour d'autres niveaux de sensibilité :

evaluatePreconfiguredExpr('rfi-v33-stable')

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Par défaut, sans configurer de sensibilité à l'ensemble de règles, Google Cloud Armor évalue toutes les signatures.

Application de la méthode

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle préconfigurée d'application de la méthode.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs. Toutes les signatures de l'application de la méthode sont au niveau de sensibilité 1. La configuration suivante fonctionne pour d'autres niveaux de sensibilité :

evaluatePreconfiguredExpr('methodenforcement-v33-stable')

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Par défaut, sans configurer de sensibilité à l'ensemble de règles, Google Cloud Armor évalue toutes les signatures.

Détection du scanner

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle préconfigurée de détection du scanner.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs.

evaluatePreconfiguredExpr('scannerdetection-v33-stable',
  ['owasp-crs-v030301-id913101-scannerdetection',
  'owasp-crs-v030301-id913102-scannerdetection']
)
          

evaluatePreconfiguredExpr('scannerdetection-v33-stable')
          

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Par défaut, sans configurer de sensibilité à l'ensemble de règles, Google Cloud Armor évalue toutes les signatures.

Attaque de protocole

Le tableaux suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle préconfigurée d'attaque de protocole.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs.

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921151-protocolattack',
  'owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable')
          

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Par défaut, sans configurer de sensibilité à l'ensemble de règles, Google Cloud Armor évalue toutes les signatures.

PHP

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle WAF préconfigurée PHP.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs.

evaluatePreconfiguredExpr('php-v33-stable',
['owasp-crs-v030301-id933151-php',
  'owasp-crs-v030301-id933131-php',
  'owasp-crs-v030301-id933161-php',
  'owasp-crs-v030301-id933111-php',
  'owasp-crs-v030301-id933190-php']
)
          

evaluatePreconfiguredExpr('php-v33-stable',
  ['owasp-crs-v0303001-id933131-php',
  'owasp-crs-v0303001-id933161-php',
  'owasp-crs-v0303001-id933111-php',
  'owasp-crs-v030301-id933190-php'])
          

evaluatePreconfiguredExpr('php-v33-stable')
          

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Par défaut, sans configurer de sensibilité à l'ensemble de règles, Google Cloud Armor évalue toutes les signatures.

Réparation des sessions

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle préconfigurée de réparation des sessions.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs. Toutes les signatures pour la réparation des sessions sont au niveau de sensibilité 1. La configuration suivante fonctionne pour tous les niveaux de sensibilité :

evaluatePreconfiguredExpr('sessionfixation-v33-stable')

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Toutes les signatures pour la réparation des sessions sont au niveau de sensibilité 1. La configuration suivante fonctionne pour tous les niveaux de sensibilité :

Attaque Java

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle préconfigurée d'attaque Java.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs.

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944200-java',
 'owasp-crs-v030301-id944210-java',
 'owasp-crs-v030301-id944240-java',
 'owasp-crs-v030301-id944250-java',
 'owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable')
          

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Par défaut, sans configurer de sensibilité à l'ensemble de règles, Google Cloud Armor évalue toutes les signatures.

Attaque NodeJS

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle préconfigurée d'attaque NodeJS.

Les signatures de règles WAF préconfigurées suivantes ne sont incluses que dans CRS 3.3.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs. Toutes les signatures de l'attaque NodeJS sont au niveau de sensibilité 1. La configuration suivante fonctionne pour d'autres niveaux de sensibilité :

evaluatePreconfiguredExpr('nodejs-v33-stable')

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Toutes les signatures de l'attaque NodeJS sont au niveau de sensibilité 1. La configuration suivante fonctionne pour d'autres niveaux de sensibilité :

CVE et autres failles

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de chaque signature compatible dans la règle préconfigurée de la faille RCE Log4j CVE.

Vous pouvez configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredExpr() pour désactiver les signatures à des niveaux de sensibilité supérieurs.

evaluatePreconfiguredExpr('cve-canary', ['owasp-crs-v030001-id244228-cve',
  'owasp-crs-v030001-id344228-cve'])
          

evaluatePreconfiguredExpr('cve-canary')

Vous pouvez également configurer une règle à un niveau de sensibilité particulier en utilisant evaluatePreconfiguredWaf() avec un paramètre de sensibilité prédéfini. Par défaut, sans configurer de sensibilité à l'ensemble de règles, Google Cloud Armor évalue toutes les signatures.

Faille SQLi dans le contenu au format JSON

Le tableau suivant fournit l'ID de signature, le niveau de sensibilité et la description de la signature compatible 942550-sqli, qui couvre la faille permettant aux pirates informatiques malveillants de contourner le WAF en ajoutant une syntaxe JSON aux charges utiles d'injection SQL.

Utilisez l'expression suivante pour déployer la signature:

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

Nous vous recommandons également d'activer sqli-v33-stable au niveau de sensibilité 2 pour résoudre complètement les cas de contournement d'injection SQL basés sur JSON.

Limites

Les règles préconfigurées Google Cloud Armor présentent les limites suivantes :

• La propagation des modifications apportées aux règles du WAF prend généralement plusieurs minutes.
• Parmi les types de requêtes HTTP avec un corps de requête, Google Cloud Armor ne traite que les requêtes POST. Google Cloud Armor évalue les règles préconfigurées par rapport aux huit premiers ko du contenu du corps POST. Pour en savoir plus, consultez la section Limite d'inspection du corps POST.
• Google Cloud Armor peut analyser et appliquer des règles WAF préconfigurées lorsque l'analyse JSON est activée avec une valeur d'en-tête Content-Type correspondante. Pour en savoir plus, consultez la section Analyse JSON.
• Lorsqu'une exclusion de champ de requête est associée à une règle WAF préconfigurée, vous ne pouvez pas utiliser l'action allow. Les requêtes correspondant à l'exception sont automatiquement autorisées.

Étape suivante

• Ajuster les règles WAF
• Utiliser la documentation de référence sur le langage des règles personnalisées