Panoramica delle regole WAF preconfigurate di Google Cloud Armor

Le regole WAF preconfigurate di Google Cloud Armor sono regole WAF (Web Application Firewall) complesse con decine di firme compilate a partire da standard di settore open source. Ogni firma corrisponde a una regola di rilevamento degli attacchi nel set di regole. Google offre queste regole così come sono. Le regole consentono a Google Cloud Armor di valutare dozzine di firme di traffico distinte facendo riferimento a regole denominate in modo pratico, anziché richiedere la definizione manuale di ogni firma.

Le regole WAF preconfigurate di Google Cloud Armor possono essere ottimizzate in base alle tue esigenze. Per ulteriori informazioni su come ottimizzare le regole, consulta Ottimizzare le regole WAF preconfigurate di Google Cloud Armor.

La tabella seguente contiene un elenco completo delle regole WAF preconfigurate che possono essere utilizzate in un criterio di sicurezza di Google Cloud Armor. Le origini delle regole sono ModSecurity Core Rule Set (CRS) 3.0 e CRS 3.3.2. Ti consigliamo di utilizzare la versione 3.3 per una maggiore sensibilità e per un'ampia gamma di tipi di attacchi protetti. Il supporto di CRS 3.0 è in corso.

Inoltre, le seguenti regole cve-canary sono disponibili per tutti i clienti di Google Cloud Armor per rilevare e, facoltativamente, bloccare le seguenti vulnerabilità:

• Vulnerabilità di Log4j RCE CVE-2021-44228 e CVE-2021-45046
• 942550-sqli Vulnerabilità dei contenuti in formato JSON

Regole ModSecurity preconfigurate

Ogni regola WAF preconfigurata ha un livello di sensibilità che corrisponde a un livello di paranoia di ModSecurity. Un livello di sensibilità più basso indica una firma di attendibilità più elevata, che ha meno probabilità di generare un falso positivo. Un livello di sensibilità più elevato aumenta la sicurezza, ma aumenta anche il rischio di generare un falso positivo.

SQL injection (SQLi)

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola WAF preconfigurata per le SQLi.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('sqli-v33-stable',
['owasp-crs-v030301-id942110-sqli',
  'owasp-crs-v030301-id942120-sqli',
  'owasp-crs-v030301-id942130-sqli',
  'owasp-crs-v030301-id942150-sqli',
  'owasp-crs-v030301-id942180-sqli',
  'owasp-crs-v030301-id942200-sqli',
  'owasp-crs-v030301-id942210-sqli',
  'owasp-crs-v030301-id942260-sqli',
  'owasp-crs-v030301-id942300-sqli',
  'owasp-crs-v030301-id942310-sqli',
  'owasp-crs-v030301-id942330-sqli',
  'owasp-crs-v030301-id942340-sqli',
  'owasp-crs-v030301-id942361-sqli',
  'owasp-crs-v030301-id942370-sqli',
  'owasp-crs-v030301-id942380-sqli',
  'owasp-crs-v030301-id942390-sqli',
  'owasp-crs-v030301-id942400-sqli',
  'owasp-crs-v030301-id942410-sqli',
  'owasp-crs-v030301-id942470-sqli',
  'owasp-crs-v030301-id942480-sqli',
  'owasp-crs-v030301-id942430-sqli',
  'owasp-crs-v030301-id942440-sqli',
  'owasp-crs-v030301-id942450-sqli',
  'owasp-crs-v030301-id942510-sqli',
  'owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)
          

evaluatePreconfiguredExpr('sqli-v33-stable',
 ['owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)

evaluatePreconfiguredExpr('sqli-v33-stable',
        ['owasp-crs-v030301-id942421-sqli',
         'owasp-crs-v030301-id942432-sqli']
         )

evaluatePreconfiguredExpr('sqli-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Cross-site scripting (XSS)

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola WAF preconfigurata XSS.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('xss-v33-stable',
['owasp-crs-v030301-id941101-xss',
  'owasp-crs-v030301-id941150-xss',
  'owasp-crs-v030301-id941320-xss',
  'owasp-crs-v030301-id941330-xss',
  'owasp-crs-v030301-id941340-xss',
  'owasp-crs-v030301-id941380-xss'
])
          

Tutte le firme per XSS sono al di sotto del livello di sensibilità 2. La seguente configurazione è valida per altri livelli di sensibilità:

evaluatePreconfiguredExpr('xss-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Inclusione di file locali (LFI)

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola WAF preconfigurata per gli attacchi LFI.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori. Tutte le firme per gli indicatori di livello di rischio sono al livello di sensibilità 1. La seguente configurazione è valida per tutti i livelli di sensibilità:

evaluatePreconfiguredExpr('lfi-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Tutte le firme per gli indicatori di livello di rischio sono a livello di sensibilità 1. La seguente configurazione funziona per tutti i livelli di sensibilità:

Esecuzione di codice remoto (RCE)

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola WAF preconfigurata per gli attacchi di esecuzione di codice remoto (RCE).

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori. La seguente configurazione funziona per tutti i livelli di sensibilità:

evaluatePreconfiguredExpr('rce-v33-stable',
          ['owasp-crs-v030301-id932200-rce',
           'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable',
           [ 'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Tutte le firme per l'attacco di esecuzione di codice remoto sono a livello di sensibilità 1. La seguente configurazione è valida per tutti i livelli di sensibilità:

Inclusione di file remoti (RFI)

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola WAF preconfigurata per le richieste di informazioni.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('rfi-v33-stable', ['owasp-crs-v030301-id931130-rfi'])

Tutte le firme per le RFI sono al di sotto del livello di sensibilità 2. La seguente configurazione è valida per altri livelli di sensibilità:

evaluatePreconfiguredExpr('rfi-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Applicazione del metodo

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola di applicazione preconfigurata del metodo.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori. Tutte le firme per l'applicazione del metodo sono a livello di sensibilità 1. La seguente configurazione funziona per altri livelli di sensibilità:

evaluatePreconfiguredExpr('methodenforcement-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Rilevamento dello scanner

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata per il rilevamento degli scanner.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('scannerdetection-v33-stable',
  ['owasp-crs-v030301-id913101-scannerdetection',
  'owasp-crs-v030301-id913102-scannerdetection']
)
          

evaluatePreconfiguredExpr('scannerdetection-v33-stable')
          

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Attacco di protocollo

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata per gli attacchi di protocollo.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921151-protocolattack',
  'owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable')
          

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

PHP

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola WAF preconfigurata per PHP.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('php-v33-stable',
['owasp-crs-v030301-id933151-php',
  'owasp-crs-v030301-id933131-php',
  'owasp-crs-v030301-id933161-php',
  'owasp-crs-v030301-id933111-php',
  'owasp-crs-v030301-id933190-php']
)
          

evaluatePreconfiguredExpr('php-v33-stable',
  ['owasp-crs-v0303001-id933131-php',
  'owasp-crs-v0303001-id933161-php',
  'owasp-crs-v0303001-id933111-php',
  'owasp-crs-v030301-id933190-php'])
          

evaluatePreconfiguredExpr('php-v33-stable')
          

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Fissaggio della sessione

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata di fissazione della sessione.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori. Tutte le firme per la fissazione della sessione sono a livello di sensibilità 1. La seguente configurazione è valida per tutti i livelli di sensibilità:

evaluatePreconfiguredExpr('sessionfixation-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Tutte le firme per la fissazione della sessione sono a livello di sensibilità 1. La seguente configurazione è valida per tutti i livelli di sensibilità:

Attacco Java

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata per gli attacchi Java.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944200-java',
 'owasp-crs-v030301-id944210-java',
 'owasp-crs-v030301-id944240-java',
 'owasp-crs-v030301-id944250-java',
 'owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable')
          

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Attacco Node.js

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata per gli attacchi NodeJS.

Le seguenti firme delle regole WAF preconfigurate sono incluse solo in CRS 3.3.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori. Tutte le firme per l'attacco NodeJS sono a livello di sensibilità 1. La seguente configurazione funziona per altri livelli di sensibilità:

evaluatePreconfiguredExpr('nodejs-v33-stable')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Tutte le firme per gli attacchi NodeJS sono a livello di sensibilità 1. La seguente configurazione è valida per altri livelli di sensibilità:

CVE e altre vulnerabilità

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione di ogni firma supportata nella regola preconfigurata per la vulnerabilità RCE di Log4j CVE.

Puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredExpr() per disattivare le firme a livelli di sensibilità superiori.

evaluatePreconfiguredExpr('cve-canary', ['owasp-crs-v030001-id244228-cve',
  'owasp-crs-v030001-id344228-cve'])
          

evaluatePreconfiguredExpr('cve-canary')

In alternativa, puoi configurare una regola a un determinato livello di sensibilità utilizzando evaluatePreconfiguredWaf() con un parametro di sensibilità preimpostato. Per impostazione predefinita, senza configurare la sensibilità dell'insieme di regole, Google Cloud Armor valuta tutte le firme.

Vulnerabilità SQLi dei contenuti in formato JSON

La tabella seguente fornisce l'ID firma, il livello di sensibilità e la descrizione della firma supportata 942550-sqli, che copre la vulnerabilità in cui gli utenti malintenzionati possono aggirare il WAF aggiungendo la sintassi JSON ai payload di SQL injection.

Utilizza la seguente espressione per eseguire il deployment della firma:

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

Ti consigliamo di attivare anche sqli-v33-stable a livello di sensibilità 2 per risolvere completamente i aggiramenti di SQL injection basati su JSON.

Limitazioni

Le regole WAF preconfigurate di Google Cloud Armor presentano le seguenti limitazioni:

• In genere, la propagazione delle modifiche alle regole WAF richiede diversi minuti.
• Tra i tipi di richieste HTTP con un corpo della richiesta, Google Cloud Armor elabora solo le richieste POST. Google Cloud Armor valuta le regole preconfigurate in base ai primi 8 KB dei contenuti del corpo di POST. Per ulteriori informazioni, consulta la limitazione relativa all'ispezione del corpo POST.
• Google Cloud Armor può analizzare e applicare regole WAF preconfigurate quando l'analisi di JSON è abilitata con un valore dell'intestazione Content-Type corrispondente. Per ulteriori informazioni, consulta la sezione Analisi del JSON.
• Quando hai un'esclusione del campo della richiesta associata a una regola WAF preconfigurata, non puoi usare l'azione allow. Le richieste corrispondenti all'eccezione sono consentite automaticamente.

Passaggi successivi

• Ottimizzare le regole WAF
• Utilizzare il riferimento per il linguaggio delle regole personalizzate