Cloud Armor の事前構成 WAF ルールの概要

Google Cloud Armor の事前構成 WAF ルールは、オープンソースの業界標準から集められた多数のシグネチャを持つ複雑なウェブ アプリケーション ファイアウォール（WAF）ルールです。各シグネチャはルールセット内の攻撃検出ルールに対応しています。Google はこれらのルールをそのまま提供します。Cloud Armor では、これらのわかりやすい名前が付いたルールを参照することで、数十の異なるトラフィック シグネチャを評価できます。ユーザーが各シグネチャを手動で定義する必要はありません。

Google Cloud Armor の事前構成 WAF ルールは、ニーズに合わせて調整できます。ルールを調整する方法の詳細については、Google Cloud Armor の事前構成 WAF ルールを調整するをご覧ください。

次の表は、Cloud Armor セキュリティ ポリシーで使用可能な事前構成 WAF ルールの包括的なリストを示しています。ルールのソースは、OWASP Core Rule Set（CRS）3.3.2 です。感度を高め、対処できる攻撃の種類を増やすため、バージョン 3.3 の使用をおすすめします。CRS 3.0 のサポートは継続中です。

さらに、Cloud Armor をご利用のすべてのお客様は、下記の cve-canary ルールを使用して以下の脆弱性を検出し、必要に応じてブロックできます。

• CVE-2021-44228 と CVE-2021-45046 の Log4j RCE の脆弱性
• 942550-sqli JSON 形式のコンテンツの脆弱性

事前構成 OWASP ルール

それぞれの事前構成 WAF ルールの感度レベルは、OWASP CRS のパラノイア レベルに対応します。感度レベルが低いほど、信頼度が高いシグネチャとなり、偽陽性が生じる可能性が低くなります。感度レベルが高いほど、セキュリティは強化されますが、誤検出が生じるリスクが高まります。

SQL インジェクション（SQLi）

次の表は、SQLi の事前構成 WAF ルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。ルールセットの感度を構成しない場合は、デフォルトですべてのシグネチャが評価されます。

クロスサイト スクリプティング（XSS）

次の表は、XSS の事前構成 WAF ルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。ルールセットの感度を構成しない場合は、デフォルトですべてのシグネチャが評価されます。

ローカル ファイル インクルード（LFI）

次の表は、LFI の事前構成 WAF ルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。LFI のシグネチャはすべて感度レベル 1 です。次の構成は、すべての感度レベルで機能します。

リモートコード実行（RCE）

次の表は、RCE 事前構成 WAF ルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。RCE のシグネチャはすべて感度レベル 1 です。次の構成は、すべての感度レベルで機能します。

リモート ファイル インクルード（RFI）

次の表は、RFI の事前構成 WAF ルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。ルールセットの感度を構成しない場合は、デフォルトですべてのシグネチャが評価されます。

メソッドの適用

次の表は、メソッド適用の事前構成ルールで利用できる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。ルールセットの感度を構成しない場合は、デフォルトですべてのシグネチャが評価されます。

スキャナ検出

次の表は、スキャナ検出の事前構成ルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。ルールセットの感度を構成しない場合は、デフォルトですべてのシグネチャが評価されます。

プロトコル攻撃

次の表は、プロトコル攻撃の事前構成済みルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。ルールセットの感度を構成しない場合は、デフォルトですべてのシグネチャが評価されます。

PHP

次の表は、PHP の事前構成 WAF ルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。ルールセットの感度を構成しない場合は、デフォルトですべてのシグネチャが評価されます。

セッション修正

次の表は、セッション修正の事前構成済みルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。セッション修正のシグネチャはすべて感度レベル 1 です。次の構成は、すべての感度レベルで機能します。

Java 攻撃

次の表は、Java 攻撃の事前構成ルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。ルールセットの感度を構成しない場合は、デフォルトですべてのシグネチャが評価されます。

NodeJS 攻撃

次の表は、NodeJS 攻撃の事前構成ルールでサポートされる各シグネチャのシグネチャ ID、感度レベル、説明を示しています。

次の事前構成 WAF ルール シグネチャは、CRS 3.3 にのみ含まれています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。NodeJS 攻撃のシグネチャはすべて感度レベル 1 です。次の構成はその他の感度レベルで機能します。

CVE とその他の脆弱性

次の表は、CVE Log4j RCE の脆弱性の事前構成ルールでサポートされるシグネチャのシグネチャ ID、感度レベル、説明を示しています。

evaluatePreconfiguredWaf() でプリセットの感度パラメータを使用すると、特定の感度レベルでルールを構成できます。ルールセットの感度を構成しない場合は、デフォルトですべてのシグネチャが評価されます。

JSON 形式のコンテンツの SQLi の脆弱性

次の表は、サポートされているシグネチャ 942550-sqli のシグネチャ ID、感度レベル、説明を示しています。これは、SQL インジェクション ペイロードに JSON 構文を追加することで、悪意のある攻撃者が WAF をバイパスできる脆弱性に対応しています。

次の式を使用してシグネチャをデプロイしてください。

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

JSON ベースの SQL インジェクション バイパスに完全に対処するため、感度レベル 2 で sqli-v33-stable を有効にすることをおすすめします。

制限事項

Cloud Armor の事前構成 WAF ルールには次の制限があります。

• WAF ルールを変更した場合、通常では反映されるまでに数分かかります。
• リクエスト本文を含む HTTP リクエスト タイプのうち、POST リクエストのみが処理されます。事前構成ルールは、POST 本文コンテンツの最初の 8 KB に対して評価されます。詳細については、POST 本文の検査の制限をご覧ください。
• Cloud Armor は、JSON 解析が有効になっていて Content-Type ヘッダーの値が一致する場合、JSON 形式のコンテンツ（適切にフォーマットされた GraphQL over HTTP リクエストを含む）を解析して事前構成 WAF ルールを適用できます。詳細については、JSON 解析をご覧ください。
• 事前構成 WAF ルールにリクエスト フィールドの除外が適用されている場合、allow アクションは使用できません。例外に一致するリクエストが自動的に許可されます。

次のステップ

• 事前構成済みの WAF ルールを調整する
• カスタムルール言語属性を構成する