Google Cloud Armor 사전 구성 WAF 규칙 개요

Google Cloud Armor 사전 구성 WAF 규칙은 오픈소스 업계 표준에서 컴파일된 서명이 수십 개 있는 복잡한 웹 애플리케이션 방화벽(WAF) 규칙입니다. 각 서명은 규칙 집합의 공격 감지 규칙에 해당합니다. Google은 이러한 규칙을 있는 그대로 제공합니다. 규칙을 사용하면 Google Cloud Armor에서 각 서명을 수동으로 정의할 필요 없이 편리한 이름의 규칙을 참조하여 고유한 트래픽 서명 수십 개를 평가할 수 있습니다.

Google Cloud Armor 사전 구성 WAF 규칙은 요구사항에 맞게 조정할 수 있습니다. 규칙을 조정하는 방법에 대한 자세한 내용은 Google Cloud Armor 사전 구성 WAF 규칙 조정을 참조하세요.

다음 표에는 Google Cloud Armor 보안 정책에 사용할 수 있는 사전 구성된 WAF 규칙의 전체 목록이 나와 있습니다. 규칙 소스는 ModSecurity Core Rule Set(CRS) 3.0 및 CRS 3.3.2입니다. 버전 3.3을 사용하여 민감도를 높이고 보호된 공격 유형의 범위를 넓히는 것이 좋습니다. CRS 3.0에 대한 지원은 계속됩니다.

또한 모든 Google Cloud Armor 고객은 다음 cve-canary 규칙을 사용하여 다음 취약점을 감지하고 선택적으로 차단할 수 있습니다.

• CVE-2021-44228 및 CVE-2021-45046 Log4j RCE 취약점
• 942550-sqli JSON 형식의 콘텐츠 취약점

사전 구성된 ModSecurity 규칙

사전 구성된 각 WAF 규칙에는 ModSecurity paranoia 수준에 해당하는 민감도 수준이 있습니다. 민감도 수준이 낮을수록 서명의 신뢰도가 높으므로 거짓양성을 생성할 가능성이 낮습니다. 민감도 수준이 높아지면 보안이 향상되지만 거짓양성이 생성될 위험이 증가합니다.

SQL 삽입(SQLi)

다음 표에서는 SQLi 사전 구성 WAF 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다.

evaluatePreconfiguredExpr('sqli-v33-stable',
['owasp-crs-v030301-id942110-sqli',
  'owasp-crs-v030301-id942120-sqli',
  'owasp-crs-v030301-id942130-sqli',
  'owasp-crs-v030301-id942150-sqli',
  'owasp-crs-v030301-id942180-sqli',
  'owasp-crs-v030301-id942200-sqli',
  'owasp-crs-v030301-id942210-sqli',
  'owasp-crs-v030301-id942260-sqli',
  'owasp-crs-v030301-id942300-sqli',
  'owasp-crs-v030301-id942310-sqli',
  'owasp-crs-v030301-id942330-sqli',
  'owasp-crs-v030301-id942340-sqli',
  'owasp-crs-v030301-id942361-sqli',
  'owasp-crs-v030301-id942370-sqli',
  'owasp-crs-v030301-id942380-sqli',
  'owasp-crs-v030301-id942390-sqli',
  'owasp-crs-v030301-id942400-sqli',
  'owasp-crs-v030301-id942410-sqli',
  'owasp-crs-v030301-id942470-sqli',
  'owasp-crs-v030301-id942480-sqli',
  'owasp-crs-v030301-id942430-sqli',
  'owasp-crs-v030301-id942440-sqli',
  'owasp-crs-v030301-id942450-sqli',
  'owasp-crs-v030301-id942510-sqli',
  'owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)
          

evaluatePreconfiguredExpr('sqli-v33-stable',
 ['owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)

evaluatePreconfiguredExpr('sqli-v33-stable',
        ['owasp-crs-v030301-id942421-sqli',
         'owasp-crs-v030301-id942432-sqli']
         )

evaluatePreconfiguredExpr('sqli-v33-stable')

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 기본적으로 규칙 집합 민감도를 구성하지 않으면 Google Cloud Armor가 모든 서명을 평가합니다.

교차 사이트 스크립팅(XSS)

다음 표에서는 XSS 사전 구성된 WAF 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다.

evaluatePreconfiguredExpr('xss-v33-stable',
['owasp-crs-v030301-id941101-xss',
  'owasp-crs-v030301-id941150-xss',
  'owasp-crs-v030301-id941320-xss',
  'owasp-crs-v030301-id941330-xss',
  'owasp-crs-v030301-id941340-xss',
  'owasp-crs-v030301-id941380-xss'
])
          

XSS의 모든 서명은 민감도 수준 2 미만입니다. 다음 구성은 다른 민감도 수준에서 작동합니다.

evaluatePreconfiguredExpr('xss-v33-stable')

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 기본적으로 규칙 집합 민감도를 구성하지 않으면 Google Cloud Armor가 모든 서명을 평가합니다.

로컬 파일 포함(LFI)

다음 표에서는 LFI 사전 구성 WAF 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다. LFI의 모든 서명은 민감도 수준 1입니다. 다음 구성은 모든 민감도 수준에서 작동합니다.

evaluatePreconfiguredExpr('lfi-v33-stable')

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. LFI의 모든 서명은 민감도 수준 1입니다. 다음 구성은 모든 민감도 수준에서 작동합니다.

원격 코드 실행(RCE)

다음 표에서는 RCE 사전 구성 WAF 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 다음 구성은 모든 민감도 수준에서 작동합니다.

evaluatePreconfiguredExpr('rce-v33-stable',
          ['owasp-crs-v030301-id932200-rce',
           'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable',
           [ 'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          

evaluatePreconfiguredExpr('rce-v33-stable')

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. RCE의 모든 서명은 민감도 수준 1입니다. 다음 구성은 모든 민감도 수준에서 작동합니다.

원격 파일 포함(RCI)

다음 표에서는 RFI 사전 구성 WAF 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다.

evaluatePreconfiguredExpr('rfi-v33-stable', ['owasp-crs-v030301-id931130-rfi'])

RFI의 모든 서명은 민감도 수준 2 미만입니다. 다음 구성은 다른 민감도 수준에서 작동합니다.

evaluatePreconfiguredExpr('rfi-v33-stable')

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 기본적으로 규칙 집합 민감도를 구성하지 않으면 Google Cloud Armor가 모든 서명을 평가합니다.

메서드 적용

다음 표에서는 메서드 적용 사전 구성 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 메서드 적용의 모든 서명은 민감도 수준 1입니다. 다음 구성은 다른 민감도 수준에서 작동합니다.

evaluatePreconfiguredExpr('methodenforcement-v33-stable')

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 기본적으로 규칙 집합 민감도를 구성하지 않으면 Google Cloud Armor가 모든 서명을 평가합니다.

스캐너 감지

다음 표에서는 스캐너 감지 사전 구성된 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다.

evaluatePreconfiguredExpr('scannerdetection-v33-stable',
  ['owasp-crs-v030301-id913101-scannerdetection',
  'owasp-crs-v030301-id913102-scannerdetection']
)
          

evaluatePreconfiguredExpr('scannerdetection-v33-stable')
          

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 기본적으로 규칙 집합 민감도를 구성하지 않으면 Google Cloud Armor가 모든 서명을 평가합니다.

프로토콜 공격

다음 표는 사전 구성된 프로토콜 공격 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다.

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921151-protocolattack',
  'owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921170-protocolattack']
)
          

evaluatePreconfiguredExpr('protocolattack-v33-stable')
          

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 기본적으로 규칙 집합 민감도를 구성하지 않으면 Google Cloud Armor가 모든 서명을 평가합니다.

PHP

다음 표에서는 PHP 사전 구성 WAF 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다.

evaluatePreconfiguredExpr('php-v33-stable',
['owasp-crs-v030301-id933151-php',
  'owasp-crs-v030301-id933131-php',
  'owasp-crs-v030301-id933161-php',
  'owasp-crs-v030301-id933111-php',
  'owasp-crs-v030301-id933190-php']
)
          

evaluatePreconfiguredExpr('php-v33-stable',
  ['owasp-crs-v0303001-id933131-php',
  'owasp-crs-v0303001-id933161-php',
  'owasp-crs-v0303001-id933111-php',
  'owasp-crs-v030301-id933190-php'])
          

evaluatePreconfiguredExpr('php-v33-stable')
          

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 기본적으로 규칙 집합 민감도를 구성하지 않으면 Google Cloud Armor가 모든 서명을 평가합니다.

세션 고정

다음 표는 세션 고정 사전 구성된 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 세션 고정의 모든 서명은 민감도 수준 1입니다. 다음 구성은 모든 민감도 수준에서 작동합니다.

evaluatePreconfiguredExpr('sessionfixation-v33-stable')

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 세션 고정의 모든 서명은 민감도 수준 1입니다. 다음 구성은 모든 민감도 수준에서 작동합니다.

Java 공격

다음 표에서는 자바 공격 사전 구성된 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다.

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944200-java',
 'owasp-crs-v030301-id944210-java',
 'owasp-crs-v030301-id944240-java',
 'owasp-crs-v030301-id944250-java',
 'owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944300-java'])
          

evaluatePreconfiguredExpr('java-v33-stable')
          

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 기본적으로 규칙 집합 민감도를 구성하지 않으면 Google Cloud Armor가 모든 서명을 평가합니다.

NodeJS 공격

다음 표에서는 NodeJS 공격 사전 구성된 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

다음의 사전 구성된 WAF 규칙 서명은 CRS 3.3에만 포함되어 있습니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다. NodeJS 공격의 모든 서명은 민감도 수준 1입니다. 다음 구성은 다른 민감도 수준에서 작동합니다.

evaluatePreconfiguredExpr('nodejs-v33-stable')

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. NodeJS 공격의 모든 서명은 민감도 수준 1입니다. 다음 구성은 다른 민감도 수준에서 작동합니다.

CVE 및 기타 취약점

다음 표에서는 CVE Log4j RCE 취약점 사전 구성 규칙에서 지원되는 각 서명의 서명 ID, 민감도 수준, 설명을 제공합니다.

evaluatePreconfiguredExpr()을 사용해 더 큰 민감도 수준에서 서명을 중지하여 특정 민감도 수준에서 규칙을 구성할 수 있습니다.

evaluatePreconfiguredExpr('cve-canary', ['owasp-crs-v030001-id244228-cve',
  'owasp-crs-v030001-id344228-cve'])
          

evaluatePreconfiguredExpr('cve-canary')

또는 사전 설정된 민감도 매개변수와 함께 evaluatePreconfiguredWaf()를 사용해서 특정 민감도 수준에서 규칙을 구성할 수 있습니다. 기본적으로 규칙 집합 민감도를 구성하지 않으면 Google Cloud Armor가 모든 서명을 평가합니다.

JSON 형식 콘텐츠 SQLi 취약점

다음 표에는 서명 ID, 민감도 수준, 지원되는 서명 942550-sqli의 설명이 나와 있으며, 이는 악성 공격자가 SQL 삽입 페이로드에 JSON 구문을 추가하여 WAF를 우회할 수 있는 취약점을 다룹니다.

다음 표현식을 사용하여 서명을 배포합니다.

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

또한 민감도 수준 2에서 sqli-v33-stable을 사용 설정하여 JSON 기반 SQL 삽입 우회를 완전히 처리하는 것이 좋습니다.

제한사항

Google Cloud Armor 사전 구성 WAF 규칙에는 다음과 같은 제한사항이 있습니다.

• WAF 규칙 변경사항은 일반적으로 전달되는 데 몇 분 정도 걸립니다.
• Google Cloud Armor는 요청 본문이 있는 HTTP 요청 유형 중에서 POST 요청만 처리합니다. Google Cloud Armor는 POST 본문 콘텐츠의 처음 8KB에 대해 사전 구성된 규칙을 평가합니다. 자세한 내용은 POST 본문 검사 제한사항을 참조하세요.
• Google Cloud Armor는 JSON 구문 분석이 일치하는 Content-Type 헤더 값으로 사용 설정된 경우 사전 구성된 WAF 규칙을 파싱하고 적용할 수 있습니다. 자세한 내용은 JSON 파싱을 참조하세요.
• 사전 구성된 WAF 규칙에 요청 필드 제외가 연결된 경우에는 allow 작업을 사용할 수 없습니다. 예외에 일치하는 요청은 자동으로 허용됩니다.

다음 단계

• WAF 규칙 조정
• 커스텀 규칙 언어 참조 사용