Google Cloud Armor 預先設定的網路應用程式防火牆規則總覽

Google Cloud Armor 預先設定的 WAF 規則是複雜的網頁應用程式防火牆 (WAF) 規則，包含依開放原始碼業界標準編譯的數十個簽名。每個簽章都對應規則集中的攻擊偵測規則。Google 提供這些規則，讓 Google Cloud Armor 透過參照方便命名的規則，評估數十種不同的流量特徵，而不必手動定義每項特徵。

您可以調整 Google Cloud Armor 預先設定的 WAF 規則，使其最符合需求。如要進一步瞭解如何調整規則，請參閱「調整 Google Cloud Armor 預先設定的 WAF 規則」。

下表完整列出可供 Google Cloud Armor 安全性政策使用的預先設定網路應用程式防火牆規則。規則來源為 OWASP 核心規則集 (CRS) 3.3.2。建議您使用 3.3 版，以提高敏感度，並擴大受保護的攻擊類型。我們正在開發 CRS 3.0 的支援功能。

此外，所有 Google Cloud Armor 客戶皆可使用下列 cve-canary 規則，偵測及選擇性封鎖下列安全漏洞：

• CVE-2021-44228 和 CVE-2021-45046 Log4j RCE 安全漏洞
• 942550-sqli JSON 格式內容安全漏洞

預先設定的 OWASP 規則

每個預先設定的 WAF 規則都有對應 OWASP CRS 偏執等級的敏感度等級。靈敏度越低，代表簽章可信度越高，越不可能產生誤判。提高敏感度可加強安全性，但也會增加產生偽陽性的風險。

SQL 注入 (SQLi)

下表提供 SQLi 預先設定的 WAF 規則中，每個支援簽章的簽章 ID、敏感度層級和說明。

您可以使用預設的敏感度參數搭配 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。根據預設，如果未設定規則集敏感度，Google Cloud Armor 會評估所有簽章。

跨網站指令碼攻擊 (XSS)

下表列出 XSS 預先設定的 WAF 規則中，各項支援簽章的簽章 ID、敏感度層級和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。根據預設，如果未設定規則集敏感度，Google Cloud Armor 會評估所有簽章。

本機檔案包含 (LFI)

下表提供 LFI 預先設定 WAF 規則中每個支援簽章的簽章 ID、敏感度層級和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。LFI 的所有簽章都屬於機密等級 1。下列設定適用於所有機密程度：

遠端程式碼執行 (RCE)

下表提供 RCE 預先設定 WAF 規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。所有 RCE 簽章的敏感度等級皆為 1。下列設定適用於所有機密程度：

遠端檔案包含 (RFI)

下表列出 RFI 預先設定的 WAF 規則中，每個支援簽章的簽章 ID、敏感度層級和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。根據預設，如果未設定規則集敏感度，Google Cloud Armor 會評估所有簽章。

方法強制執行

下表列出方法強制執行預先設定規則中支援的簽章，並提供簽章 ID、敏感程度和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。根據預設，如果未設定規則集敏感度，Google Cloud Armor 會評估所有簽章。

掃描器偵測

下表列出掃描器偵測預先設定規則中支援的簽章，並提供簽章 ID、敏感程度和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。根據預設，如果未設定規則集敏感度，Google Cloud Armor 會評估所有簽章。

通訊協定攻擊

下表列出通訊協定攻擊預先設定規則中，每個支援簽章的簽章 ID、敏感程度和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。根據預設，如果未設定規則集敏感度，Google Cloud Armor 會評估所有簽章。

PHP

下表列出 PHP 預先設定的 WAF 規則中，各項支援簽章的簽章 ID、敏感度層級和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。根據預設，如果未設定規則集敏感度，Google Cloud Armor 會評估所有簽章。

工作階段固定

下表提供工作階段固定預先設定規則中，每個支援簽章的簽章 ID、敏感程度和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。工作階段固定攻擊的所有簽章都屬於敏感度等級 1。下列設定適用於所有靈敏度等級：

Java 攻擊

下表列出 Java 攻擊預先設定規則中，每個支援簽章的簽章 ID、敏感度等級和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。根據預設，如果未設定規則集敏感度，Google Cloud Armor 會評估所有簽章。

NodeJS 攻擊

下表列出 NodeJS 攻擊預先設定規則中支援的每個簽章，並提供簽章 ID、敏感程度和說明。

下列預先設定的 WAF 規則簽章僅包含在 CRS 3.3 中。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。NodeJS 攻擊的所有簽章都屬於靈敏度等級 1。下列設定適用於其他機密等級：

CVE 和其他安全漏洞

下表列出 CVE Log4j RCE 安全漏洞預先設定規則中，各項支援簽章的簽章 ID、敏感程度和說明。

您可以透過預設的敏感度參數使用 evaluatePreconfiguredWaf()，在特定敏感度層級設定規則。根據預設，如果未設定規則集敏感度，Google Cloud Armor 會評估所有簽章。

JSON 格式內容 SQL 注入安全漏洞

下表提供支援的簽章 942550-sqli 的簽章 ID、敏感度等級和說明，涵蓋惡意攻擊者可將 JSON 語法附加至 SQL 注入酬載，藉此規避 WAF 的安全漏洞。

使用下列運算式部署簽章：

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

建議您也啟用感應層級 2 的 sqli-v33-stable，全面防範以 JSON 為基礎的 SQL 注入攻擊。

限制

Google Cloud Armor 預先設定的 WAF 規則有下列限制：

• WAF 規則變更通常需要幾分鐘才會生效。
• 在具有要求主體的 HTTP 要求類型中，Google Cloud Armor 只會處理 POST 要求。Google Cloud Armor 會根據前 8 KB 的 POST 內容評估預先設定的規則。詳情請參閱POST身體檢查限制。
• 如果啟用 JSON 剖析功能，並使用相符的 Content-Type 標頭值，Google Cloud Armor 就能剖析 JSON 格式的內容 (包括格式正確的 GraphQL over HTTP 要求)，並套用預先設定的 WAF 規則。詳情請參閱 JSON 剖析。
• 如果預先設定的網路應用程式防火牆規則附加了要求欄位排除項目，您就無法使用 allow 動作。系統會自動允許符合例外的要求。

後續步驟

• 調整預先設定的網路應用程式防火牆規則
• 使用自訂規則語言參考資料