設定自訂規則語言屬性

每條 Google Cloud Armor 安全性政策規則都有優先順序、相符條件和動作。Cloud Armor 會根據與要求相符的最高優先順序規則執行動作。如果規則的優先順序低於優先順序最高的相符規則，即使兩者具有相同的相符條件，系統也不會評估該規則。

每項安全性政策規則都支援兩種類型的比對條件：

• 基本比對條件包含 IP 位址清單或 IP 位址範圍清單。使用 Google Cloud CLI 建立規則時，請使用 --src-ip-ranges 旗標定義基本比對條件。
• 進階比對條件包含最多五個子運算式的運算式，可比對連入要求的各種屬性。使用 Google Cloud CLI 建立規則時，請使用 --expression 標記定義進階比對條件。

本頁面將說明進階比對條件，以及用於在安全性政策規則的進階比對條件中編寫運算式的 Cloud Armor 自訂規則語言。Cloud Armor 自訂規則語言是一般運算語言 (CEL) 的子集。以 Cloud Armor 自訂規則語言編寫的運算式需要兩個元件：

• 屬性：要檢查的資料
• 運算：如何使用資料

舉例來說，下列運算式會在 inIpRange() 運算中使用 origin.ip 和 9.9.9.0/24 屬性。在本例中，如果 origin.ip 位於 9.9.9.0/24 IP 位址範圍內，運算式就會傳回 true。

inIpRange(origin.ip, '9.9.9.0/24')

即使上一個範例運算式只比對來源 IP 位址，在 Cloud Armor 安全性政策規則中使用該運算式時，從配額角度來看，該規則仍視為具有進階比對條件的規則。詳情請參閱「Cloud Armor 配額與限制」。

作業

以下參考資料說明可搭配屬性 (以 x、y 和 k 表示) 使用的運算子，用於定義規則運算式。

屬性

屬性代表來自傳入要求的資訊，例如來源 IP 位址或要求的網址路徑。

運算式範例

對於每個運算式，系統採取的動作取決於運算式是否納入拒絕或允許規則。

根據 IPv4 或 IPv6 的 IP 位址範圍允許或拒絕存取

• 下列運算式會比對來自 198.51.100.0/24 IP 位址範圍的要求：

  inIpRange(origin.ip, '198.51.100.0/24')
  

• 下列運算式會比對來自 2001:db8::/32 IP 位址範圍的要求：

  inIpRange(origin.ip, '2001:db8::/32')
  

根據上游 Proxy 後方的自訂用戶端 IP 位址範圍，允許或拒絕存取要求

如果您已設定 origin.user_ip 運算子，可以根據 advancedOptionsConfig.userIpRequestHeaders[] 欄位中指定的標頭值進行比對。

• 下列運算式會比對來自 192.0.2.0/24 IP 位址範圍的要求：

  inIpRange(origin.user_ip, '192.0.2.0/24')
  

• 下列運算式會比對來自 2001:db8::/32 IP 位址範圍的要求：

  inIpRange(origin.user_ip, '2001:db8::/32')
  

允許或拒絕含有特定 Cookie 的流量

• 下列運算式會比對含有 80=BLAH 的 Cookie 要求：

  has(request.headers['cookie']) && request.headers['cookie'].contains('80=BLAH')
  

允許或拒絕含有非空白 referer 標頭的流量

• 下列運算式會比對具有非空白 referer 標頭的要求：

  has(request.headers['referer']) && request.headers['referer'] != ""
  

根據標頭中的主機網址允許或拒絕流量

• 下列運算式會比對特定網址的要求：

  request.headers['host'].lower().contains('test.example.com')
  

允許或拒絕來自特定區域的流量

如果您的網路應用程式無法在 AU 區域使用，則必須封鎖來自該區域的所有要求。

• 在拒絕規則中，使用下列運算式比對來自 AU 區域的要求：

  origin.region_code == 'AU'
  

或者，如果您的網路應用程式僅適用於 AU 區域，則必須封鎖來自所有其他區域的要求。

• 在拒絕規則中，請使用下列運算式，比對來自 AU 區域以外所有區域的要求：

  origin.region_code != 'AU'
  

區域代碼採用 ISO 3166-1 alpha 2 代碼。在某些情況下，區域會對應至國家/地區，但並非一律如此。舉例來說，US 代碼包含美國所有州、一個區和六個邊遠地區。

允許或拒絕來自特定 ASN 的流量

如果需要封鎖特定網路業者為客戶提供的網路應用程式，可以使用網路業者的 ASN 編號進行封鎖。

• 在拒絕規則中，請使用下列運算式，比對來自特定 ASN 的要求：

  origin.asn == 123
  

或者，如果您的網路應用程式只開放特定網路業者後方的客戶使用，則必須封鎖所有其他網路業者的要求。

• 在拒絕規則中，請使用下列運算式，比對您想允許的網路業者以外的所有其他網路業者：

  origin.asn != 123
  

多個運算式

如要在單一規則中加入多項條件，請合併多個子運算式。

• 在下列範例中，AU 區域中來自 1.2.3.0/24 的要求 (例如 Alpha 測試人員) 符合下列運算式：

  origin.region_code == "AU" && inIpRange(origin.ip, '1.2.3.0/24')
  

• 下列運算式會比對來自 1.2.3.4 的要求，其中使用者代理程式包含字串 WordPress：

  inIpRange(origin.ip, '1.2.3.4/32') &&
  has(request.headers['user-agent']) && request.headers['user-agent'].contains('WordPress')
  

允許或拒絕要求 URI 符合規則運算式的流量

• 下列運算式會比對 URI 中含有 /example_path/ 字串的要求：

  request.path.matches('/example_path/')
  

• 下列運算式會比對 User-Agent 標頭欄位中含有 Chrome 的要求：

  request.headers['user-agent'].matches('Chrome')
  

• 下列運算式會對包含 wordpress 的 User-Agent 標頭進行不區分大小寫的比對；這會與 User-Agent:WordPress/605.1.15、User-Agent:wordPress 和其他 wordpress 變體比對：

  request.headers['user-agent'].matches('(?i:wordpress)')
  

允許或拒絕含有特定 Base64 解碼值的流量

• 下列運算式會比對 user-id 標頭的 base64 解碼值為 myValue 的要求：

  has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')
  

允許或拒絕含有特定長度字串值的流量

• 下列運算式會比對網址長度超過 10 個字元的要求：

  size(request.path) > 10
  

• 下列運算式會比對標頭 x-data 長度大於或等於 1024 個字元的要求：

  size(request.headers['x-data']) >= 1024
  

允許或拒絕 HTTP 內文中含有零個 content-length 的流量

• 下列運算式會比對 HTTP 內容中含有零 content-length 的要求：

  int(request.headers["content-length"]) == 0
  

允許或拒絕含有特定網址編碼值的流量

• 下列運算式會比對含有 %3c 的 Cookie 值要求：

  has(request.headers['cookie']) && request.headers['cookie'].urlDecode().contains('<')
  

允許或拒絕含有特定網址編碼 Unicode 字串值的流量

• 下列運算式會比對 Cookie 值等於 Match%2BValue 或 Match%u002BValue 的要求：

  has(request.headers['cookie']) && request.headers['cookie'].urlDecodeUni() == 'Match+Value'
  

允許或拒絕包含特定 Unicode 字串的 UTF-8 文字流量

• 下列運算式會比對 Cookie 值等於 ¬ 的要求：

  has(request.headers['cookie']) && request.headers['cookie'].utf8ToUnicode() == '%u00ac'
  

根據已知的 JA4 指紋允許或拒絕流量

• 下列運算式會比對 JA4 指紋等於 t13d1516h2_8daaf6152771_b186095e22b6 的要求：

  origin.tls_ja4_fingerprint == 't13d1516h2_8daaf6152771_b186095e22b6'
  

根據 JA4 指紋清單允許或拒絕流量

• 下列運算式會比對 JA4 指紋，要求必須符合下列任一 JA4 指紋：

  • t00d0000h0_000000000000_000000000000
  • t13d1516h2_8daaf6152771_b186095e22b6

  origin.tls_ja4_fingerprint == 't00d0000h0_000000000000_000000000000' || origin.tls_ja4_fingerprint == 't13d1516h2_8daaf6152771_b186095e22b6'
  

預先設定的網路應用程式防火牆規則

預先設定的網路應用程式防火牆規則會使用預先設定的靜態簽章和/或規則運算式，比對 HTTP POST 主體、HTTP 要求標頭和查詢參數。可用的預先設定 WAF 規則是以 OWASP 核心規則集 3.3 版為準。Cloud Armor 提供多項預先定義的預先設定 WAF 規則。 如需預先設定的網路應用程式防火牆規則完整清單，請參閱「Cloud Armor 預先設定的網路應用程式防火牆規則總覽」。

如要列出所有可用的預先設定網路應用程式防火牆規則，請參閱「列出可用的預先設定網路應用程式防火牆規則」。

如要進一步瞭解預先設定的 WAF 規則，請參閱「使用預先設定的 WAF 規則防範應用程式層攻擊」一文。

預先設定的 WAF 規則名稱

預先設定的網路應用程式防火牆規則名稱格式為 <attack category>-<OWASP CRS version>-<version field>。攻擊類別會指定您要防範的攻擊類型，例如 xss (跨網站指令碼) 或 sqli (SQL 植入)。

支援的版本欄位為 stable 和 canary。規則的增修內容會先在 canary 版中發布，當新增內容和修改項目被視為安全且穩定時，就會升級至 stable 版本。

預先設定的 WAF 規則成員 ID

預先設定的網路應用程式防火牆規則包含多個運算式，每個運算式都有自己的簽章。 舉例來說，預先設定的網路應用程式防火牆規則 xss-v33-stable 包含名為 owasp-crs-v030301-id941100-xss 的運算式，對應於 3.3 版的規則 ID id941100。您可以使用簽章排除特定運算式，這在特定運算式持續觸發誤判時非常實用。詳情請參閱誤判疑難排解資訊。

如要瞭解核心規則集，以及如何調整不同敏感度層級，請參閱「調整 Google Cloud Armor 網路應用程式防火牆規則」。

預先設定的 WAF 規則的運算子

預先設定的網路應用程式防火牆規則範例

• 下列運算式使用 xss-v33-stable 預先設定的網路應用程式防火牆規則，防範跨網站指令碼攻擊：

  evaluatePreconfiguredWaf('xss-v33-stable')
  

• 下列運算式會使用預先設定的網路應用程式防火牆規則中的所有運算式，但成員 ID 941100 和 941110 除外：xss-v33-stable

  evaluatePreconfiguredWaf('xss-v33-stable', {'opt_out_rule_ids': ['owasp-crs-v030301-id941100-xss',
  'owasp-crs-v030301-id941110-xss']})
  

• 下列運算式使用預先設定的網路應用程式防火牆規則，防範來自 198.51.100.0/24 IP 位址範圍的 SQL 注入攻擊：

  inIpRange(origin.ip, '198.51.100.0/24') && evaluatePreconfiguredWaf('sqli-v33-stable')
  

後續步驟

• 設定 Cloud Armor 安全性政策
• 調整 Cloud Armor 預先設定的網路應用程式防火牆規則
• 排解 Cloud Armor 問題
• 配額與限制