Información general sobre las reglas de WAF preconfiguradas de Cloud Armor

Las reglas de WAF preconfiguradas de Google Cloud Armor son reglas complejas de cortafuegos de aplicaciones web (WAF) con decenas de firmas que se compilan a partir de los estándares de software libre del sector. Cada firma corresponde a una regla de detección de ataques del conjunto de reglas. Google ofrece estas reglas tal cual. Las reglas permiten a Cloud Armor evaluar docenas de firmas de tráfico distintas haciendo referencia a reglas con nombres prácticos, en lugar de tener que definir cada firma manualmente.

Las reglas de WAF preconfiguradas de Google Cloud Armor se pueden ajustar para que se adapten mejor a tus necesidades. Para obtener más información sobre cómo activar las reglas, consulta Activar las reglas de WAF preconfiguradas de Google Cloud Armor.

En la siguiente tabla se incluye una lista completa de las reglas de WAF preconfiguradas que se pueden usar en una política de seguridad de Cloud Armor. Las fuentes de las reglas son OWASP Core Rule Set (CRS) 3.3.2. Te recomendamos que uses la versión 3.3 para aumentar la sensibilidad y la variedad de los tipos de ataques protegidos. Seguimos trabajando para ofrecer compatibilidad con CRS 3.0.

Además, todos los clientes de Cloud Armor pueden usar las siguientes cve-canary reglas para detectar y, opcionalmente, bloquear las siguientes vulnerabilidades:

• Vulnerabilidades de ejecución remota de código (RCE) de CVE-2021-44228 y CVE-2021-45046 Log4j
• 942550-sqli Vulnerabilidad de contenido con formato JSON

Reglas de OWASP preconfiguradas

Cada regla de WAF preconfigurada tiene un nivel de sensibilidad que corresponde a un nivel de paranoia de OWASP CRS. Un nivel de sensibilidad más bajo indica una firma de mayor confianza, por lo que es menos probable que genere un falso positivo. Un nivel de sensibilidad más alto aumenta la seguridad, pero también el riesgo de generar un falso positivo.

Inyección de SQL (SQLi)

En la siguiente tabla se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla de WAF preconfigurada de inyección de SQL.

Puedes configurar una regla con un nivel de sensibilidad concreto mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. De forma predeterminada, si no se configura la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Cross‑site scripting (XSS)

En la siguiente tabla se proporcionan el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla de WAF preconfigurada de XSS.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. De forma predeterminada, si no se configura la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Inclusión de archivos locales (LFI)

En la siguiente tabla se proporcionan el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla de WAF preconfigurada de LFI.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. Todas las firmas de LFI tienen el nivel de sensibilidad 1. La siguiente configuración funciona con todos los niveles de sensibilidad:

Ejecución remota de código (RCE)

En la siguiente tabla se proporcionan el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla de WAF preconfigurada de ejecución remota de código.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. Todas las firmas de RCE tienen el nivel de sensibilidad 1. La siguiente configuración funciona con todos los niveles de sensibilidad:

Inclusión de archivos remotos (RFI)

En la siguiente tabla se indican el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla de WAF preconfigurada de RFI.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. De forma predeterminada, si no se configura la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Implementación obligatoria de métodos

En la siguiente tabla se proporcionan el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla preconfigurada de cumplimiento de métodos.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. De forma predeterminada, si no se configura la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Detección de escáneres

En la siguiente tabla se indican el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla preconfigurada de detección del escáner.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. De forma predeterminada, si no se configura la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Ataque de protocolo

En la siguiente tabla se proporcionan el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla preconfigurada de ataque de protocolo.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. De forma predeterminada, si no se configura la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

PHP

En la siguiente tabla se proporcionan el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla de WAF preconfigurada de PHP.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. De forma predeterminada, si no se configura la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Fijación de sesión

En la siguiente tabla se indican el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla preconfigurada de fijación de sesión.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. Todas las firmas de fijación de sesión tienen un nivel de sensibilidad 1. La siguiente configuración funciona con todos los niveles de sensibilidad:

Ataque de Java

En la siguiente tabla se proporcionan el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla preconfigurada de ataques de Java.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. De forma predeterminada, si no se configura la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Ataque de NodeJS

En la siguiente tabla se indican el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla preconfigurada de ataque de NodeJS.

Las siguientes firmas de reglas de WAF preconfiguradas solo se incluyen en CRS 3.3.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. Todas las firmas de ataques de NodeJS tienen un nivel de sensibilidad 1. La siguiente configuración funciona con otros niveles de sensibilidad:

CVEs y otras vulnerabilidades

En la siguiente tabla se proporcionan el ID de firma, el nivel de sensibilidad y la descripción de cada firma admitida en la regla preconfigurada de la vulnerabilidad de ejecución de código remoto de CVE Log4j.

Puedes configurar una regla con un nivel de sensibilidad concreto usando evaluatePreconfiguredWaf() con un parámetro de sensibilidad predefinido. De forma predeterminada, si no se configura la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Vulnerabilidad de inyección SQL en contenido con formato JSON

En la siguiente tabla se proporciona el ID de la firma, el nivel de sensibilidad y la descripción de la firma admitida 942550-sqli, que abarca la vulnerabilidad por la que los atacantes maliciosos pueden eludir el WAF añadiendo sintaxis JSON a las cargas útiles de inyección de SQL.

Usa la siguiente expresión para implementar la firma:

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

Te recomendamos que también habilites sqli-v33-stable en el nivel de sensibilidad 2 para abordar por completo las vulnerabilidades de inyección de SQL basadas en JSON.

Limitaciones

Las reglas de WAF preconfiguradas de Cloud Armor tienen las siguientes limitaciones:

• Los cambios en las reglas del WAF suelen tardar varios minutos en propagarse.
• De los tipos de solicitudes HTTP con un cuerpo de solicitud, Cloud Armor solo procesa las solicitudes POST. Cloud Armor evalúa las reglas preconfiguradas con los primeros 8 KB del contenido del cuerpo de POST. Para obtener más información, consulta la limitación de inspección del cuerpo de POST.
• Cloud Armor puede analizar y aplicar reglas de WAF preconfiguradas a contenido con formato JSON (incluidas las solicitudes GraphQL a través de HTTP con el formato adecuado) cuando el análisis JSON está habilitado con un valor de encabezado Content-Type coincidente. Para obtener más información, consulta Análisis de JSON.
• Cuando tienes una exclusión de campo de solicitud asociada a una regla de WAF preconfigurada, no puedes usar la acción allow. Las solicitudes que coincidan con la excepción se permiten automáticamente.

Siguientes pasos

• Ajustar reglas de WAF preconfiguradas
• Configurar atributos de idioma de reglas personalizadas