Descripción general de las reglas de WAF preconfiguradas de Cloud Armor

Las reglas de WAF preconfiguradas de Google Cloud Armor son reglas complejas de firewall de aplicación web (WAF) con decenas de firmas que se compilan a partir de estándares de la industria de código abierto. Cada firma corresponde a una regla de detección de ataques en el conjunto de reglas. Google ofrece estas reglas tal como están. Las reglas permiten que Cloud Armor evalúe decenas de firmas de tráfico distintas, ya que consulta las reglas con nombres prácticos en lugar de requerir que definas cada firma de forma manual.

Las reglas de WAF preconfiguradas de Google Cloud Armor se pueden ajustar según tus necesidades. Para obtener más información sobre cómo ajustar las reglas, consulta Ajusta las reglas de WAF preconfiguradas de Google Cloud Armor.

En la siguiente tabla, se incluye una lista completa de las reglas de WAF preconfiguradas que están disponibles para usar en una política de seguridad de Cloud Armor. Estas reglas se basan en el conjunto de reglas principales de ModSecurity de OWASP (CRS), como OWASP Core Rule Set 4.22. Te recomendamos usar la versión 4.22 para obtener la protección más actualizada contra las amenazas modernas. La compatibilidad con CRS 3.3 y 3.0 está en curso. Sin embargo, te recomendamos que evites las versiones anteriores, en especial la versión 3.0 del CRS, siempre que tus cargas de trabajo permitan las reglas de la versión 4.22.

Además, las siguientes reglas cve-canary están disponibles para todos los clientes de Cloud Armor para ayudar a detectar y, de forma opcional, bloquear las siguientes vulnerabilidades:

• Vulnerabilidades de RCE de Log4j CVE-2021-44228 y CVE-2021-45046
• Vulnerabilidad de contenido con formato JSON 942550-sqli
• Vulnerabilidad de RCE de google-mrs-v202512-id000001-rce y google-mrs-v202512-id000002-rce

Reglas de OWASP preconfiguradas

Cada regla de WAF preconfigurada tiene un nivel de sensibilidad que corresponde a un nivel de paranoia del CRS de OWASP. Un nivel de sensibilidad más bajo indica una firma de confianza más alta, y es menos probable que genere un falso positivo. Un nivel de sensibilidad más alto aumenta la seguridad, pero también aumenta el riesgo de generar un falso positivo. De forma predeterminada, Cloud Armor se ejecuta en el nivel de sensibilidad 4 y evalúa todas las firmas de un conjunto de reglas una vez que se habilita.

Inserción de SQL (SQLi)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de SQLi.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Secuencia de comandos entre sitios (XSS)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de XSS.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Inclusión de archivos locales (LFI)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de LFI.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. Todas las firmas para LFI están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

Ejecución de código remoto (RCE)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de RCE.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. Todas las firmas para RCE están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

Inclusión de archivos remotos (RFI)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de RFI.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Aplicación de métodos

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada del método de aplicación.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Detección de escáner

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de detección del analizador.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Ataque de protocolo

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de RFI.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

PHP

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de PHP.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Corrección de la sesión

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de corrección de la sesión.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. Todas las firmas para la corrección de sesiones están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

Ataque de Java

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada del ataque de Java.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Ataque genérico

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de ataque genérico.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. Todas las firmas para el ataque de NodeJS están en el nivel 1 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

Comparación de las reglas de WAF de Cloud Armor: CRS 3.3 y CRS 4.22

En la siguiente tabla, se proporciona la lista completa de diferencias entre los conjuntos de reglas de CRS 3.3 y CRS 4.22 de Cloud Armor.

La categoría nodejs de CRS 3.3 se renombró como generic en CRS 4.22, aunque comparten el mismo prefijo de ID de regla "934". Se recomienda CRS 4.22 para la protección contra amenazas modernas.

CVE y otras vulnerabilidades

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de vulnerabilidad de RCE de React para ayudar a detectar y mitigar el CVE-2025-55182.

Usa la siguiente expresión para detectar y mitigar la vulnerabilidad CVE-2025-55182:

(has(request.headers['next-action']) || has(request.headers['rsc-action-id']) ||request.headers['content-type'].contains('multipart/form-data') || request.headers['content-type'].contains('application/x-www-form-urlencoded') ) && evaluatePreconfiguredWaf('cve-canary',{'sensitivity': 0, 'opt_in_rule_ids': ['google-mrs-v202512-id000001-rce', 'google-mrs-v202512-id000002-rce']})

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de la vulnerabilidad de RCE de CVE Log4j.

Puedes configurar una regla en un nivel de sensibilidad específico con evaluatePreconfiguredWaf y un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Cloud Armor evalúa todas las firmas.

Vulnerabilidad de SQLi en contenido con formato JSON

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de la firma compatible 942550-sqli, que abarca la vulnerabilidad en la que los atacantes maliciosos pueden eludir el WAF agregando sintaxis JSON a las cargas útiles de inyección de SQL.

Usa la siguiente expresión para implementar la firma:

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

También te recomendamos que habilites sqli-v33-stable en el nivel de sensibilidad 2 para abordar por completo las omisiones de inyección de SQL basadas en JSON.

Limitaciones

Las reglas de WAF preconfiguradas de Cloud Armor tienen las siguientes limitaciones:

• Los cambios en las reglas del WAF suelen tardar varios minutos en propagarse.
• Entre los tipos de solicitudes HTTP con un cuerpo de solicitud, Cloud Armor solo procesa solicitudes con un cuerpo. Cloud Armor evalúa las reglas preconfiguradas en función de los primeros 64 KB de contenido del cuerpo de la solicitud. Para obtener más información, consulta Limitación de inspección del cuerpo de la solicitud.
• Cuando el análisis de JSON está habilitado, Cloud Armor puede analizar y aplicar reglas de WAF preconfiguradas al contenido con formato JSON. Para obtener más información, consulta Análisis del contenido del cuerpo de la solicitud.
• Si excluyes campos de solicitud de la inspección para una regla de WAF preconfigurada con el objetivo de reducir los falsos positivos, no podrás usar la acción allow con esa regla. Los campos de solicitud que se excluyen explícitamente de la inspección se permiten automáticamente.
• Las reglas de WAF preconfiguradas de Cloud Armor solo se pueden usar con servicios de backend detrás de un balanceador de cargas. Por lo tanto, se aplican las cuotas y los límites del balanceo de cargas a tu implementación. Para obtener más información, consulta las cuotas del balanceo de cargas.

¿Qué sigue?

• Ajusta las reglas de WAF preconfiguradas
• Configura los atributos del lenguaje de reglas personalizadas