Vista geral das regras de WAF pré-configuradas do Cloud Armor

As regras de WAF pré-configuradas do Google Cloud Armor são regras complexas de firewall de aplicações Web (WAF) com dezenas de assinaturas compiladas a partir de normas da indústria de código aberto. Cada assinatura corresponde a uma regra de deteção de ataques no conjunto de regras. A Google oferece estas regras tal como estão. As regras permitem que o Cloud Armor avalie dezenas de assinaturas de tráfego distintas, consultando regras com nomes convenientes, em vez de exigir que defina cada assinatura manualmente.

As regras da WAF pré-configuradas do Google Cloud Armor podem ser ajustadas para se adequarem melhor às suas necessidades. Para mais informações sobre como ajustar as regras, consulte o artigo Ajuste as regras de WAF pré-configuradas do Google Cloud Armor.

A tabela seguinte contém uma lista abrangente de regras de WAF pré-configuradas que estão disponíveis para utilização numa política de segurança do Cloud Armor. As origens das regras são o conjunto de regras principais (CRS) da OWASP 3.3.2. Recomendamos que use a versão 3.3 para uma maior sensibilidade e uma maior abrangência de tipos de ataques protegidos. O suporte do CRS 3.0 está em curso.

Além disso, as seguintes regras cve-canaryestão disponíveis para todos os clientes do Cloud Armor para ajudar a detetar e, opcionalmente, bloquear as seguintes vulnerabilidades:

• Vulnerabilidades de execução de código remoto (RCE) do Log4j CVE-2021-44228 e CVE-2021-45046
• 942550-sqli Vulnerabilidade de conteúdo formatado em JSON

Regras OWASP pré-configuradas

Cada regra de WAF pré-configurada tem um nível de sensibilidade que corresponde a um nível de paranoia OWASP CRS. Um nível de sensibilidade mais baixo indica uma assinatura de confiança mais elevada, que tem uma menor probabilidade de gerar um falso positivo. Um nível de sensibilidade mais elevado aumenta a segurança, mas também aumenta o risco de gerar um falso positivo.

Injeção SQL (SQLi)

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra de WAF pré-configurada de SQLi.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Por predefinição, sem configurar a sensibilidade do conjunto de regras, o Cloud Armor avalia todas as assinaturas.

Cross-site scripting (XSS)

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra de WAF pré-configurada de XSS.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Por predefinição, sem configurar a sensibilidade do conjunto de regras, o Cloud Armor avalia todas as assinaturas.

Inclusão de ficheiros locais (LFI)

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra de WAF pré-configurada de LFI.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Todas as assinaturas para LFI estão no nível de sensibilidade 1. A seguinte configuração funciona para todos os níveis de sensibilidade:

Execução remota de código (RCE)

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra de WAF pré-configurada de RCE.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Todas as assinaturas para RCE estão no nível de confidencialidade 1. A seguinte configuração funciona para todos os níveis de sensibilidade:

Inclusão de ficheiros remotos (RFI)

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra de WAF pré-configurada de RFI.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Por predefinição, sem configurar a sensibilidade do conjunto de regras, o Cloud Armor avalia todas as assinaturas.

Aplicação de métodos

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra pré-configurada de aplicação de métodos.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Por predefinição, sem configurar a sensibilidade do conjunto de regras, o Cloud Armor avalia todas as assinaturas.

Deteção de scanner

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra preconfigurada de deteção do scanner.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Por predefinição, sem configurar a sensibilidade do conjunto de regras, o Cloud Armor avalia todas as assinaturas.

Ataque de protocolo

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra pré-configurada de ataque de protocolo.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Por predefinição, sem configurar a sensibilidade do conjunto de regras, o Cloud Armor avalia todas as assinaturas.

PHP

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra de WAF pré-configurada do PHP.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Por predefinição, sem configurar a sensibilidade do conjunto de regras, o Cloud Armor avalia todas as assinaturas.

Fixação de sessão

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra pré-configurada de fixação de sessão.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Todas as assinaturas para a fixação de sessão estão no nível de sensibilidade 1. A seguinte configuração funciona para todos os níveis de sensibilidade:

Ataque Java

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra pré-configurada de ataque Java.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Por predefinição, sem configurar a sensibilidade do conjunto de regras, o Cloud Armor avalia todas as assinaturas.

Ataque NodeJS

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra pré-configurada de ataque do NodeJS.

As seguintes assinaturas de regras de WAF pré-configuradas só estão incluídas no CRS 3.3.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Todas as assinaturas para o ataque NodeJS estão no nível de sensibilidade 1. A seguinte configuração funciona para outros níveis de sensibilidade:

CVEs e outras vulnerabilidades

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição de cada assinatura suportada na regra pré-configurada da vulnerabilidade CVE Log4j RCE.

Pode configurar uma regra a um nível de sensibilidade específico usando evaluatePreconfiguredWaf() com um parâmetro de sensibilidade predefinido. Por predefinição, sem configurar a sensibilidade do conjunto de regras, o Cloud Armor avalia todas as assinaturas.

Vulnerabilidade de SQLi de conteúdo formatado em JSON

A tabela seguinte fornece o ID da assinatura, o nível de sensibilidade e a descrição da assinatura suportada 942550-sqli, que abrange a vulnerabilidade em que os atacantes maliciosos podem contornar a WAF ao anexar a sintaxe JSON a payloads de injeção de SQL.

Use a seguinte expressão para implementar a assinatura:

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

Recomendamos que também ative a opção sqli-v33-stable no nível de sensibilidade 2 para resolver totalmente as ignorâncias de injeção de SQL baseadas em JSON.

Limitações

As regras de WAF pré-configuradas do Cloud Armor têm as seguintes limitações:

• Normalmente, as alterações às regras da WAF demoram vários minutos a propagar-se.
• Entre os tipos de pedidos HTTP com um corpo de pedido, o Cloud Armor processa apenas pedidos POST. O Cloud Armor avalia as regras pré-configuradas em função dos primeiros 8 KB do conteúdo do corpo POST. Para mais informações, consulte a secção POST Limitação da inspeção de corpos.
• O Cloud Armor pode analisar e aplicar regras de WAF pré-configuradas a conteúdo formatado em JSON (incluindo pedidos GraphQL over HTTP formatados corretamente) quando a análise JSON está ativada com um valor de cabeçalho Content-Type correspondente. Para mais informações, consulte Análise JSON.
• Quando tem uma exclusão de campo de pedido anexada a uma regra de WAF pré-configurada, não pode usar a ação allow. As solicitações que correspondem à exceção são permitidas automaticamente.

O que se segue?

• Ajuste as regras da WAF pré-configuradas
• Configure atributos de idioma de regras personalizadas