Cloud Armor 预配置的 WAF 规则概览

Google Cloud Armor 预配置的 WAF 规则是具有数十个签名的复杂 Web 应用防火墙 (WAF) 规则，这些规则是根据开源业界标准编译而成的。每个签名都对应于规则集中的攻击检测规则。Google 按原样提供这些规则。借助这些规则，Cloud Armor 可以通过引用方便命名的规则评估数十种不同的流量特征签名，而无需您手动定义每个特征签名。

您可以调整 Google Cloud Armor 预配置的 WAF 规则以尽量满足您的需求。如需详细了解如何调整规则，请参阅调整 Google Cloud Armor 预配置的 WAF 规则。

下表包含可在 Cloud Armor 安全政策中使用的预配置 WAF 规则的完整列表。规则来源为 OWASP 核心规则集 (CRS) 3.3.2。我们建议您使用 3.3 版来提高敏感度，并增加受保护的攻击类型的范围。我们继续为 CRS 3.0 提供支持。

此外，以下 cve-canary 规则适用于所有 Cloud Armor 客户，以帮助检测并选择性地阻止以下漏洞：

• CVE-2021-44228 和 CVE-2021-45046 Log4j RCE 漏洞
• 942550-sqli JSON 格式的内容漏洞

预配置的 OWASP 规则

每个预配置的 WAF 规则的敏感度级别都对应于一个 OWASP CRS 偏执级别。较低的敏感度级别表示较高的置信度签名，生成误报的可能性较小。较高的敏感度级别会提高安全性，但也会增加生成假正例的风险。

SQL 注入 (SQLi)

下表提供了 SQLi 预配置的 WAF 规则中每个支持的签名的 ID、敏感度级别和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。默认情况下，如果不配置规则集的敏感度，Cloud Armor 会评估所有特征签名。

跨站脚本攻击 (XSS)

下表提供了 XSS 预配置的 WAF 规则中每个支持的签名的 ID、敏感度级别和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。默认情况下，如果不配置规则集的敏感度，Cloud Armor 会评估所有特征签名。

本地文件包含 (LFI)

下表提供了 LFI 预配置的 WAF 规则中每个支持的签名的 ID、敏感度级层和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。LFI 的所有签名均位于敏感度级层 1。以下配置适用于所有敏感度级层：

远程代码执行 (RCE)

下表提供了 RCE 预配置的 WAF 规则中每个支持的签名的 ID、敏感度级层和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。RCE 的所有签名均位于敏感度级层 1。以下配置适用于所有敏感度级层：

远程文件包含 (RFI)

下表提供了 RFI 预配置的 WAF 规则中每个支持的签名的 ID、敏感度级层和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。默认情况下，如果不配置规则集的敏感度，Cloud Armor 会评估所有特征签名。

方法强制执行

下表提供了方法强制执行预配置规则中每个支持的签名的签名 ID、敏感度级层和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。默认情况下，如果不配置规则集的敏感度，Cloud Armor 会评估所有特征签名。

扫描程序检测

下表提供了扫描程序检测预配置规则中每个支持的签名的签名 ID、敏感度级层和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。默认情况下，如果不配置规则集的敏感度，Cloud Armor 会评估所有特征签名。

协议攻击

下表提供了协议攻击预配置规则中每个支持的签名的签名 ID、敏感度级层和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。默认情况下，如果不配置规则集的敏感度，Cloud Armor 会评估所有特征签名。

PHP

下表提供了 PHP 预配置的 WAF 规则中每个支持的签名的 ID、敏感度级层和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。默认情况下，如果不配置规则集的敏感度，Cloud Armor 会评估所有特征签名。

会话固定

下表提供了会话固定预配置规则中每个支持的签名的签名 ID、敏感度级层和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。会话固定的所有签名均位于敏感度级层 1。以下配置适用于所有敏感度级层：

Java 攻击

下表提供了 Java 攻击预配置规则中每个支持的签名的 ID、敏感度级别和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。默认情况下，如果不配置规则集的敏感度，Cloud Armor 会评估所有特征签名。

NodeJS 攻击

下表提供了 NodeJS 攻击预配置规则中每个支持的签名的 ID、敏感度级别和说明。

以下预配置 WAF 规则的签名仅在 CRS 3.3 中提供。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。NodeJS 攻击的所有签名均位于敏感度级层 1。以下配置适用于其他敏感度级层：

CVE 和其他漏洞

下表提供了 CVE Log4j RCE 漏洞预配置规则中每个支持的签名的签名 ID、敏感度级别和说明。

您可以通过将 evaluatePreconfiguredWaf() 与预设敏感度参数结合使用，在特定敏感度级层配置规则。默认情况下，如果不配置规则集的敏感度，Cloud Armor 会评估所有特征签名。

JSON 格式的内容 SQLi 漏洞

下表提供了受支持签名 942550-sqli 的签名 ID、敏感度级别和说明，其中涵盖恶意攻击者可能通过将 JSON 语法附加到 SQL 注入载荷来绕过 WAF 的漏洞。

使用以下表达式部署签名：

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

我们建议您在敏感度级层 2 启用 sqli-v33-stable，以完全解决基于 JSON 的 SQL 注入绕过问题。

限制

Cloud Armor 预配置的 WAF 规则具有以下限制：

• WAF 规则更改通常需要几分钟来进行传播。
• 在带有请求正文的 HTTP 请求类型中，Cloud Armor 仅处理 POST 请求。Cloud Armor 会根据 POST 正文的前 8 KB 内容评估预配置规则。如需了解详情，请参阅 POST 正文检查限制。
• 当通过匹配的 Content-Type 标头值启用 JSON 解析时，Cloud Armor 可对 JSON 格式的内容（包括格式正确的 GraphQL over HTTP 请求）进行解析并应用预配置的 WAF 规则。如需了解详情，请参阅 JSON 解析。
• 如果您已将请求字段排除项附加到预配置的 WAF 规则，则无法使用 allow 操作。系统会自动允许与该例外情况相匹配的请求。

后续步骤

• 调整预配置的 WAF 规则
• 配置自定义规则语言属性