Web Application Firewall regels aanpassen met de Azure CLI
De Azure Application Gateway Web Application Firewall (WAF) biedt beveiliging voor webtoepassingen. Deze beveiligingen worden geleverd door de Crs (Open Web Application Security Project) Core Rule Set (OWASP). Sommige regels kunnen fout-positieven veroorzaken en echt verkeer blokkeren. Daarom biedt Application Gateway de mogelijkheid om regelgroepen en regels aan te passen. Zie Lijst met Web Application Firewall CRS-regelgroepen en -regels voor meer informatie over de specifieke regelgroepen en regels.
Regelgroepen en regels weergeven
In de volgende codevoorbeelden ziet u hoe u regels en regelgroepen kunt weergeven die configureerbaar zijn.
Regelgroepen weergeven
In het volgende voorbeeld ziet u hoe u de regelgroepen kunt weergeven:
az network application-gateway waf-config list-rule-sets --type OWASP
De volgende uitvoer is een afgekapt antwoord uit het voorgaande voorbeeld:
[
{
"id": "/subscriptions//resourceGroups//providers/Microsoft.Network/applicationGatewayAvailableWafRuleSets/",
"location": null,
"name": "OWASP_3.0",
"provisioningState": "Succeeded",
"resourceGroup": "",
"ruleGroups": [
{
"description": "",
"ruleGroupName": "REQUEST-910-IP-REPUTATION",
"rules": null
},
...
],
"ruleSetType": "OWASP",
"ruleSetVersion": "3.0",
"tags": null,
"type": "Microsoft.Network/applicationGatewayAvailableWafRuleSets"
},
{
"id": "/subscriptions//resourceGroups//providers/Microsoft.Network/applicationGatewayAvailableWafRuleSets/",
"location": null,
"name": "OWASP_2.2.9",
"provisioningState": "Succeeded",
"resourceGroup": "",
"ruleGroups": [
{
"description": "",
"ruleGroupName": "crs_20_protocol_violations",
"rules": null
},
...
],
"ruleSetType": "OWASP",
"ruleSetVersion": "2.2.9",
"tags": null,
"type": "Microsoft.Network/applicationGatewayAvailableWafRuleSets"
}
]
Regels in een regelgroep weergeven
In het volgende voorbeeld ziet u hoe u regels in een opgegeven regelgroep kunt weergeven:
az network application-gateway waf-config list-rule-sets --group "REQUEST-910-IP-REPUTATION"
De volgende uitvoer is een afgekapt antwoord uit het voorgaande voorbeeld:
[
{
"id": "/subscriptions//resourceGroups//providers/Microsoft.Network/applicationGatewayAvailableWafRuleSets/",
"location": null,
"name": "OWASP_3.0",
"provisioningState": "Succeeded",
"resourceGroup": "",
"ruleGroups": [
{
"description": "",
"ruleGroupName": "REQUEST-910-IP-REPUTATION",
"rules": [
{
"description": "Rule 910011",
"ruleId": 910011
},
...
]
}
],
"ruleSetType": "OWASP",
"ruleSetVersion": "3.0",
"tags": null,
"type": "Microsoft.Network/applicationGatewayAvailableWafRuleSets"
}
]
Regels uitschakelen
In het volgende voorbeeld worden regels 910018
en 910017
op een toepassingsgateway uitgeschakeld:
az network application-gateway waf-config set --resource-group AdatumAppGatewayRG --gateway-name AdatumAppGateway --enabled true --rule-set-version 3.0 --disabled-rules 910018 910017
Verplichte regels
De volgende lijst bevat voorwaarden die ervoor zorgen dat de WAF de aanvraag blokkeert in de preventiemodus (in de detectiemodus worden ze geregistreerd als uitzonderingen). Deze voorwaarden kunnen niet worden geconfigureerd of uitgeschakeld:
- Als de aanvraagbody niet wordt geparseerd, wordt de aanvraag geblokkeerd, tenzij de hoofdtekstcontrole is uitgeschakeld (XML, JSON, formuliergegevens)
- De gegevenslengte van de aanvraagbody (zonder bestanden) is groter dan de geconfigureerde limiet
- Aanvraagbody (inclusief bestanden) is groter dan de limiet
- Er is een interne fout opgetreden in de WAF-engine
CRS 3.x specifiek:
- Drempelwaarde voor inkomend verkeer
anomaly score
is overschreden
Volgende stappen
Nadat u de uitgeschakelde regels hebt geconfigureerd, kunt u leren hoe u uw WAF-logboeken kunt weergeven. Zie diagnostische gegevens Application Gateway voor meer informatie.