Web uygulaması güvenlik duvarı, kural grupları ve kuralları

  • Makale
  • Okumak için 28 dakika

Application Gateway Web uygulaması güvenlik duvarı (WAF), Web uygulamalarını ortak güvenlik açıklarına ve açıklardan yararlanan korur. Bu, OWASP Core kural kümelerine 3,2, 3,1, 3,0 veya 2.2.9 göre tanımlanan kurallar aracılığıyla yapılır. Bu kurallar kural temelinde devre dışı bırakılabilir. Bu makale, sunulan geçerli kuralları ve kural kümelerini içerir. Yayınlanmış bir RuleSet 'in güncelleştirilmesi gerektiğinden nadir olarak, burada belgelenecektir.

Çekirdek kural kümeleri

Application Gateway WAF, varsayılan olarak 3,0 ile önceden yapılandırılmış olarak gelir. Ancak bunun yerine, 2.2.9 3,2, 3,1 veya kullanmayı seçebilirsiniz.

Ayrıntılar 3,2 (Genel Önizleme), Java bulaşmalarına karşı yeni bir altyapı ve yeni kural kümeleri sunar, bir ilk dosya karşıya yükleme denetimi kümesi, sabit hatalı pozitif sonuçlar ve daha fazlasını sunar.

Bu 3,1, 2.2.9 3,0 ve ile karşılaştırıldığında azaltılmış hatalı pozitif sonuçlar sunar. Ayrıca, kuralları gereksinimlerinize uyacak şekilde özelleştirebilirsiniz.

Kuralları yönetir

WAF aşağıdaki Web açıklarına karşı koruma sağlar:

  • SQL ekleme saldırıları
  • Siteler arası betik saldırıları
  • Komut ekleme, HTTP isteği, HTTP yanıtı bölme ve uzak dosya ekleme gibi diğer yaygın saldırılar
  • HTTP protokol ihlalleri
  • Eksik konak Kullanıcı Aracısı ve kabul başlıkları gibi HTTP protokol bozuklukları
  • Botlar, gezginler ve tarayıcıları
  • Yaygın uygulama yapılandırması hataları (örneğin, Apache ve IIS)

OWASP baskı 3,2 (Genel Önizleme)

Aşağıdaki tabloda gösterildiği gibi, bu 3,2 ' de 13 kural grubu bulunur. Her grup, devre dışı bırakılabilen birden çok kural içerir.

Not

Yalnızca WAF_v2 SKU 'sunda yukarı ve 3,2 bulunur.

Kural grubu Description
Genel Genel Grup
REQUEST-911-METHOD-ENFORCEMENT Kilitleme yöntemleri (PUT, PATCH)
REQUEST-913-SCANNER-DETECTION Bağlantı noktası ve ortam tarayıcımalarına karşı koruma
REQUEST-920-PROTOCOL-ENFORCEMENT Protokol ve kodlama sorunlarına karşı koruma
REQUEST-921-PROTOCOL-ATTACK Üst bilgi ekleme, istek tepki verme ve yanıt bölme için koruma
REQUEST-930-APPLICATION-ATTACK-LFI Dosya ve yol saldırılarına karşı koruma
REQUEST-931-APPLICATION-ATTACK-RFI Uzak dosya ekleme (RFI) saldırılarına karşı koruma
REQUEST-932-APPLICATION-ATTACK-RCE Yeniden koru uzaktan kod yürütme saldırıları
REQUEST-933-APPLICATION-ATTACK-PHP PHP ekleme saldırılarına karşı koruma
REQUEST-941-APPLICATION-ATTACK-XSS Siteler arası betik saldırılarına karşı koruma
REQUEST-942-APPLICATION-ATTACK-SQLI SQL ekleme saldırılarına karşı koruma
REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION Oturum düzeltme saldırılarına karşı koruma
ISTEK-944-UYGULAMA-SALDıRı-OTURUM-JAVA JAVA saldırılarına karşı koruma

OWASP YUKARı 3,1

Aşağıdaki tabloda gösterildiği gibi, bu 3,1 ' de 13 kural grubu bulunur. Her grup, devre dışı bırakılabilen birden çok kural içerir.

Not

Yalnızca WAF_v2 SKU 'sunda yukarı ve 3,1 bulunur.

Kural grubu Description
Genel Genel Grup
REQUEST-911-METHOD-ENFORCEMENT Kilitleme yöntemleri (PUT, PATCH)
REQUEST-913-SCANNER-DETECTION Bağlantı noktası ve ortam tarayıcımalarına karşı koruma
REQUEST-920-PROTOCOL-ENFORCEMENT Protokol ve kodlama sorunlarına karşı koruma
REQUEST-921-PROTOCOL-ATTACK Üst bilgi ekleme, istek tepki verme ve yanıt bölme için koruma
REQUEST-930-APPLICATION-ATTACK-LFI Dosya ve yol saldırılarına karşı koruma
REQUEST-931-APPLICATION-ATTACK-RFI Uzak dosya ekleme (RFI) saldırılarına karşı koruma
REQUEST-932-APPLICATION-ATTACK-RCE Yeniden koru uzaktan kod yürütme saldırıları
REQUEST-933-APPLICATION-ATTACK-PHP PHP ekleme saldırılarına karşı koruma
REQUEST-941-APPLICATION-ATTACK-XSS Siteler arası betik saldırılarına karşı koruma
REQUEST-942-APPLICATION-ATTACK-SQLI SQL ekleme saldırılarına karşı koruma
REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION Oturum düzeltme saldırılarına karşı koruma
ISTEK-944-UYGULAMA-SALDıRı-OTURUM-JAVA JAVA saldırılarına karşı koruma

OWASP YUKARı 3,0

Aşağıdaki tabloda gösterildiği gibi, bu 3,0, 12 kural grubunu içerir. Her grup, devre dışı bırakılabilen birden çok kural içerir.

Kural grubu Description
Genel Genel Grup
REQUEST-911-METHOD-ENFORCEMENT Kilitleme yöntemleri (PUT, PATCH)
REQUEST-913-SCANNER-DETECTION Bağlantı noktası ve ortam tarayıcımalarına karşı koruma
REQUEST-920-PROTOCOL-ENFORCEMENT Protokol ve kodlama sorunlarına karşı koruma
REQUEST-921-PROTOCOL-ATTACK Üst bilgi eklemeye, istekte aşılamaya ve yanıt bölmeye karşı koruma
REQUEST-930-APPLICATION-ATTACK-LFI Dosya ve yol saldırılarına karşı koruma
REQUEST-931-APPLICATION-ATTACK-RFI Uzak dosya ekleme (RFI) saldırılarına karşı koruma
REQUEST-932-APPLICATION-ATTACK-RCE Uzaktan kod yürütme saldırılarını yeniden koruma
REQUEST-933-APPLICATION-ATTACK-PHP PHP ekleme saldırılarına karşı koruma
REQUEST-941-APPLICATION-ATTACK-XSS Siteler arası betik saldırılarına karşı koruma
REQUEST-942-APPLICATION-ATTACK-SQLI Yeni ekleme SQL karşı koruma
REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION Oturum düzeltme saldırılarına karşı koruma

OWASP CRS 2.2.9

CRS 2.2.9, aşağıdaki tabloda gösterildiği gibi 10 kural grubu içerir. Her grup, devre dışı bırakılabilir birden çok kural içerir.

Kural grubu Description
crs_20_protocol_violations Protokol ihlallerine karşı koruma (geçersiz karakterler veya istek gövdeli GET gibi)
crs_21_protocol_anomalies Yanlış üst bilgi bilgilerine karşı koruma
crs_23_request_limits Sınırlamaları aşan bağımsız değişkenlere veya dosyalara karşı koruma
crs_30_http_policy Kısıtlı yöntemlere, üst bilgilere ve dosya türlerine karşı koruma
crs_35_bad_robots Web gezginlerine ve tarayıcılara karşı koruma
crs_40_generic_attacks Genel saldırılara karşı koruma (oturum düzeltmesi, uzak dosya ekleme ve PHP ekleme gibi)
crs_41_sql_injection_attacks Yeni ekleme SQL karşı koruma
crs_41_xss_attacks Siteler arası betik saldırılarına karşı koruma
crs_42_tight_security Yol çapraz geçiş saldırılarına karşı koruma
crs_45_trojans Arka kapı truva atlarına karşı koruma

Aşağıdaki kural grupları ve kuralları, web üzerinde Web Uygulaması Güvenlik Duvarı Application Gateway.

3.2 kural kümeleri

Genel

RuleId Description
200004 Olası Çok Parçalı Eşleşmeyen Sınır.

REQUEST-911-METHOD-ENFORCEMENT

RuleId Description
911100 İlke yöntemine izin verilmiyor

REQUEST-913-SCANNER-DETECTION

RuleId Description
913100 Güvenlik User-Agent ilişkili bir dosya bulundu
913101 Betik User-Agent/genel HTTP istemcisiyle ilişkili bir bağlantı bulundu
913102 Web User-Agent/bot ile ilişkili bir bağlantı bulundu
913110 Güvenlik tarayıcısıyla ilişkili istek üst bilgisi bulundu
913120 Güvenlik tarayıcısıyla ilişkili istek dosya adı/bağımsız değişkeni bulundu

REQUEST-920-PROTOCOL-ENFORCEMENT

RuleId Description
920100 Geçersiz HTTP İstek Satırı
920120 Çok parçalı/form-veri atlama girişimi
920121 Çok parçalı/form-veri atlama girişimi
920160 Content-Length HTTP üst bilgisi sayısal değildir.
920170 Gövde İçeriği ile GET veya HEAD İsteği.
920171 Aktarım Kodlaması ile GET veya HEAD İsteği.
920180 POST isteği content-length üst bilgisi eksik.
920190 Aralık: Geçersiz Son Bayt Değeri.
920200 Aralık: Çok fazla alan (6 veya daha fazla)
920201 Aralık: Pdf isteği için çok fazla alan var (35 veya daha fazla)
920202 Aralık: Pdf isteği için çok fazla alan var (6 veya daha fazla)
920210 Birden Çok/Çakışan Bağlantı Üst Bilgisi Verileri Bulundu.
920220 URL Kodlaması Kötüye Kullanım Saldırısı Girişimi
920230 Birden Çok URL Kodlaması Algılandı
920240 URL Kodlaması Kötüye Kullanım Saldırısı Girişimi
920250 UTF8 kötüye kullanımı kötüye saldırı girişimi
920260 Unicode tam/yarı genişlik kötüye kullanımı saldırı girişimi
920270 İstekte geçersiz karakter (null karakter)
920271 İstekte geçersiz karakter (yazdırılamayan karakterler)
920272 İstekteki karakter geçersiz (ASCII 127 ' ün altında yazdırılabilir karakterlerin dışında)
920273 İstekte geçersiz karakter (çok katı küme dışında)
920274 İstek üst bilgilerinde geçersiz karakter (çok katı küme dışında)
920280 İstekte bir konak üstbilgisi eksik
920290 Boş ana bilgisayar üstbilgisi
920310 İstekte boş bir Accept üst bilgisi yok
920311 İstekte boş bir Accept üst bilgisi yok
920320 Eksik Kullanıcı Aracısı üstbilgisi
920330 Boş Kullanıcı Aracısı üstbilgisi
920340 Içerik Içeren istek, ancak Içerik türü üst bilgisi eksik
920341 İçerik içeren istek Content-Type üst bilgisi gerektiriyor
920350 Ana bilgisayar üst bilgisi sayısal bir IP adresidir
920420 İlke tarafından istek içerik türüne izin verilmiyor
920430 İlke tarafından HTTP protokol sürümüne izin verilmiyor
920440 URL dosya uzantısı ilkeyle kısıtlıdır
920450 HTTP üstbilgisi ilkeyle kısıtlıdır (% {MATCHED_VAR})
920460 Olağan dışı kaçış karakterleri
920470 Geçersiz Content-Type üst bilgisi
920480 Content-Type üst bilgisinde karakter kümesi parametresini kısıtla

ISTEK-921-PROTOKOL-SALDıRı

RuleId Description
921110 HTTP Isteği, Uytoze saldırısı
921120 HTTP yanıt bölme saldırısı
921130 HTTP yanıt bölme saldırısı
921140 Üst bilgiler aracılığıyla HTTP üst bilgisi ekleme saldırısı
921150 Yük aracılığıyla HTTP üst bilgisi ekleme saldırısı (CR/LF algılandı)
921151 Yük aracılığıyla HTTP üst bilgisi ekleme saldırısı (CR/LF algılandı)
921160 Yük (CR/LF ve üstbilgi-Name algılandı) aracılığıyla HTTP üst bilgisi ekleme saldırısı
921170 HTTP parametre Kirlilii
921180 HTTP parametre Kirlilii (% {TX. 1})

ISTEK-930-UYGULAMA SALDıRıSı-LFI

RuleId Description
930100 Yol çapraz geçiş saldırısı (/.. /)
930110 Yol çapraz geçiş saldırısı (/.. /)
930120 İşletim sistemi dosyası erişim denemesi
930130 Kısıtlanmış dosya erişim denemesi

ISTEK-931-UYGULAMA-SALDıRı-RFI

RuleId Description
931100 Olası uzak dosya ekleme (RFI) saldırısı: IP adresini kullanan URL parametresi
931110 Olası uzak dosya ekleme (RFI) saldırısı: ortak RFI güvenlik açığı parametre adı kullanılan w/URL yükü
931120 Olası uzak dosya ekleme (RFI) saldırısı: URL yükü kullanılan w/sondaki soru Işareti karakteri (?)
931130 Olası uzak dosya ekleme (RFI) saldırısı: Off-Domain başvuru/bağlantı

ISTEK-932-UYGULAMA-SALDıRı-RCE

RuleId Description
932100 Uzaktan komut yürütme: Unix komut ekleme
932105 Uzaktan komut yürütme: Unix komut ekleme
932106 Uzaktan komut yürütme: Unix komut ekleme
932110 uzak komut yürütme: Windows komutu ekleme
932115 Uzaktan Komut Yürütme: Windows Ekleme
932120 Uzaktan Komut Yürütme: Windows PowerShell Komutu Bulundu
932130 Uzaktan Komut Yürütme: Unix Kabuk İfadesi Bulundu
932140 Uzaktan Komut Yürütme: Windows FOR/IF Komutu Bulundu
932150 Uzaktan Komut Yürütme: Doğrudan Unix Komut Yürütme
932160 Uzaktan Komut Yürütme: Unix Kabuk Kodu Bulundu
932170 Uzaktan Komut Yürütme: Shellshock (CVE-2014-6271)
932171 Uzaktan Komut Yürütme: Shellshock (CVE-2014-6271)
932180 Kısıtlı Dosya Upload Denemesi
932190 Uzaktan Komut Yürütme: Joker karakter atlama tekniği girişimi

REQUEST-933-APPLICATION-ATTACK-PHP

RuleId Description
933100 PHP Ekleme Saldırısı: Açma/Kapatma Etiketi Bulundu
933110 PHP Ekleme Saldırısı: PHP Betik Dosyası Upload Bulundu
933111 PHP Ekleme Saldırısı: PHP Betik Dosyası Upload Bulundu
933120 PHP Ekleme Saldırısı: Yapılandırma Yönergesi Bulundu
933130 PHP Ekleme Saldırısı: Değişkenler Bulundu
933131 PHP Ekleme Saldırısı: Değişkenler Bulundu
933140 PHP Ekleme Saldırısı: I/O Akışı Bulundu
933150 PHP Ekleme Saldırısı: High-Risk PHP İşlev Adı Bulundu
933151 PHP Ekleme Saldırısı: Medium-Risk PHP İşlev Adı Bulundu
933160 PHP Ekleme Saldırısı: High-Risk PHP İşlev Çağrısı Bulundu
933161 PHP Ekleme Saldırısı: Low-Value PHP İşlev Çağrısı Bulundu
933170 PHP Ekleme Saldırısı: Serileştirilmiş Nesne Ekleme
933180 PHP Ekleme Saldırısı: Değişken İşlev Çağrısı Bulundu
933190 PHP Ekleme Saldırısı: PHP Kapanış Etiketi Bulundu
933200 PHP Ekleme Saldırısı: Sarmalayıcı şeması algılandı
933210 PHP Ekleme Saldırısı: Değişken İşlev Çağrısı Bulundu

REQUEST-941-APPLICATION-ATTACK-XSS

RuleId Description
941100 Libinjection aracılığıyla algılanan XSS Saldırısı
941101 Libinjection aracılığıyla algılanan XSS Saldırısı.
941110 XSS Filtresi - Kategori 1: Betik Etiketi Vektörü
941120 XSS Filtresi - Kategori 2: Olay İşleyicisi Vektörü
941130 XSS Filtresi - Kategori 3: Öznitelik Vektörü
941140 XSS Filtresi - Kategori 4: JavaScript URI Vektörü
941150 XSS Filtresi - Kategori 5: Izin verilmeyen HTML Öznitelikleri
941160 NoScript XSS InjectionChecker: HTML Ekleme
941170 NoScript XSS InjectionChecker: Öznitelik Ekleme
941180 Node-Validator Anahtar Sözcükleri Kara Listeye Ekleyin
941190 Stil sayfalarını kullanarak XSS
941200 VML çerçeveleri kullanarak XSS
941210 Karartmış JavaScript kullanarak XSS
941220 Karartıldı VB Betiği kullanan XSS
941230 'embed' etiketini kullanarak XSS
941240 'import' veya 'implementation' özniteliğini kullanarak XSS
941250 IE XSS Filtreleri - Saldırı Algılandı.
941260 'meta' etiketini kullanarak XSS
941270 'link' href kullanarak XSS
941280 'base' etiketini kullanan XSS
941290 'applet' etiketini kullanan XSS
941300 'object' etiketini kullanarak XSS
941310 US-ASCII Yanlış Biçimlendirilmiş Kodlama XSS Filtresi - Saldırı Algılandı.
941320 Olası XSS Saldırısı Algılandı - HTML Etiketi İşleyicisi
941330 IE XSS Filtreleri - Saldırı Algılandı.
941340 IE XSS Filtreleri - Saldırı Algılandı.
941350 UTF-7 Kodlama IE XSS - Saldırı Algılandı.
941360 JavaScript karartma algılandı.

REQUEST-942-APPLICATION-ATTACK-SQLI

RuleId Description
942100 SQL Ekleme Saldırısı libinjection aracılığıyla algılandı
942110 SQL Ekleme Saldırısı: Yaygın Ekleme Testi Algılandı
942120 SQL Ekleme Saldırısı: SQL İşleci Algılandı
942130 SQL Ekleme Saldırısı: SQL Algılandı.
942140 SQL Ekleme Saldırısı: Yaygın Veritabanı Adları Algılandı
942150 SQL Ekleme Saldırısı
942160 sleep() veya benchmark() kullanarak kör sqli testlerini algılar.
942170 Koşullu SQL dahil olmak üzere kıyaslama ve uyku ekleme denemelerini algılar
942180 Kimlik doğrulaması atlama SQL 1/3 temel girişimlerini algılar
942190 MSSQL kodu yürütme ve bilgi toplama girişimlerini algılar
942200 MySQL açıklama/boşluk karartma ekleme ve geri alma sonlandırmayı algılar
942210 Zincirleme veya SQL 1/2 denemelerini algılar
942220 Tamsayı taşma saldırılarını arıyor, bunlar atlama dizilerinden alınmaktadır, ancak "sihirli sayı" kilitlenmesi 3.00738585072007e-308 dışında alınır
942230 Koşullu SQL denemelerini algılar
942240 MySQL karakter kümesi anahtarını ve MSSQL DoS girişimlerini algılar
942250 MATCH AGAINST, MERGE ve EXECUTE IMMEDIATE eklemelerini algılar
942251 HAVING eklemelerini algılar
942260 2/3 SQL kimlik doğrulaması atlama girişimlerini algılar
942270 Temel SQL eklemesi mi gerekiyor? mysql, oracle ve diğerleri için yaygın saldırı dizesi.
942280 Postgres'i pg_sleep, gecikme saldırılarını beklemeyi ve veritabanı kapatma girişimlerini algılar
942290 Temel MongoDB'yi SQL denemelerini bulur
942300 MySQL açıklamalarını, koşullarını ve ch(a)r eklemelerini algılar
942310 Zincirleme veya SQL 2/2 denemelerini algılar
942320 MySQL ve PostgreSQL saklı yordamını/işlev eklemelerini algılar
942330 Klasik SQL yoklamalarını algılar 1/2
942340 3/3 SQL kimlik doğrulaması atlama denemelerini algılar
942350 MySQL UDF ekleme ve diğer veri/yapı işleme girişimlerini algılar
942360 Bir concatenated basic SQL ekleme ve SQLLFI denemelerini algılar
942361 Anahtar sözcük değiştirme SQL temel anahtar sözcük ekleme özelliğini algılar
942370 Klasik SQL yoklamalarını algılar 2/2
942380 SQL Ekleme Saldırısı
942390 SQL Ekleme Saldırısı
942400 SQL Ekleme Saldırısı
942410 SQL Ekleme Saldırısı
942420 Kısıtlı SQL Karakter Anomali Algılama (tanımlama bilgileri): Özel karakter sayısı aşıldı (8)
942421 Kısıtlı SQL Karakter Anomali Algılama (tanımlama bilgileri): # özel karakter sayısı aşıldı (3)
942430 Kısıtlı SQL Karakter Anomali Algılama (args): Aşılmış özel karakter sayısı (12)
942431 Kısıtlı SQL Karakter Anomali Algılama (args): Özel karakter sayısı aşıldı (6)
942432 Kısıtlı SQL Karakter Anomali Algılama (args): # özel karakter sayısı aşıldı (2)
942440 SQL Açıklama Dizisi Algılandı.
942450 SQL Tanımlanan Hex Kodlaması
942460 Meta-Character anomali algılama uyarısı-yinelenen sözcük olmayan karakterler
942470 SQL Ekleme saldırısı
942480 SQL Ekleme saldırısı
942490 klasik SQL ekleme ayarlarını algılar 3/3
942500 MySQL satır içi yorumu algılandı.

ISTEK-943-UYGULAMA-SALDıRı-OTURUM-DÜZELTME

RuleId Description
943100 Olası oturum düzeltme saldırısı: HTML 'de tanımlama bilgisi değerlerini ayarlama
943110 Olası oturum düzeltme saldırısı: SessionID parametre adı Off-Domain Referer
943120 Olası oturum düzeni saldırısı: SessionID parametre adı, hiçbir Referer yok

ISTEK-944-UYGULAMA-SALDıRı-JAVA

RuleId Description
944100 Uzak komut yürütme: Apache Strmalar, Oracle WebLogic
944110 Olası yük yürütmeyi algılar
944120 Olası yük yürütme ve uzak komut yürütme
944130 Kuşkulu Java sınıfları
944200 Java serisini kaldırma Apache Commons ile yararlanma
944210 Java serileştirme 'in olası kullanımı
944240 Uzaktan komut yürütme: Java serileştirme
944250 Uzaktan komut yürütme: kuşkulu Java yöntemi algılandı
944300 Base64 kodlamalı dize ile eşleşen şüpheli anahtar sözcük

Sonraki adımlar