El complemento waf utiliza un motor de reglas basado en ModSecurity para bloquear solicitudes sospechosas. Admite el OWASP ModSecurity Core Rule Set (CRS) para brindar protección básica a los sitios web.
El complemento waf usa reglas de código abierto de ModSecurity. Las reglas predeterminadas son estáticas, por lo que no identifican los riesgos de seguridad más recientes ni actualizan el conjunto de reglas en tiempo real. Para obtener una protección más sólida, habilite la protección de Web Application Firewall (WAF) en las instancias de Cloud-native API Gateway. Para más información, consulte Enable WAF.
Tipo de complemento
Protección de seguridad.
Campos
|
Campo |
Tipo de dato |
Obligatorio |
Valor predeterminado |
Descripción |
|
useCRS |
bool |
No |
false |
Especifica si se habilita el OWASP CRS. Para más detalles, consulte coreruleset. |
|
secRules |
array of string |
No |
- |
Reglas de protección personalizadas para el complemento waf. Para conocer los detalles de sintaxis, consulte la documentación de ModSecurity. |
Ejemplos de configuración
Usar la regla predeterminada
Habilite la regla predeterminada para bloquear solicitudes sospechosas:
useCRS: trueHabilite la regla predeterminada en modo de solo detección, sin bloquear las solicitudes:
useCRS: true
secRules:
- "SecRuleEngine DetectionOnly"Usar reglas de protección personalizadas
useCRS: true
secRules:
- "SecRule REQUEST_URI \"@streq /admin\" \"id:101,phase:1,t:lowercase,deny\""
- "SecRule REQUEST_BODY \"@rx maliciouspayload\" \"id:102,phase:2,t:lowercase,deny\""Las reglas anteriores bloquean las siguientes solicitudes:
curl http://example.com/admin
curl http://example.com -d "maliciouspayload"Habilitar reglas de protección para una ruta o nombre de dominio específico
useCRS: true
secRules:
- "SecRule REQUEST_URI \"@streq /admin\" \"id:101,phase:1,t:lowercase,deny\""
- "SecRule REQUEST_BODY \"@rx maliciouspayload\" \"id:102,phase:2,t:lowercase,deny\""Aplique a continuación las configuraciones del complemento a la ruta route-1:
secRules:
- "SecAction \"id:102,phase:1,deny\""Aplique las siguientes configuraciones del complemento a los nombres de dominio *.example.com y test.com:
secRules:
- "SecAction \"id:102,phase:1,pass\""La ruta
route-1se define al crear la ruta de Cloud-native API Gateway. Si una solicitud de cliente coincide con esta ruta, se aplican las reglas de nivel de ruta.Los nombres de dominio
*.example.comytest.comse comparan con los nombres de dominio de las solicitudes. Cuando una solicitud de cliente coincide con alguno de estos dominios, entran en vigor las reglas de nivel de dominio.Las reglas se aplican en el orden en que se configuran. Una vez que una regla coincide, se omiten las siguientes.