Web Application Firewall:Extensiones

Habilitar la función Extensions

Para usar Extensions, complete los siguientes pasos de activación:

1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.

2. En el panel de navegación izquierdo, elija Protection Config > Global Configuration > Extensions.

3. Haga clic en Buy Now y siga las instrucciones en pantalla para habilitar la función.

Crear una extensión

En la página Extensions, haga clic en Create Extension y configure los siguientes parámetros.

• Basic Info: Introduzca un Plugin Name y una Plugin Description fáciles de identificar.

• Plugin Code: Escriba aquí el script de Lua para implementar su lógica de seguridad personalizada. Por ejemplo, consulte Appendix: Custom Lua script API reference para obtener más información sobre la API.

  Nota

  Alibaba Cloud publicó WAF Lua Extension Development Skill. Esta Skill utiliza un asistente de programación con IA para generar y depurar rápidamente scripts de extensión de Lua, lo que reduce la barrera de entrada para los desarrolladores. La Skill está disponible en los siguientes enlaces:

  • Portal de Skills de Alibaba Cloud

  • GitHub

  • skill.sh

  • ClawHub

  -- Custom Lua script example: Extract a query parameter and compare it with a custom parameter. Block if they do not match.
  
  -- Step 1: Extract the request parameter
  local token = aliwaf.req.get_arg('token')
  
  -- Step 2: Compare with the custom parameter
  if token ~= params.token then
      aliwaf.func.punish()
  end 

  Importante

  • Para garantizar la estabilidad del sistema WAF, el tiempo de ejecución de un solo script de Lua por solicitud se limita a 2 ms. Durante la fase de Debug and Test, si el tiempo de ejecución supera este límite, el script no pasa la prueba y la creación falla. Durante la ejecución real, si el tiempo de ejecución de un script supera los 2 ms para una solicitud, el sistema omite dicha ejecución.

  • No codifique de forma rígida información confidencial (como claves) en su código. En su lugar, utilice la función Parameter Definition que se describe a continuación.

• Parameter Definition: Extraiga los valores codificados de forma rígida de los scripts hacia parámetros configurables para separar la lógica de los datos. Esto le permite ajustar políticas de forma dinámica sin modificar el código y gestionar las claves de manera segura. Haga clic en Add Parameter y complete la siguiente configuración:

  • Parameter Name: El nombre de la variable al que se hace referencia en el script (por ejemplo, secret_key).

  • Parameter Type: Los tipos compatibles incluyen String, Number, Boolean, JSON Object y JSON Array. Asegúrese de que el tipo coincida con la lógica de manejo en su script.

  • Parameter Description: Describe el propósito del parámetro.

  • Parameter Value: Admite los dos modos siguientes:

    • Manual Input: Introduzca el valor directamente.

    • Use KMS Credential: Haga referencia a una credencial ya creada en Key Management Service para almacenar datos confidenciales de forma segura. Para que WAF pueda hacer referencia correctamente a la credencial, debe adjuntarle la siguiente etiqueta:

      • Tag Key: waf:access:enable

      • Tag Value: true

• Debug and Test:

  • Plugin Action Parameters: Actualmente solo admite el modo Block, que bloquea la solicitud.

  • Traffic Parameters: Simula tráfico real de solicitudes HTTP. Haga clic en Add Parameter e introduzca un Parameter Name (como method, uri o args) y su Parameter Value correspondiente.

    Por ejemplo, establezca method en POST y uri en /login para probar la lógica de protección de un endpoint de inicio de sesión.

• Execution Result: Haga clic en Run and Debug. El sistema ejecuta el script con el tráfico simulado y usted puede consultar el panel Execution Result a la derecha. Si el resultado indica un error, corrija el código basándose en los mensajes de error específicos.

Pasos siguientes

Después de crear una extensión, debe hacer referencia a ella en una plantilla de protección de Custom Rule. Para obtener más información, consulte Custom rules.

Operaciones diarias

En la página Extensions, puede realizar las siguientes operaciones:

• Consultar la lista de plugins: Muestra todas las extensiones. Use el cuadro de búsqueda para introducir el nombre de un plugin y encontrarlo rápidamente.

• Consultar las reglas de protección asociadas: Localice el plugin de destino y haga clic en el icono de la columna Associated Rules para mostrar los ID de las reglas de protección asociadas. Puede copiar un ID y buscarlo en la página Core Web Protection o Security Reports.

• Editar una extensión: Localice el plugin de destino y haga clic en Edit en la columna Actions para modificar su configuración.

• Eliminar una extensión: Localice el plugin de destino y haga clic en Delete en la columna Actions para quitar la extensión.

Apéndice: Referencia de la API de scripts de Lua personalizados

Interfaces principales para scripts de Lua personalizados. Estas abarcan la lectura de datos de solicitudes, el cifrado y descifrado, y el control de flujo de las solicitudes.

POST /api/v1/orders?source=web&campaign=spring2024 HTTP/1.1
Host: shop.example.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)
Cookie: session_id=abc123xyz; user_prefs=lang%3Den%26theme%3Ddark
Content-Type: application/json
Content-Length: 68
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx
Accept: application/json

eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0=

-- POST --
local method = aliwaf.req.get_method()

-- /api/v1/orders --
local uri = aliwaf.req.get_uri()

-- shop.example.com --
local domain = aliwaf.req.get_domain()

-- source=web&campaign=spring2024 --
local query = aliwaf.req.get_query()

-- web --
local source = aliwaf.req.get_arg('source')

-- abc123xyz --
local session_id = aliwaf.req.get_cookie('session_id')

-- Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx --
local auth = aliwaf.req.get_header('Authorization')

aliwaf.func.wait_request_body()

-- Body not fully received; wait for it --
if not aliwaf.func.is_last_fragment_arrived() then
  aliwaf.func.wait_request_body()
  return
end

-- Body fully received; check if truncated --
if aliwaf.func.is_request_body_discarded() then
  return
end

-- eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0= --
local body = aliwaf.req.get_body()

-- TODO: Apply business logic to the complete body --

-- a%20b --
local data1 = aliwaf.util.escape_uri('a b')

-- a b --
local data2 = aliwaf.util.unescape_uri('a%20b')

-- DEADBEEF --
local data1 = aliwaf.util.hex_encode(string.char(0xDE, 0xAD, 0xBE, 0xEF))

-- \xDE\xAD\xBE\xEF --
local data2 = aliwaf.util.hex_decode('DEADBEEF')

-- aGVsbG8= --
local data1 = aliwaf.util.base64_encode('hello')

-- hello --
local data2 = aliwaf.util.base64_decode('aGVsbG8=')

-- 5d41402abc4b2a76b9719d911017c592 --
local md5 = aliwaf.util.md5('hello')

-- 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824 --
local sha = aliwaf.util.sha256('hello')

-- 3287646509 --
local crc = aliwaf.util.crc32('hello')

local data1 = aliwaf.util.evp_encrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', 'hello')

local data2 = aliwaf.util.evp_decrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', data1)

local sign = aliwaf.util.es256_sign('private_key-1234', 'hello')

local result = aliwaf.util.es256_verify('public_key-12345', 'hello', sign)

-- Current millisecond-level timestamp (integer) --
local timestamp = aliwaf.util.get_current_ms()

-- Take action on the current request based on the pre-selected action --
aliwaf.func.punish()