Web Application Firewall:Campos de registro

Inicial

Campo

a

• Objetos protegidos: account

• Reglas personalizadas: acl_action | acl_rule_id | acl_rule_type | acl_test

• Protección contra escaneos: antiscan_action | antiscan_rule_id | antiscan_rule_type | antiscan_test

• Gestión de bots: appsdk_umid

b

• Tamaño del cuerpo de la respuesta en bytes: body_bytes_sent

  Importante

  El campo body_bytes_sent no es compatible con objetos protegidos que sean servicios de Function Compute (FC).

• Identificadores de las reglas coincidentes que permitieron la solicitud: bypass_matched_ids

c

• Protección contra inundación HTTP: cc_action | cc_rule_id | cc_rule_type | cc_test

• Tipo de contenido de la solicitud: content_type

• Ataques por violación de protocolo: compliance_hit | compliance_action | compliance_rule_id | compliance_rule_type | compliance_test

• Gestión de bots: client_id

d

• Prevención de fuga de datos: dlp_action | dlp_rule_id | dlp_test

• Puerto de destino de la solicitud: dst_port

  Importante

  El campo dst_port no es compatible con objetos protegidos que sean servicios de Microservices Engine (MSE), Application Load Balancer (ALB) o Function Compute (FC).

f

Acción de protección final sobre una solicitud: final_action | final_plugin | final_rule_id | final_rule_type

h

• Encabezados de solicitud: host | http_cookie | http_referer | http_user_agent | http_x_forwarded_for

• Solicitudes HTTPS: https

• Huellas de tráfico para la gestión de bots: http2_fingerprint

• Seguimiento distribuido: http_tracestate

j

• Huellas de tráfico para la gestión de bots: ja3_fingerprint | ja4_fingerprint

m

• Objeto protegido coincidente: matched_host

• Protección para eventos importantes: major_protection_action | major_protection_rule_id | major_protection_rule_type | major_protection_test

n

Reglas no terminales coincidentes: non_terminating_rules

p

Indica el estado de uso de Proxy Protocol en formato de mapa de bits: pp_state

q

Cadena de consulta de la solicitud: querystring

r

• Dirección IP real del cliente: real_client_ip

• Identificador de región de la instancia: region

• Respuestas al cliente: response_set_cookie | response_header | response_info

  Importante

  Los campos response_set_cookie, response_header y response_info no son compatibles con objetos protegidos que sean servicios de Application Load Balancer (ALB), Microservices Engine (MSE) o Function Compute (FC).

• Dirección IP y puerto que se conectan directamente a WAF (obsoleto; se recomienda usar los campos src_ip y src_port): remote_addr | remote_port

• Solicitudes del cliente: request_body |request_headers_all|request_header| request_length | request_method | request_path | request_time_msec | request_traceid | request_traceid_origin | remote_region_id|remote_country_id|request_uri

  Importante

  El campo request_header no es compatible con objetos protegidos que sean servicios de Microservices Engine (MSE) o Function Compute (FC).

s

• Puerto de WAF que recibe la solicitud: server_port

  Importante

  El campo server_port no es compatible con objetos protegidos que sean servicios de Microservices Engine (MSE), Application Load Balancer (ALB) o Function Compute (FC).

• Protocolo utilizado entre el cliente y WAF: server_protocol

  Importante

  El campo server_protocol no es compatible con objetos protegidos que sean servicios de Function Compute (FC).

• Conjunto de cifrado o protocolo TLS utilizado: ssl_cipher | ssl_protocol

• Código de estado HTTP: status

• Gestión de bots: scene_action | scene_id | scene_rule_id | scene_rule_type | scene_test | wxbb_info_tbl

• Ataques por análisis semántico: sema_hit | sema_action | sema_rule_id | sema_rule_type | sema_test

• Hora en la que el cliente inició la solicitud: start_time

• Dirección IP y puerto que se conectan directamente a WAF: src_ip|src_port

t

• Hora en la que se registró la entrada de registro: time

• Reglas terminales coincidentes: terminating_rules

u

• Respuestas del servidor de origen: upstream_addr | upstream_response_time | upstream_status

  Importante

  El campo upstream_addr no es compatible con objetos protegidos que sean servicios de Function Compute (FC).

• Identificador de la cuenta de Alibaba Cloud: user_id

w

• Reglas de protección principales: waf_action | waf_rule_id | waf_rule_type | waf_test

• Ataques detectados por las reglas de protección principales: waf_hit

• Gestión de bots: websdk_umid | websdk_details

• Seguimiento distribuido: w3c_parentid | w3c_traceparent

Parámetro

Descripción

Ejemplo

bypass_matched_ids

Identificador de una regla de WAF que permite una solicitud. Incluye reglas de lista de permitidos y reglas personalizadas con la acción Allow.

Si una solicitud coincide con varias reglas de permiso, este campo registra todos sus identificadores separados por comas (,).

283531

content_type

Tipo de contenido de la solicitud.

application/x-www-form-urlencoded

dst_port

Puerto de destino de la solicitud.

443

final_action

Acción final que WAF aplica a una solicitud. Valores válidos:

• block: bloquea la solicitud.

• captcha_strict: presenta un desafío CAPTCHA de control deslizante estricto.

• captcha: presenta un desafío CAPTCHA de control deslizante estándar.

• sigchl: presenta un desafío de token dinámico.

• js: presenta un desafío de JavaScript.

  Importante

  Si se activa una acción de desafío (JavaScript, token o CAPTCHA de control deslizante), WAF devuelve un código de estado HTTP 200.

Las acciones válidas se enumeran en Description of *_action fields.

Se omite si la solicitud no activa ningún módulo de protección. Por ejemplo, cuando coincide con una regla de permiso o el cliente supera un desafío.

Si una solicitud activa varios módulos de protección, este campo solo registra la acción con mayor prioridad. Las acciones tienen el siguiente orden descendente de prioridad: block > captcha_strict > captcha > js.

block

final_plugin

Módulo de protección correspondiente a final_action. Valores válidos:

• waf: módulo de reglas de protección web principales.

• acl: módulo de control de acceso. Incluye listas de bloqueo de direcciones IP, reglas personalizadas (control de acceso), inteligencia de amenazas y bloqueo por región.

• cc: módulo de protección contra inundación HTTP. Incluye reglas de protección contra inundación HTTP y reglas de protección personalizadas (para limitación de velocidad).

• antiscan: módulo de protección contra escaneos.

• dlp: módulo de prevención de fuga de datos.

• scene: módulo de configuración específica por escenario. Incluye la protección de aplicaciones.

• sema: módulo de protección semántica.

• gdrl: módulo de limitación de velocidad para picos de tráfico.

• major_protection: módulo de protección para eventos importantes.

• compliance: módulo de cumplimiento de protocolos.

Se omite si la solicitud no activa ningún módulo de protección. Por ejemplo, cuando coincide con una regla de permiso o el cliente supera un desafío.

Si una solicitud activa varios módulos de protección, este campo solo registra el módulo correspondiente a final_action.

waf

final_rule_id

Identificador de la regla de protección correspondiente a final_action.

115341

final_rule_type

Subtipo de la regla identificada por final_rule_id.

Por ejemplo, una regla con final_plugin:waf puede tener un subtipo más específico, como final_rule_type:sqli o final_rule_type:xss.

xss/webShell

host

Valor del encabezado Host. Generalmente es el nombre de dominio o la dirección IP solicitada.

api.example.com

http_cookie

Valor del encabezado Cookie en la solicitud.

k1=v1;k2=v2

http_referer

Valor del encabezado Referer. Indica la URL de origen de la solicitud.

Muestra un guion (-) si no existe ninguna URL de origen.

http://example.com

http_user_agent

Valor del encabezado User-Agent. Identifica el navegador del cliente, el sistema operativo y otra información del cliente.

Dalvik/2.1.0 (Linux; U; Android 10; Android SDK built for x86 Build/QSR1.200715.002)

http_x_forwarded_for

Valor del encabezado X-Forwarded-For (XFF). Identifica la dirección IP original del cliente detrás de un proxy o un load balancer.

47.100.XX.XX

https

Indica si la solicitud es HTTPS.

• Si el valor es on, la solicitud es HTTPS.

• Si el campo está vacío, la solicitud es HTTP.

on

http_tracestate

Este campo se registra después de habilitar el seguimiento distribuido. Transfiere el valor tracestate del encabezado de solicitud ascendente. Si el encabezado de solicitud ascendente no contiene este campo, no se registra en el registro o el valor se muestra como un guion (-).

-

matched_host

Objeto protegido con el que coincidió la solicitud del cliente, como una instancia de servicio en la nube o un nombre de dominio.

*.aliyundoc.com

request_uri

Ruta y parámetros de la solicitud.

/news/search.php?id=1

real_client_ip

192.0.XX.XX

region

Identificador de región de la instancia de WAF. Valores válidos:

• cn: China continental.

• int: una región fuera de China continental.

cn

src_port

Puerto del cliente o proxy que se conecta directamente a WAF.

Si el cliente se conecta directamente a WAF, este campo indica el puerto del cliente. Si se despliega otro proxy de capa 7, como una CDN, frente a WAF, este campo indica el puerto del proxy.

80

src_ip

Dirección IP del cliente o proxy que se conecta directamente a WAF.

Si el cliente se conecta directamente a WAF, este campo indica la dirección IP del cliente. Si se despliega otro proxy de capa 7, como una CDN, frente a WAF, este campo indica la dirección IP del proxy.

198.51.XX.XX

start_time

Marca de tiempo de Unix (en segundos) que indica cuándo el cliente inició la solicitud.

1696534058

request_length

Tamaño de la solicitud (en bytes), incluida la línea de solicitud, los encabezados y el cuerpo.

111111

request_method

Método de la solicitud.

GET

request_time_msec

Tiempo (en milisegundos) que WAF tarda en procesar la solicitud.

44

request_traceid

Identificador único que WAF genera para la solicitud.

7837b11715410386943437009ea1f0

request_traceid_origin

Identificador original de la solicitud.

7ce319151*18890e

remote_region_id

Identificador de la región geográfica a la que pertenece la dirección IP.

410000

server_protocol

Protocolo utilizado entre el cliente y WAF.

HTTP/1.1

ssl_cipher

Conjunto de cifrado utilizado por la solicitud del cliente.

ECDHE-RSA-AES128-GCM-SHA256

ssl_protocol

Protocolo SSL/TLS y versión utilizados por la solicitud del cliente.

TLSv1.2

status

Código de estado HTTP que WAF devuelve al cliente. Por ejemplo, 200 indica que la solicitud se completó correctamente.

200

time

Hora en la que el cliente inició la solicitud. La hora está en UTC y tiene el formato del estándar ISO 8601, con la estructura yyyy-MM-ddTHH:mm:ss+08:00.

2018-05-02T16:03:59+08:00

upstream_addr

Dirección IP y puerto del servidor de origen. El formato es IP:Port. Los registros múltiples se separan con comas (,).

198.51.XX.XX:443

upstream_response_time

Tiempo (en segundos) que el servidor de origen tarda en responder a una solicitud back-to-origin de WAF.

0.044

upstream_status

Código de estado HTTP devuelto por el servidor de origen para una solicitud back-to-origin de WAF. Por ejemplo, 200 indica que la solicitud se completó correctamente.

200

user_id

Identificador de la cuenta de Alibaba Cloud a la que pertenece la instancia de WAF.

17045741****

w3c_parentid

Este campo se registra después de habilitar el seguimiento distribuido. Registra el trace-id del encabezado traceparent en la solicitud ascendente. Si el encabezado de solicitud ascendente no contiene traceparent, no se registra en el registro o el valor se muestra como un guion (-).

-

w3c_traceparent

Este campo se registra después de habilitar el seguimiento distribuido. Contiene el contenido del campo traceparent generado y emitido por WAF. Si el seguimiento distribuido no está habilitado, no se registra en el registro o el valor se muestra como un guion (-).

00-b374571ac7222dbf18995e52-c6064c-00

Parámetro

Descripción

Ejemplo

account

Información de la cuenta extraída. Para usar este campo, primero debe configure protected objects and protected object groups.

user1

acl_action

Acción de protección aplicada cuando una solicitud coincide con una lista de bloqueo de direcciones IP o una regla de control de acceso. Valores válidos:

• block: bloquea la solicitud.

• captcha_strict: presenta un desafío CAPTCHA de control deslizante estricto.

• captcha: presenta un desafío CAPTCHA de control deslizante.

• js: presenta un desafío de validación de JavaScript.

• captcha_strict_pass: la solicitud superó el CAPTCHA de control deslizante estricto.

• captcha_pass: la solicitud superó el CAPTCHA de control deslizante.

• js_pass: la solicitud superó la validación de JavaScript.

  Importante

  Si una solicitud activa un desafío de validación de JavaScript, token o CAPTCHA de control deslizante, WAF devuelve un código de estado HTTP 200.

Las acciones válidas se enumeran en Descriptions of *_action fields.

block

acl_rule_id

Identificador de la regla coincidente. La regla puede ser una lista de bloqueo de direcciones IP, control de acceso, lista de bloqueo por región, inteligencia de amenazas, protección básica contra bots o una regla de protección de aplicaciones para gestión de bots.

151235

acl_rule_type

Tipo de la lista de bloqueo de direcciones IP o regla de control de acceso coincidente. Valores válidos:

• custom: una regla de control de acceso.

• blacklist: una regla de lista de bloqueo de direcciones IP.

• scene/basic: una regla de protección básica contra bots.

• region_block: una regla de lista de bloqueo por región.

• scene/appsdk_custom: una regla de protección de aplicaciones para la gestión de bots.

• threat_intelligence: una regla de inteligencia de amenazas.

custom

acl_test

Modo de protección de la lista de bloqueo de direcciones IP o regla de control de acceso coincidente. Valores válidos:

• true: modo de monitoreo. WAF registra las solicitudes coincidentes, pero no aplica la acción de protección.

• false: modo de prevención. WAF aplica la acción de protección especificada a las solicitudes coincidentes.

false

antiscan_action

Acción aplicada por una regla de protección contra escaneos. El único valor válido es block.

Las acciones válidas se enumeran en Descriptions of *_action fields.

block

antiscan_rule_id

Identificador de la regla de protección contra escaneos coincidente.

151235

antiscan_rule_type

Tipo de la regla de protección contra escaneos coincidente. Valores válidos:

• highfreq: una regla de bloqueo de escaneos de alta frecuencia.

• dirscan: una regla de bloqueo de recorrido de directorios.

• scantools: una regla de bloqueo de herramientas de escaneo.

highfreq

antiscan_test

Modo de protección de la regla de protección contra escaneos coincidente. Valores válidos:

• true: modo de monitoreo. WAF registra las solicitudes coincidentes, pero no aplica la acción de protección.

• false: modo de prevención. WAF aplica la acción de protección especificada a las solicitudes coincidentes.

false

body_bytes_sent

Tamaño del cuerpo de la respuesta, en bytes. Este tamaño excluye el encabezado de respuesta.

1111

cc_action

Acción aplicada por una regla de o de limitación de velocidad. Valores válidos:

• block: bloquea la solicitud.

• captcha: presenta un desafío CAPTCHA de control deslizante.

• js: presenta un desafío de validación de JavaScript.

• captcha_pass: la solicitud superó el CAPTCHA de control deslizante.

• js_pass: la solicitud superó la validación de JavaScript.

Las acciones válidas se enumeran en Descriptions of *_action fields.

block

cc_rule_id

Identificador de la regla de o de limitación de velocidad coincidente.

151234

cc_rule_type

Tipo de la regla de o de limitación de velocidad coincidente. Valores válidos:

• custom: una regla de limitación de velocidad.

• system: una regla de protección contra inundación HTTP.

custom

cc_test

Modo de protección de la regla de o de limitación de velocidad coincidente. Valores válidos:

• true: modo de monitoreo. WAF registra las solicitudes coincidentes, pero no aplica la acción de protección.

• false: modo de prevención. WAF aplica la acción de protección especificada a las solicitudes coincidentes.

false

request_body

Cuerpo de la solicitud. Se registra un máximo de 8 KB del cuerpo de la solicitud.

test123curl -ki https://automated-acltest02..top/ --resolve automated-acltest02..top:443:39.107.XX.XX

request_headers_all

Todos los encabezados de la solicitud.

{

"Accept": "/",

"Accept-Encoding": "gz, dete, **r",

"Accept-Language": "zh-Hans-CN;q=1",

"Connection": "keep-***ve",

"Content-Length": "1**6",

"Content-Type": "application/json",

"Cookie": "cookie_key=; acw_tc=0abcopqrstuvwxyz07890;",

"Host": "1.**.**.1",

...

}

request_header

Encabezado de solicitud personalizado. Después de seleccionar este campo, especifique los nombres de los encabezados de solicitud que desea registrar. Puede agregar hasta cinco encabezados de solicitud personalizados. Separe varios nombres de encabezado con comas (,).

{"ttt":"abcd"}

server_port

Puerto de WAF que recibe la solicitud.

443

waf_action

Acción aplicada por una regla de protección principal. El único valor válido es block.

Las acciones válidas se enumeran en Descriptions of *_action fields.

block

waf_rule_id

Identificador de la regla de protección principal coincidente.

113406

waf_rule_type

Tipo de la regla de protección principal coincidente. Valores válidos:

• sqli: SQL injection

• xss: cross-site scripting

• code_exec: ejecución de código

• crlf: inyección CRLF

• lfilei: inclusión de archivos locales (LFI)

• rfilei: inclusión remota de archivos (RFI)

• webshell: webshell

• csrf: falsificación de solicitudes entre sitios

• other: otras reglas de protección

• cmdi: inyección de comandos del sistema operativo

• expression_injection: inyección de lenguaje de expresiones

• java_deserialization: deserialización de Java

• php_deserialization: deserialización de PHP

• ssrf: falsificación de solicitudes del lado del servidor

• path_traversal: path traversal

• protocol_violation: violación de protocolo

• arbitrary_file_uploading: carga arbitraria de archivos

• dot_net_deserialization: deserialización de .NET

• scanner_behavior: comportamiento de escáner

• logic_flaw: fallo de lógica de negocio

• arbitrary_file_reading: lectura arbitraria de archivos

• arbitrary_file_download: descarga arbitraria de archivos

• xxe: inyección de entidades externas (XXE)

xss

waf_test

Modo de protección de la regla de protección principal coincidente. Valores válidos:

• true: modo de monitoreo. WAF registra las solicitudes coincidentes, pero no aplica la acción de protección.

• false: modo de prevención. WAF aplica la acción de protección especificada a las solicitudes coincidentes.

false

websdk_details

Cuando se habilita la integración del Web SDK de Bot Management, se registran ciertos campos de sondeo recopilados por el Web SDK. Para obtener más información, consulte Descriptions of websdk_details subfields.

{
  "browser_vendor": "apple computer, inc.",
  "browser_viewport_height": "467",
  "browser_viewport_width": "1391",
  "browser_window_offset_left": "49",
  "browser_window_offset_top": "25",
  "canvas_fingerprint": "20***0",
  "collected_timestamp": "17***08",
  "cpu_core_count": "8",
  "keyboard_input_count": "2",
  "language": "zh-cn",
  "mouse_click_count": "2",
  "mouse_move_count": "6",
  "page_loaded_timestamp": "1***84",
  "platform_arch": "macintel",
  "screen_height": "900",
  "screen_width": "1440",
  "time_offset_minutes": "-480"
}

major_protection_action

Acción aplicada por una regla de protección para eventos importantes. Las acciones válidas se enumeran en Descriptions of *_action fields.

block

major_protection_rule_id

Identificador de la regla coincidente de una plantilla de protección para eventos importantes.

2221

major_protection_rule_type

Tipo de la regla coincidente de una plantilla de protección para eventos importantes. Valores válidos:

• waf_blocks: un grupo de reglas para la protección de eventos importantes.

• threat_intelligence: una regla de inteligencia de amenazas para la protección de eventos importantes.

• blacklist: una regla de lista de bloqueo de direcciones IP para la protección de eventos importantes.

• shiro: una regla para la protección contra la vulnerabilidad de deserialización de Shiro.

waf_blocks

major_protection_test

Modo de protección de la regla de protección para eventos importantes coincidente. Valores válidos:

• true: modo de monitoreo. WAF registra las solicitudes coincidentes, pero no aplica la acción de protección.

• false: modo de prevención. WAF aplica la acción de protección especificada a las solicitudes coincidentes.

true

response_set_cookie

Encabezado Set-Cookie en la respuesta.

acw_tc=781bad3616674790875002820e2cebbc55b6e0dfd9579302762b1dece40e0a;path=\/;HttpOnly;Max-Age=1800

response_header

Todos los encabezados de la respuesta.

{"transfer-encoding":"chunked","set-cookie":"acw_tc=***;path=\/;HttpOnly;Max-Age=1800","content-type":"text\/html;charset=utf-8","x-powered-by":"PHP\/7.2.24","server":"nginx\/1.18.0","connection":"close"}

response_info

Cuerpo de la respuesta. Se registra un máximo de 16 KB del cuerpo de la respuesta. Si el valor del encabezado content-encoding es gzip, el cuerpo de la respuesta se codifica en Base64.

$_POST received: <br/>Array ( [] => ) <hr/> $GLOBALS['HTTP_RAW_POST_DATA'] received: <br/> <hr/> php://input received:

request_path

Ruta de la solicitud. Es la parte de la URL que va después del nombre de dominio y antes de la cadena de consulta (?).

/news/search.php

dlp_action

Acción de protección aplicada por una regla de prevención de fuga de datos. Valores válidos:

• monitor: monitorea la solicitud.

• block: bloquea la solicitud.

• filter: oculta la información confidencial.

Las acciones válidas se enumeran en Descriptions of *_action fields.

block

dlp_rule_id

Identificador de la regla de prevención de fuga de datos coincidente.

20031483

dlp_test

Modo de protección de la regla de prevención de fuga de datos coincidente. Valores válidos:

• true: modo de monitoreo. WAF registra las solicitudes coincidentes, pero no aplica la acción de protección.

• false: modo de prevención. WAF aplica la acción de protección especificada a las solicitudes coincidentes.

true

querystring

Cadena de consulta de la solicitud. Es la parte de la URL que sigue al signo de interrogación (?).

title=tm_content%3Darticle&pid=123

scene_action

Acción de protección aplicada por una regla específica por escenario de gestión de bots. Valores válidos:

• js: presenta un desafío de validación de JavaScript.

• sigchl: presenta un desafío de token dinámico.

• block: bloquea la solicitud.

• monitor: monitorea la solicitud.

• bypass: permite la solicitud.

• captcha: presenta un desafío CAPTCHA de control deslizante.

• captcha_strict: presenta un desafío CAPTCHA de control deslizante estricto.

Las acciones válidas se enumeran en Descriptions of *_action fields.

js

scene_id

Identificador de escenario de la regla específica por escenario de gestión de bots coincidente.

a82d992b_bc8c_47f0_87ce_

scene_rule_id

Identificador de la regla específica por escenario de gestión de bots y de la regla de configuración de protección básica coincidentes.

js-a82d992b_bc8c_47f0_87ce_

scene_rule_type

Tipo de la regla específica por escenario de gestión de bots coincidente. Valores válidos:

• bot_aialgo: una regla de protección inteligente basada en IA.

• cc: una regla de limitación de velocidad personalizada.

• intelligence: indica inteligencia de amenazas.

• js: una regla de validación de JavaScript.

• sigchl: una regla de token dinámico.

• sdk: una regla de firma de SDK y recopilación de dispositivos, o una regla de detección de empaquetado secundario.

bot_aialgo

scene_test

Modo de protección de la regla específica por escenario de gestión de bots coincidente. Valores válidos:

• true: modo de monitoreo. WAF registra las solicitudes coincidentes, pero no aplica la acción de protección.

• false: modo de prevención. WAF aplica la acción de protección especificada a las solicitudes coincidentes.

true

remote_addr

Dirección IP que se conecta directamente a WAF.

Si un cliente se conecta directamente a WAF, este campo registra la dirección IP del cliente. Si se despliega un proxy de capa 7, como una CDN, frente a WAF, este campo registra la dirección IP del proxy.

198.51.XX.XX

remote_port

Puerto que se conecta directamente a WAF.

Si un cliente se conecta directamente a WAF, este campo registra el puerto del cliente. Si se despliega un proxy de capa 7, como una CDN, frente a WAF, este campo registra el puerto del proxy.

80

waf_hit

Carga útil de ataque que coincidió con una regla de protección básica.

{"postarg_values":{"hit":["${jndi:ldap://"],"raw":"postarg.log4j=${jndi:ldap://"}}

compliance_hit

Contenido que coincidió con una regla de violación de protocolo.

7df271da040a

compliance_action

Acción aplicada por una regla de violación de protocolo. El único valor válido es block.

Las acciones válidas se enumeran en Descriptions of *_action fields.

block

compliance_rule_id

Identificador de la regla de violación de protocolo coincidente.

300033

compliance_rule_type

Tipo de la regla de violación de protocolo coincidente. El único valor válido es protocol_violation.

protocol_violation

compliance_test

Modo de protección de la regla de violación de protocolo coincidente. Valores válidos:

• true: modo de monitoreo. WAF registra las solicitudes coincidentes, pero no aplica la acción de protección.

• false: modo de prevención. WAF aplica la acción de protección especificada a las solicitudes coincidentes.

false

sema_hit

Contenido que coincidió con una regla de análisis semántico.

{"queryarg_values":{"hit":["\" from mysql.user"],"raw":"queryarg.y=\" from mysql.user"}}

sema_action

Acción aplicada por una regla de análisis semántico. El único valor válido es block.

Las acciones válidas se enumeran en Descriptions of *_action fields.

block

sema_rule_id

Identificador de la regla de análisis semántico coincidente.

810015

sema_rule_type

Tipo de la regla de análisis semántico coincidente. El único valor válido es sqli, que indica una regla de SQL injection.

sqli

sema_test

Modo de protección de la regla de análisis semántico coincidente. Valores válidos:

• true: modo de monitoreo. WAF registra las solicitudes coincidentes, pero no aplica la acción de protección.

• false: modo de prevención. WAF aplica la acción de protección especificada a las solicitudes coincidentes.

false

wxbb_info_tbl

Información del dispositivo de una solicitud que coincidió con una regla de protección de aplicaciones para la gestión de bots.

{

"abnormal_imei": "0",

"abnormal_time": "1",

*

"appversion": "9.4.3",

"brand": "Android",

*

}

websdk_umid

Identificador único del dispositivo para un cliente web, determinado por la gestión de bots.

6543211729a19aa0123456

appsdk_umid

Identificador único del dispositivo para un cliente de aplicación, determinado por la gestión de bots.

3c76912d48ec5eb1ea6cb775ce1ba609

client_id

Tipo de cliente determinado por la gestión de bots.

Python-urllib

ja3_fingerprint

Huella JA3 del tráfico, determinada por la gestión de bots.

5c9e5897bbebcef37337bffb97587518

ja4_fingerprint

Huella JA4 del tráfico, determinada por la gestión de bots.

b251a742b13fde5fba044eddfd05af34

http2_fingerprint

Huella HTTP/2 del tráfico, determinada por la gestión de bots.

52d84b11737d980aef856699f885ca86

non_terminating_rules

Información sobre las solicitudes que coinciden con reglas de acciones no terminales. Esto incluye solicitudes que coinciden con reglas con la acción Log o Origin Custom Header, y solicitudes que superan desafíos como JavaScript Validation, CAPTCHA, Strict CAPTCHA o Dynamic Token. Estas corresponden a solicitudes donde el campo action es js_pass, captcha_pass, captcha_strict_pass, sigchl_pass, monitor o upstream_tag. Si una solicitud coincide con varias de estas reglas, se registran todas las reglas coincidentes.

[{"id":"12345678","action":"monitor","defense_scene":"waf_base"},{"id":"123123123","type":"suspicious_idc","action":"monitor","defense_scene":"bot_manager"},

{"id":"12341234","bypass_punish":"1","defense_scene":"custom_acl"}]

terminating_rules

Información sobre las solicitudes que coinciden con reglas de acciones terminales. Esto incluye solicitudes que coinciden con la acción Block y solicitudes que no superan desafíos como JavaScript Validation, CAPTCHA, Strict CAPTCHA o Dynamic Token. Estas corresponden a solicitudes donde el campo action es block, js, captcha, captcha_strict o sigchl.

[{"id":"123456","action":"block","defense_scene":"custom_acl"}]

remote_country_id

Identificador de país asociado a la dirección IP.

CN

pp_state

proxy_protocol usa un mapa de bits de estado. Los indicadores bit a bit identifican el estado de procesamiento de proxy_protocol en una solicitud:

• Bit 0 (valor 1): el cliente envió un encabezado proxy_protocol v1.

• Bit 1 (valor 2): el cliente envió un encabezado proxy_protocol v2.

• Bit 2 (valor 4): la dirección IP del cliente se obtuvo del encabezado proxy_protocol.

• Bit 3 (valor 8): el encabezado proxy_protocol se transfirió al servidor de origen.

Use una operación AND bit a bit (&) para comprobar si un indicador específico está establecido.

6 (binario 0110, 6 & 2 == 2, 6 & 4 == 4, indica que se recibió una solicitud de Proxy Protocol v2 y que la dirección IP del cliente se obtuvo de ella)

Acción

Descripción

block

Bloquea la solicitud web y devuelve una página de error HTTP 405 al cliente.

captcha_strict

Aplica una verificación CAPTCHA de control deslizante estricta. WAF presenta una página CAPTCHA de control deslizante al cliente. WAF permite la solicitud solo si el cliente completa correctamente el CAPTCHA. De lo contrario, la solicitud se bloquea. En este modo, cada solicitud del cliente requiere verificación.

captcha

Aplica una verificación CAPTCHA de control deslizante común. WAF presenta una página CAPTCHA de control deslizante al cliente. Si el cliente completa correctamente el CAPTCHA, WAF permite las solicitudes posteriores del cliente durante un periodo (predeterminado: 30 minutos) sin volver a verificarlo. De lo contrario, la solicitud se bloquea.

js

Aplica una validación de JavaScript. WAF presenta un desafío de JavaScript al navegador del cliente. Si el navegador ejecuta correctamente el código de JavaScript, WAF permite las solicitudes posteriores del cliente durante un periodo (predeterminado: 30 minutos) sin más desafíos. De lo contrario, la solicitud se bloquea.

js_pass

Indica que el cliente superó la validación de JavaScript y que WAF permitió la solicitud.

sigchl

Aplica la autenticación de token dinámico. WAF proporciona un Web SDK para que el cliente firme las solicitudes salientes. Si una solicitud tiene una firma válida, WAF la reenvía al servidor de origen. Si la firma no es válida o falta, WAF solicita al cliente que vuelva a firmar la solicitud.

Nombre del campo

Tipo de dato

Descripción

Valor de ejemplo

language

string

Idioma de la interfaz del navegador.

zh-CN

time_offset_minutes

number

Diferencia horaria en minutos entre la zona horaria actual y UTC.

-480

screen_width

number

Ancho de la pantalla en píxeles.

1920

screen_height

number

Alto de la pantalla en píxeles.

1080

browser_viewport_width

number

Ancho interno del área de visualización del navegador, sin incluir la barra de herramientas ni la barra de desplazamiento.

1165

browser_viewport_height

number

Alto interno del área de visualización del navegador.

909

browser_window_offset_top

number

Distancia en píxeles desde el borde superior de la ventana del navegador hasta la parte superior de la pantalla.

960

browser_window_offset_left

number

Distancia en píxeles desde el borde izquierdo de la ventana del navegador hasta el borde izquierdo de la pantalla.

-10

platform_arch

string

Arquitectura de plataforma del navegador.

Win32

cpu_core_count

number

Número de procesadores lógicos disponibles para ejecutar subprocesos.

10

canvas_fingerprint

string

Valor hash de la huella de canvas.

51***39

mouse_move_count

number

Número de movimientos del ratón en la página antes de enviar la solicitud.

5

mouse_click_count

number

Número de clics del ratón en la página antes de enviar la solicitud.

5

keyboard_input_count

number

Número de pulsaciones de teclas en la página antes de enviar la solicitud.

5

browser_vendor

string

Información del proveedor del navegador.

Google Inc.

collected_timestamp

number

Marca de tiempo local del navegador en milisegundos cuando se recopiló la información.

17***628

page_loaded_timestamp

number

Marca de tiempo local del navegador en milisegundos cuando la página terminó de cargarse.

175***628