Rule library management - Web Application Firewall - Centre de documentation Alibaba Cloud

Utilisez la page Rule Libraries dans Web Application Firewall (WAF) 3,0 pour consulter les règles de protection système et configurer des règles de protection personnalisées pour la protection du cloud hybride. Cette rubrique décrit comment configurer vos règles de protection personnalisées.

Règles de protection système

L'équipe de sécurité d'Alibaba Cloud gère et met à jour les règles de protection système. Ces règles sont accessibles en lecture seule.

Connectez-vous à la console WAF 3,0. Dans la barre de navigation supérieure, sélectionnez le groupe de ressources et la région de votre instance WAF (Chinese Mainland ou Outside Chinese Mainland). Dans le volet de navigation de gauche, choisissez Detection and Response > Rule Libraries.
Cliquez sur l'onglet System Protection Rules. La partie gauche de l'onglet affiche les informations sur les règles, tandis que la partie droite affiche l'état de mise à jour des règles.

Règles de protection personnalisées

Les règles de protection personnalisées s'appliquent uniquement aux ressources protégées par la protection du cloud hybride. Vous pouvez créer, consulter, modifier et supprimer des règles personnalisées sur la page Rule Libraries.

Créer une règle de protection personnalisée

Connectez-vous à la console WAF 3,0. Dans la barre de navigation supérieure, sélectionnez le groupe de ressources et la région de votre instance WAF (Chinese Mainland ou Outside Chinese Mainland).
Dans le volet de navigation de gauche, choisissez Detection and Response > Rule Libraries.

Sur l'onglet Custom Protection Rules, cliquez sur Create Rule. Configurez les paramètres suivants et cliquez sur OK.

Parameter	Description
Rule Name	Nom de la règle. Le nom peut contenir des caractères chinois, des lettres, des chiffres, des points (.), des traits de soulignement (_) et des tirets (-).
Module Name	Type d'attaque détecté par la règle. Les modules pris en charge incluent SQL Injection, XSS, Code Execution, CRLF, , Remote File Inclusion, webshell, Others, OS Command Injection, Expression Injection, Java Deserialization, PHP Deserialization, SSRF, Path Traversal, Protocol Non-compliance, Arbitrary File Upload et File Inclusion.
Rule Level	Niveau de sensibilité de la règle. Valeurs valides : Loose, Medium, Strict et Super Strict.
Status	La règle est désactivée par défaut et doit être activée sur la page de configuration du moteur d'un modèle de protection.
Rule Action	L'action par défaut d'une nouvelle règle est Block. Vous pouvez modifier cette action dans la configuration du moteur du modèle de règle Core Web Protection.
Rule Description	Description des conditions et de l'objectif de la règle. Ce paramètre est facultatif.
Match Field	Définit les caractéristiques de la requête qui déclenchent la règle. Vous pouvez ajouter jusqu'à 10 conditions à une règle. Si vous définissez plusieurs conditions, une requête doit toutes les remplir pour correspondre à la règle. Chaque condition se compose d'un Match Field, d'un Logical Operator et d'un Match Content. Voici quelques exemples : Exemple 1 : Définissez Match Field sur URI, Logical Operator sur Contains et Match Content sur `/login.php`. Une requête correspond à la règle si son chemin contient `/login.php`. Exemple 2 : Définissez Match Field sur IP, Logical Operator sur Belongs to et Match Content sur `192.1X.XX.XX`. Une requête correspond à la règle si l'adresse IP du client est `192.1.XX.XX`. Pour plus d'informations sur les champs de correspondance et les opérateurs logiques, consultez Conditions de correspondance.

Remarque

Un compte Alibaba Cloud, y compris ses utilisateurs RAM, peut créer un maximum de 200 règles personnalisées.

Si le message The operation is successful. s'affiche, la règle est créée.

Activer une règle de protection personnalisée

Après avoir créé une règle de protection personnalisée, vous devez l'activer dans la configuration du moteur pour l'appliquer aux ressources protégées de votre déploiement en cloud hybride.

Dans le volet de navigation de gauche, choisissez Protection Config > Core Web Protection. Sur la page Core Web Protection, recherchez le Rule Templates cible dans la section Core Protection Rule et cliquez sur

Actions dans la colonne Edit.
Dans le panneau Edit, cliquez sur Configure Engine. Accédez à l'onglet Custom Protection Rules, recherchez votre règle cible et activez l'interrupteur Status.

Modifier une règle de protection personnalisée

Sur l'onglet Custom Protection Rules, recherchez la règle que vous souhaitez modifier et cliquez sur Edit dans la colonne Actions. Dans la boîte de dialogue Edit Rule, vous pouvez modifier le nom de la règle, le niveau de la règle, l'état de la règle, la description de la règle et les conditions de correspondance. Une fois la modification terminée, cliquez sur OK. Après l'affichage d'un message de réussite, les informations mises à jour de la règle s'affichent sur la page.

Supprimer une règle de protection personnalisée

Sur l'onglet Custom Protection Rules, recherchez la règle que vous souhaitez supprimer et cliquez sur Delete dans la colonne Actions.

Important

La suppression d'une règle la retire du moteur de détection et la désactive immédiatement, quel que soit son état précédent.

Conditions de correspondance

Champs de correspondance pris en charge

Champ de correspondance	Description	Opérateurs logiques
Nom de fichier	Correspond au nom de fichier complet dans la requête. Exemple : `abc.php`.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Extension de fichier	Correspond à l'extension de fichier dans l'URL. Exemple : .jspa.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Méthode HTTP	Correspond à la méthode de requête. Exemples : GET, POST, DELETE, PUT, OPTIONS, CONNECT, HEAD, TRACE et PATCH.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Chemin URI	Correspond au chemin de l'URI, sans les paramètres de requête. Cela équivaut au composant chemin.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
URL brute	Correspond au chemin URI brut, sans paramètres de requête ni décodage URL. Exemple : %2Ftest.php.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
URI	Correspond à l'URI de la requête, à l'exclusion du nom de domaine. Exemple : /login.php?a=1.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Répertoire	Correspond au chemin complet, qui inclut l'URI et le nom de fichier. Exemple : /abc/123.txt.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Param	Correspond à toute la chaîne de requête, y compris les noms et valeurs des paramètres qui suivent le point d'interrogation (?). Exemple : ?a=b.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Body	Correspond à tout le corps de la requête sans l'analyser en paires clé-valeur.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Clés multiparties	Pour les requêtes avec `Content-Type: multipart/form-data`, ce champ correspond au nom de fichier.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Valeurs multiparties	Pour les requêtes avec `Content-Type: multipart/form-data`, ce champ correspond au contenu du fichier.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
En-tête brut	Correspond à tout l'en-tête brut sans décodage URL ni analyse en paires clé-valeur.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Clés d'en-tête	Correspond aux clés des paires clé-valeur dans l'en-tête de la requête.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Valeurs d'en-tête	Correspond aux valeurs des paires clé-valeur dans l'en-tête de la requête.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Clés d'argument de requête	Correspond aux clés (noms) des paramètres de la chaîne de requête dans l'URL. Exemple : dans /test.php?k=v, cela correspond à k.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Valeurs d'argument de requête	Correspond aux valeurs des paramètres de la chaîne de requête dans l'URL. Exemple : dans /test.php?k=v, cela correspond à v.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Clés d'argument POST	Pour les corps de requête encodés sous forme de formulaire, ce champ correspond aux clés (noms) des paramètres. Exemple : dans k=v, cela correspond à k.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Valeurs d'argument POST	Pour les corps de requête encodés sous forme de formulaire, ce champ correspond aux valeurs des paramètres. Exemple : dans k=v, cela correspond à v.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Clés de cookie	Correspond aux clés (noms) des paramètres dans le cookie de la requête. Exemple : dans `Cookie: a=b;c=d`, cela correspond à `a` ou `c`.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Valeurs de cookie	Correspond aux valeurs des paramètres dans le cookie de la requête. Exemple : dans `Cookie: a=b;c=d`, cela correspond à `b` ou `d`.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Multipartie	Correspond précisément à une partie spécifiée d'une requête multipartie pour éviter les correspondances excessives. Par exemple, vous pouvez utiliser `multipart.filename` pour ne faire correspondre que la valeur associée à `filename=../test`.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Paramètre de chaîne de requête	Correspond précisément à un paramètre de chaîne de requête spécifié pour éviter de faire correspondre des paramètres similaires. Par exemple, dans l'URL `https://example.com/path?queryarg.k=value1&queryarg.other=value2`, l'utilisation de `queryarg.k` vous permet de faire correspondre précisément `value1` sans faire correspondre également la valeur de `queryarg.other`.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
En-tête	Correspond précisément à une valeur d'en-tête spécifiée pour éviter les correspondances excessives. Par exemple, `header.cookie` vous permet de faire correspondre précisément la valeur de l'en-tête Cookie, telle que `../test`.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.
Paramètre de corps	Correspond précisément à la valeur d'un paramètre spécifié dans le corps de la requête pour éviter les correspondances excessives. Par exemple, `postarg.k` fait correspondre précisément la valeur associée à la clé `k`.	Contient, Correspondance d'expression régulière, Égal à, Correspondance de préfixe, Correspondance de suffixe.