Crie e aplique um WAF rule set

Crie um WAF rule set com as famílias de ameaças e a sensibilidade que você escolher e aplique-o a um firewall com um behavior Set WAF.

Última atualização

Ver como Markdown Configurar agente

Crie um rule set do Web Application Firewall (WAF) e aplique-o a um firewall com uma regra do Rules Engine. As duas tarefas rodam a partir do Azion Console, da Azion CLI ou da API.

Para uma primeira execução que termina em uma requisição bloqueada, consulte Primeiros passos com WAF. Aquela página fixa cada opção do caminho. Esta as deixa em aberto: você escolhe as famílias de ameaças, a sensibilidade de cada uma e o modo.

Selecione uma interface. Os pré-requisitos e as duas tarefas seguem essa escolha.

Pré-requisitos

  • Um personal token e o curl para enviar as requisições. Para criar um token, consulte Personal Tokens.

Crie o rule set

Um rule set carrega até oito famílias de ameaças, e cada família tem a sua própria sensibilidade. A sensibilidade fixa o score que uma requisição precisa alcançar para que essa família a bloqueie. Toda família começa em medium. Uma sensibilidade maior bloqueia em um score menor: ela pega ataques que carregam menos evidência e, junto com eles, recusa mais tráfego legítimo. Para o que cada família detecta e o que cada nível custa, consulte WAF Rule Sets.

O formulário lista as oito famílias, então toda sensibilidade é definida em um só lugar. Para criar o rule set no Azion Console:

Abra a página WAF Rules

Acesse o Azion Console > Edge Libraries > WAF Rules.

Selecione + WAF Rule
Nomeie o rule set

Na seção General, informe um Name. Por exemplo: checkout-waf.

Defina a sensibilidade de cada família de ameaças

A seção Threat Type Configuration lista oito famílias, cada uma abrindo em Sensitivity Medium. Por exemplo, defina SQL Injection como Sensitivity High.

Habilite o switch Active
Salve o rule set

O rule set aparece em WAF Rules, com o seu Threat Type Configuration e o seu Status. Ele não pontua nada enquanto uma regra do Rules Engine não o nomear.

O --thresholds recebe pares threat=sensitivity separados por vírgula. Uma criação que omite a flag carrega as oito famílias em medium. Para criar o rule set com a Azion CLI:

Execute o comando de criação
Shell
01azion create waf --name "checkout-waf" --active true --rulesets 1 \
02 --thresholds "sql_injection=medium,cross_site_scripting=medium,directory_traversal=medium,evading_tricks=medium,file_upload=medium,identified_attack=medium,remote_file_inclusion=medium,unwanted_access=medium"
Leia a saída

O comando imprime o id do rule set:

Created WAF with ID 12350

O rule set está ativo e roda no ruleset 1. Anote o id: a regra da próxima seção o nomeia.

Cada entrada de thresholds nomeia uma família de ameaças e a sensibilidade que ela carrega. Para criar o rule set:

Envie a requisição de criação

Substitua [TOKEN VALUE] pelo seu personal token:

Shell
01curl --request POST \
02 --url https://api.azion.com/v4/workspace/wafs \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data {
07 "name": "checkout-waf",
08 "active": true,
09 "product_version": "1.0",
10 "engine_settings": {
11 "engine_version": "2021-Q3",
12 "type": "score",
13 "attributes": {
14 "rulesets": [1],
15 "thresholds": [
16 { "threat": "cross_site_scripting", "sensitivity": "medium" },
17 { "threat": "directory_traversal", "sensitivity": "medium" },
18 { "threat": "evading_tricks", "sensitivity": "medium" },
19 { "threat": "file_upload", "sensitivity": "medium" },
20 { "threat": "identified_attack", "sensitivity": "medium" },
21 { "threat": "remote_file_inclusion", "sensitivity": "medium" },
22 { "threat": "sql_injection", "sensitivity": "medium" },
23 { "threat": "unwanted_access", "sensitivity": "medium" }
24 ]
25 }
26 }
27}
Leia a resposta

O status é 202, e "state": "pending" diz que a Azion aceitou o rule set e ainda está propagando-o:

JSON
01{
02 "state": "pending",
03 "data": {
04 "id": 12349,
05 "active": true,
06 "name": "checkout-waf",
07 "last_editor": "user@example.com",
08 "last_modified": "2026-01-01T12:00:00.000000Z",
09 "product_version": "1.0",
10 "engine_settings": {
11 "engine_version": "2021-Q3",
12 "type": "score",
13 "attributes": {
14 "rulesets": [1],
15 "thresholds": [
16 { "threat": "cross_site_scripting", "sensitivity": "medium" },
17 { "threat": "directory_traversal", "sensitivity": "medium" },
18 { "threat": "evading_tricks", "sensitivity": "medium" },
19 { "threat": "file_upload", "sensitivity": "medium" },
20 { "threat": "identified_attack", "sensitivity": "medium" },
21 { "threat": "remote_file_inclusion", "sensitivity": "medium" },
22 { "threat": "sql_injection", "sensitivity": "medium" },
23 { "threat": "unwanted_access", "sensitivity": "medium" }
24 ]
25 }
26 },
27 "version_id": null,
28 "version_state": null,
29 "is_versioned": false,
30 "version": null
31 }
32}

Anote o id. A regra da próxima seção o nomeia.

nota — Um array thresholds com menos de oito entradas é aceito. O rule set então carrega apenas as famílias que você enviou. Um threat repetido não é aceito: ele responde 500 com 10067 Internal Server Error.

Aplique o rule set a um firewall

Uma regra do Rules Engine for Firewall seleciona requisições pelos seus próprios critérios e executa behaviors sobre elas. O behavior Set WAF nomeia um rule set e um modo. Uma regra carrega no máximo um behavior Set WAF.

O modo pertence ao behavior, e não ao rule set, e é obrigatório. O Logging pontua uma requisição, registra-a e a entrega. O Blocking recusa uma requisição cujo score alcança um limiar da sua família. Para a ordem em que passar de um para o outro, consulte Boas práticas de Firewall.

Para aplicar o rule set no Azion Console:

Abra o firewall

Acesse o Azion Console > Firewalls e selecione o firewall vinculado ao seu workload.

Selecione a aba Rules Engine
Selecione + Rule
Nomeie a regra

Informe um nome para a regra. Por exemplo: Apply checkout-waf.

Defina o critério

Na seção Criteria, selecione a variável Request Uri, o operador starts with e / como argumento.

Adicione o behavior Set WAF

Na seção Behaviors, selecione Set WAF e então selecione checkout-waf como o rule set.

Defina o modo como Blocking
Salve a regra

O firewall pontua contra o rule set todas as requisições que recebe.

O azion create firewall-rule recebe apenas --firewall-id e --file, então o behavior e o modo viajam no JSON. Para aplicar o rule set com a Azion CLI:

Escreva a regra em um arquivo

Salve o seguinte como fw-rule.json, com o id do seu rule set em waf_id:

JSON
01{
02 "name": "Apply checkout-waf",
03 "active": true,
04 "description": "",
05 "criteria": [
06 [
07 {
08 "conditional": "if",
09 "variable": "${request_uri}",
10 "operator": "starts_with",
11 "argument": "/"
12 }
13 ]
14 ],
15 "behaviors": [
16 {
17 "type": "set_waf",
18 "attributes": {
19 "waf_id": 12350,
20 "mode": "blocking"
21 }
22 }
23 ]
24}
Crie a regra

Substitua <firewall-id> pelo id do seu firewall:

azion create firewall-rule --firewall-id <firewall-id> --file fw-rule.json
Leia a saída

O comando imprime o id da regra:

Created Firewall Rule with ID 123457

O firewall pontua contra o rule set todas as requisições que recebe.

O shell expande ${request_uri}, então o body viaja em um arquivo, e não inline. Para aplicar o rule set:

Escreva a regra em um arquivo

Salve o seguinte como rule.json, com o id do seu rule set em waf_id:

JSON
01{
02 "name": "Apply checkout-waf",
03 "active": true,
04 "criteria": [
05 [
06 {
07 "conditional": "if",
08 "variable": "${request_uri}",
09 "operator": "starts_with",
10 "argument": "/"
11 }
12 ]
13 ],
14 "behaviors": [
15 {
16 "type": "set_waf",
17 "attributes": {
18 "waf_id": 12349,
19 "mode": "blocking"
20 }
21 }
22 ]
23}
Envie a requisição de criação

Substitua <firewall-id> pelo id do seu firewall:

Shell
01curl --request POST \
02 --url https://api.azion.com/v4/workspace/firewalls/<firewall-id>/request_rules \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data @rule.json
Leia a resposta

O 202 ecoa a regra e acrescenta dois campos que a API atribui, description e order:

JSON
01{
02 "state": "pending",
03 "data": {
04 "id": 123456,
05 "name": "Apply checkout-waf",
06 "last_editor": "user@example.com",
07 "last_modified": "2026-01-01T12:00:00.000000Z",
08 "created_at": "2026-01-01T12:00:00.000000Z",
09 "active": true,
10 "criteria": [
11 [
12 {
13 "conditional": "if",
14 "variable": "${request_uri}",
15 "operator": "starts_with",
16 "argument": "/"
17 }
18 ]
19 ],
20 "behaviors": [
21 {
22 "type": "set_waf",
23 "attributes": {
24 "waf_id": 12349,
25 "mode": "blocking"
26 }
27 }
28 ],
29 "description": "",
30 "order": 1
31 }
32}

O firewall pontua contra o rule set todas as requisições que recebe.

Um body que omite mode é recusado com 400:

{"errors":[{"code":"10059","title":"Required Field","detail":"This field is required.","status":"400","source":{"pointer":"/data/behaviors/0/attributes/mode"}}]}

O campo aceita logging ou blocking. Qualquer outro valor responde 400 com 10039 Invalid Choice.

Uma nova regra leva alguns minutos para alcançar a infraestrutura distribuída da Azion. Até que isso aconteça, uma requisição ainda pode ser respondida como era antes de a regra existir.

Próximos passos

WAF Rule SetsOs campos de um rule set, as oito famílias de ameaças e os cinco níveis de sensibilidade.Score e modosComo um score é construído, o que uma sensibilidade custa e o que cada modo faz.Ajuste um WAF rule setLeia o que o rule set correspondeu e transforme um falso positivo em uma exceção.Boas práticas de FirewallQuando mover um rule set de Logging para Blocking e até onde aumentar uma família.