Primeiros passos com WAF

Crie um rule set, aplique-o a um firewall com um behavior Set WAF e confirme que uma requisição com forma de injection é recusada.

Última atualização

Ver como Markdown Configurar agente

Este guia orienta você a pontuar a sua primeira requisição contra o Web Application Firewall (WAF).

  • Crie um rule set que carrega oito famílias de ameaças com sensibilidade medium.
  • Aplique esse rule set a um firewall com um behavior Set WAF em modo blocking.
  • Envie uma requisição com forma de injection e leia a recusa.

Quatro objetos colocam uma requisição sob inspeção, e cada um se liga ao seguinte:

  1. O rule set guarda as famílias de ameaças e a sensibilidade escolhida para cada uma.
  2. O firewall carrega o módulo WAF, e o workload que atende a sua aplicação está vinculado a esse firewall.
  3. A regra do Rules Engine nesse firewall carrega um behavior Set WAF, que nomeia o rule set e o modo.
  4. A requisição é o que o WAF então pontua contra o rule set.

Um rule set não inspeciona nada por conta própria. Enquanto uma regra do Rules Engine não o nomear, nenhuma requisição é pontuada.

Selecione a interface que você vai usar. Os pré-requisitos e todas as etapas abaixo seguem essa escolha.

Pré-requisitos

  • Um personal token e o curl. Para criar um token, consulte Personal Tokens.

Crie o WAF rule set

O rule set guarda o que detectar. Ele carrega oito famílias de ameaças, e cada família tem um nível de sensibilidade que fixa o score em que ela bloqueia. Toda família começa em medium, que é o nível que este guia usa.

Para criar o rule set no Azion Console:

Abra a página WAF Rules

Acesse o Azion Console > Edge Libraries > WAF Rules.

Selecione + WAF Rule
Nomeie o rule set

Na seção General, informe um Name. Por exemplo: storefront-waf.

Deixe todas as famílias na sensibilidade padrão

A seção Threat Type Configuration lista oito famílias de ameaças. Cada uma abre em Sensitivity Medium.

Mantenha o switch Active habilitado
Salve o rule set

O rule set aparece em WAF Rules, que lista o seu Threat Type Configuration, Status, Last Editor e Last Modified.

A Azion CLI cria um rule set completo a partir apenas de um nome. Para criá-lo:

Execute o comando de criação
azion create waf --name "storefront-waf"
Leia a saída

O comando imprime o id do novo rule set:

Created WAF with ID 12349

O rule set está ativo, roda no ruleset 1 e carrega as oito famílias de ameaças em medium. Anote o id. Você o passa para a regra.

O body da requisição carrega as oito famílias de ameaças e a sensibilidade de cada uma.

Envie a requisição de criação

Substitua [TOKEN VALUE] pelo seu personal token:

Shell
01curl --request POST \
02 --url https://api.azion.com/v4/workspace/wafs \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data {
07 "name": "storefront-waf",
08 "active": true,
09 "product_version": "1.0",
10 "engine_settings": {
11 "engine_version": "2021-Q3",
12 "type": "score",
13 "attributes": {
14 "rulesets": [1],
15 "thresholds": [
16 { "threat": "cross_site_scripting", "sensitivity": "medium" },
17 { "threat": "directory_traversal", "sensitivity": "medium" },
18 { "threat": "evading_tricks", "sensitivity": "medium" },
19 { "threat": "file_upload", "sensitivity": "medium" },
20 { "threat": "identified_attack", "sensitivity": "medium" },
21 { "threat": "remote_file_inclusion", "sensitivity": "medium" },
22 { "threat": "sql_injection", "sensitivity": "medium" },
23 { "threat": "unwanted_access", "sensitivity": "medium" }
24 ]
25 }
26 }
27}
Leia a resposta

Uma criação responde 202, não 201, e "state": "pending" significa que a alteração ainda está propagando:

JSON
01{
02 "state": "pending",
03 "data": {
04 "id": 12349,
05 "active": true,
06 "name": "storefront-waf",
07 "last_editor": "user@example.com",
08 "last_modified": "2026-01-01T12:00:00.000000Z",
09 "product_version": "1.0",
10 "engine_settings": {
11 "engine_version": "2021-Q3",
12 "type": "score",
13 "attributes": {
14 "rulesets": [1],
15 "thresholds": [
16 { "threat": "cross_site_scripting", "sensitivity": "medium" },
17 { "threat": "directory_traversal", "sensitivity": "medium" },
18 { "threat": "evading_tricks", "sensitivity": "medium" },
19 { "threat": "file_upload", "sensitivity": "medium" },
20 { "threat": "identified_attack", "sensitivity": "medium" },
21 { "threat": "remote_file_inclusion", "sensitivity": "medium" },
22 { "threat": "sql_injection", "sensitivity": "medium" },
23 { "threat": "unwanted_access", "sensitivity": "medium" }
24 ]
25 }
26 },
27 "version_id": null,
28 "version_state": null,
29 "is_versioned": false,
30 "version": null
31 }
32}

Anote o id. Você o passa para a regra.

Aplique o rule set com uma regra do Rules Engine

Uma regra do Rules Engine for Firewall seleciona requisições pelos seus próprios critérios. O seu behavior Set WAF então nomeia um rule set e um modo. A regra abaixo aplica o seu rule set a todas as requisições que o firewall recebe.

O modo é obrigatório, e ele pertence ao behavior, não ao rule set. Blocking recusa uma requisição cujo score alcança um limiar. Logging registra essa mesma requisição e a entrega. Este guia usa Blocking.

Para aplicar o rule set no Azion Console:

Abra o firewall vinculado ao seu workload

Ainda no Azion Console, vá para Firewalls e selecione esse firewall.

Selecione a aba Rules Engine
Selecione + Rule
Nomeie a regra

Informe um nome para a regra. Por exemplo: Apply storefront-waf.

Defina o critério

Na seção Criteria, selecione a variável Request Uri, o operador de comparação starts with e / como argumento.

Adicione o behavior Set WAF

Na seção Behaviors, selecione Set WAF e então selecione o rule set que você criou.

Selecione Blocking como o modo
Salve a regra

O firewall agora pontua contra o rule set todas as requisições que recebe. Uma regra carrega no máximo um behavior Set WAF.

O azion create firewall-rule lê a regra inteira de um arquivo JSON. Ele não tem flag para um behavior nem para um modo.

Escreva a regra em um arquivo

Salve o seguinte como fw-rule.json, com o id do seu rule set em waf_id:

JSON
01{
02 "name": "Apply storefront-waf",
03 "active": true,
04 "description": "",
05 "criteria": [
06 [
07 {
08 "conditional": "if",
09 "variable": "${request_uri}",
10 "operator": "starts_with",
11 "argument": "/"
12 }
13 ]
14 ],
15 "behaviors": [
16 {
17 "type": "set_waf",
18 "attributes": {
19 "waf_id": 12349,
20 "mode": "blocking"
21 }
22 }
23 ]
24}
Crie a regra

Substitua <firewall-id> pelo id do seu firewall:

azion create firewall-rule --firewall-id <firewall-id> --file fw-rule.json
Leia a saída

O comando imprime o id da nova regra:

Created Firewall Rule with ID 123457

O firewall agora pontua contra o rule set todas as requisições que recebe.

Os critérios carregam ${request_uri}, então o body é enviado a partir de um arquivo.

Escreva a regra em um arquivo

Salve o seguinte como rule.json, com o id do seu rule set em waf_id:

JSON
01{
02 "name": "Apply storefront-waf",
03 "active": true,
04 "criteria": [
05 [
06 {
07 "conditional": "if",
08 "variable": "${request_uri}",
09 "operator": "starts_with",
10 "argument": "/"
11 }
12 ]
13 ],
14 "behaviors": [
15 {
16 "type": "set_waf",
17 "attributes": {
18 "waf_id": 12349,
19 "mode": "blocking"
20 }
21 }
22 ]
23}
Envie a requisição de criação

Substitua <firewall-id> pelo id do seu firewall:

Shell
01curl --request POST \
02 --url https://api.azion.com/v4/workspace/firewalls/<firewall-id>/request_rules \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data @rule.json
Leia a resposta

Um 202 carrega a regra, com a order que ela ocupa entre as regras do firewall:

JSON
01{
02 "state": "pending",
03 "data": {
04 "id": 123456,
05 "name": "Apply storefront-waf",
06 "last_editor": "user@example.com",
07 "last_modified": "2026-01-01T12:00:00.000000Z",
08 "created_at": "2026-01-01T12:00:00.000000Z",
09 "active": true,
10 "criteria": [
11 [
12 {
13 "conditional": "if",
14 "variable": "${request_uri}",
15 "operator": "starts_with",
16 "argument": "/"
17 }
18 ]
19 ],
20 "behaviors": [
21 {
22 "type": "set_waf",
23 "attributes": {
24 "waf_id": 12349,
25 "mode": "blocking"
26 }
27 }
28 ],
29 "description": "",
30 "order": 1
31 }
32}

Um body que omite mode é recusado com 400 e o erro 10059 Required Field, apontando para /data/behaviors/0/attributes/mode.

Verifique que o WAF bloqueia uma requisição

A verificação é a mesma qualquer que seja a interface que construiu a regra. O seu workload responde em um domínio no formato <id>.map.azionedge.net.

Um novo vínculo leva tempo para alcançar a infraestrutura distribuída da Azion. Espere perto de seis minutos até a regra entrar em vigor. O domínio então responde de forma inconsistente por vários minutos, enquanto a alteração chega em diferentes lugares. Uma requisição que ainda retorna a resposta anterior não quebrou nada: espere e envie-a de novo.

Envie primeiro uma requisição limpa:

curl -i https://<your-workload-domain>/

A requisição não é pontuada como ameaça e alcança a aplicação, que a responde:

HTTP/2 200

A sua própria aplicação decide esse status. O que importa é que a requisição não é recusada.

Agora envie uma requisição com forma de injection, carregando 1' OR '1'='1 na query string:

curl -i "https://<your-workload-domain>/?q=1%27%20OR%20%271%27%3D%271"

O WAF a recusa:

Texto
01HTTP/2 400
02content-type: text/html
03x-azion-request-id: 0123456789abcdef0123456789abcdef

O body é a página de erro padrão da Azion, encabeçada por Bad Request. Nada na resposta nomeia o WAF, a regra que correspondeu ou o score. Anote o x-azion-request-id: esse valor encontra a requisição no Real-Time Events.

Essa requisição disparou as regras internas 1009 e 1013, ambas no argumento q. Ela pontuou sob as famílias SQL injection e cross-site scripting. O seu rule set agora está pontuando tráfego.

Próximos passos

Score e modosO caminho que uma requisição percorre, o modelo de score e o que cada modo faz.Boas práticas de FirewallPor que produção começa em Logging, e não no Blocking que este guia usou, e o que cada prática custa.Ajuste um WAF rule setLeia o que um rule set correspondeu e transforme um falso positivo em uma exceção.Isente um parâmetro de query stringTire um argumento do score de uma regra interna, na primeira vez que uma requisição legítima for bloqueada.Aplique um rule set a toda requisiçãoA regra que vincula um rule set a um firewall, para o próximo firewall que precisar de uma.Limites de FirewallOs limites dentro dos quais um rule set opera, e o uso que cada service plan inclui.