Rule sets

Um rule set é o objeto que guarda o que o Web Application Firewall (WAF) procura: as famílias de ameaças contra as quais ele pontua uma requisição e o nível de sensibilidade que transforma um score em um bloqueio. O Azion Console lista esses objetos em WAF Rules; a API da Azion e a Azion CLI chamam o mesmo objeto de waf.

Um rule set não age sozinho. Ele é executado quando uma regra do Rules Engine for Firewall carrega o behavior Set WAF que o nomeia, junto com um modo Logging ou Blocking. O modo pertence a essa regra e não ao rule set, então um mesmo rule set é executado em Logging em uma regra e em Blocking em outra. Para mais informações, consulte Score e modos.

Esta página lista os campos de um rule set, as oito famílias de ameaças que ele pontua, os cinco níveis de sensibilidade e seus limiares, as 63 regras internas por trás das famílias e as superfícies de API e CLI que o gerenciam.

Campos

Um rule set carrega sete campos, quatro que uma requisição define e três que a plataforma define e retorna. A tabela abaixo lista também os seis campos aninhados dentro de engine_settings, então ela chega a treze linhas.

Três campos aceitam exatamente um valor cada. rulesets aceita [1], engine_version aceita 2021-Q3 e engine_settings.type aceita score. Qualquer outro valor retorna 400 com 10039 Invalid Choice, então uma requisição que carrega um segundo ID de ruleset ou uma versão de motor posterior é rejeitada em vez de rebaixada.

thresholds carrega entre 1 e 8 entradas. Uma requisição que nomeia menos de oito famílias é aceita e armazena exatamente o que enviou, e uma requisição que nomeia a mesma família duas vezes retorna 500 em vez de um erro de validação. O formulário do Console sempre escreve as oito. Uma criação que não envia nenhum engine_settings produz um rule set completo: ruleset [1], motor 2021-Q3, tipo score e as oito famílias em medium.

Famílias de ameaças

O WAF pontua uma requisição contra oito famílias de ameaças. Cada família carrega a sua própria sensibilidade, então uma requisição bloqueada por uma família passa por outra. O Console renderiza as oito como a tabela Threat Type Configuration na aba Main Settings de um rule set.

Toda família tem medium como padrão. Unwanted Access e Identified Attack são pontuadas como as outras seis, e uma criação que não envia o array thresholds carrega as oito.

Níveis de sensibilidade

Uma requisição carrega um score por família de ameaças que disparou, e cada score é comparado com o limiar da sua própria família. A requisição é bloqueada quando um score alcança esse limiar.

O limiar cai conforme a sensibilidade sobe. Uma sensibilidade maior, portanto, bloqueia mais requisições com menos evidências, e uma sensibilidade menor deixa passar mais requisições: highest bloqueia em um score de 4, e lowest bloqueia em 40.

Uma sensibilidade se aplica a uma família de ameaças, e cada família é definida de forma independente. No Console, a opção carrega a palavra Sensitivity: a opção padrão diz Sensitivity Medium.

Lowest e Low protegem menos a aplicação e bloqueiam menos requisições legítimas. High e Highest fazem o oposto, e aumentam o número de falsos positivos quando o tráfego já observado no modo Logging não cobriu a variedade de requisições que a aplicação recebe.

Regras internas

Cada regra interna carrega um identificador numérico, e uma regra que dispara contribui para o score da família de ameaças à qual pertence. O identificador é o que uma exceção nomeia quando ela permite um padrão que a regra pontuaria. Para mais informações, consulte WAF Exceptions.

A regra 0 significa todas as regras, e uma exceção criada contra ela se aplica a todas as outras regras da tabela.

O dropdown Rule ID do Console oferece 62 dessas 63. A regra 1314 está ausente da lista, e a API a aceita, então uma exceção para a crase é criada pela API ou pela CLI.

Algumas requisições que falham na regra 13 são bloqueadas mesmo quando o rule set é executado no modo Logging. Para o tamanho do corpo da requisição que a regra 2 mede, consulte Limites de Firewall.

API

Toda operação é autenticada e fica sob https://api.azion.com/v4/workspace/wafs. Uma requisição carrega um token de Personal Tokens no header Authorization sob o esquema Token, e uma requisição com corpo também carrega Content-Type: application/json.

Uma criação, uma clonagem e uma atualização parcial respondem 202, e o envelope carrega um state igual a pending ao lado do objeto. Uma leitura responde 200 e carrega apenas data, sem a chave state.

Criar um rule set

A resposta carrega 202, e não 201:

O state igual a pending diz que o rule set foi aceito, e o id em data é o identificador que todas as chamadas seguintes usam. last_editor carrega o e-mail da conta que alterou o rule set pela última vez, e o valor acima é um placeholder. A resposta também carrega version_id, version_state, is_versioned e version, que um corpo de criação não define. A API retorna os thresholds ordenados por threat, seja qual for a ordem em que a requisição os enviou.

Listar rule sets

A resposta carrega 200 e o envelope de coleção abaixo, com um rule set por entrada em results, cada um no formato que a resposta de criação carrega.

O endpoint aceita fields, id, name, ordering, page, page_size e search como query parameters. page_size vai de 1 a 100 e tem 10 como padrão. Um valor acima de 100 retorna 400 com 10097 Invalid Page Size.

Recuperar, atualizar e excluir um rule set

GET /wafs/{waf_id} responde 200 e retorna o rule set em data.

PUT /wafs/{waf_id} substitui um rule set e recebe o mesmo corpo de uma criação. PATCH /wafs/{waf_id} recebe apenas os campos enviados e responde 202 com um state igual a pending. Um PATCH que carrega engine_settings substitui todo o array thresholds em vez de mesclá-lo entrada por entrada, então uma atualização parcial envia todas as famílias de ameaças que o rule set deve manter.

DELETE /wafs/{waf_id} remove um rule set e responde 202 com um state pending. Enquanto o comportamento Set WAF de uma regra ainda aplica o rule set, a exclusão é recusada com 26007.

Clonar um rule set

Uma clonagem é uma cópia profunda de um rule set existente, incluindo as suas exceções.

A resposta carrega 202, um state igual a pending e o novo rule set: um novo id, o name que a requisição enviou e as famílias de ameaças e sensibilidades copiadas da origem. A API não adiciona sufixo e não deriva nenhum nome próprio.

O corpo é obrigatório, e o name dentro dele também. Uma clonagem enviada sem corpo, ou com um objeto vazio, retorna 400:

CLI

A Azion CLI gerencia rule sets sob o substantivo waf. As flags abaixo são as que a Azion CLI 4.23.0 carrega, sem as flags globais que todo comando recebe.

azion create waf e azion update waf compartilham as suas flags, exceto que --product-version pertence à criação e --waf-id à atualização.

azion list waf recebe --details, --filter para filtrar por nome, --order-by, --page com padrão 1 e --page-size com padrão 50. azion describe waf e azion delete waf recebem cada um --waf-id.

Uma criação que define todas as famílias de ameaças recebe um único valor em --thresholds:

Uma criação que não define nada além de um nome produz um rule set completo:

azion describe waf --waf-id 12347 --format json retorna o rule set armazenado, com as chaves ordenadas pela CLI:

Erros

Uma requisição rejeitada retorna um array errors. Cada entrada carrega um code, um title, um detail, o status e um ponteiro source que nomeia o campo a que a rejeição se refere:

10067 retorna 500 para um erro do cliente. Uma família de ameaças repetida é respondida com o texto A server error occurred., que não nomeia nem a duplicata nem o campo, então quem confia no código de status conclui que a plataforma está fora do ar, e uma nova tentativa retorna o mesmo 500. O seu ponteiro source diz /data/attributes/thresholds, um segmento a menos que o ponteiro que todo outro erro de threshold retorna.

26007 nomeia duas vezes cada regra que ainda aplica o rule set, como <firewall-name> - <rule-name>: uma no detail, It was not possible to perform this operation. To delete this WAF, you must first remove its usage in the following rules engine: ['<firewall-name> - <rule-name>']., e outra como uma entrada de meta.ef_rules_using_waf. O seu ponteiro source diz /data.

Recursos relacionados