Ajusta las reglas de WAF de Google Cloud Armor

Reglas preconfiguradas

Las reglas preconfiguradas de Google Cloud Armor son reglas complejas de firewall de aplicación web (WAF) con decenas de firmas que se compilan a partir de estándares de la industria de código abierto. Google ofrece estas reglas tal como están. Las reglas permiten que Google Cloud Armor evalúe decenas de firmas de tráfico distintas, ya que consulta las reglas con nombres prácticos en lugar de requerir que definas cada firma de forma manual.

En la siguiente tabla, se incluye una lista completa de las reglas de WAF preconfiguradas que están disponibles para usar en una política de seguridad de Google Cloud Armor. La fuente de reglas es conjunto de reglas principales de ModSecurity (CRS) 3.0 y CRS 3.3. Te recomendamos usar la versión 3.3 para obtener una mayor sensibilidad y una mayor variedad de tipos de ataques protegidos.

CRS 3.3

Nombre de la regla de Google Cloud Armor Nombre de la regla de ModSecurity Estado actual
Inyección de SQL (vista previa pública) sqli-v33-stable En sincronización con sqli-v33-canary
sqli-v33-canary Más reciente
Secuencia de comandos entre sitios (vista previa pública) xss-v33-stable En sincronización con xss-v33-canary
xss-v33-canary Más reciente
Inclusión de archivos locales (vista previa pública) lfi-v33-stable En sincronización con lfi-v33-canary
lfi-v33-canary Más reciente
Inclusión de archivos remotos (vista previa pública) rfi-v33-stable En sincronización con rfi-v33-canary
rfi-v33-canary Más reciente
Ejecución de código remoto (vista previa pública) rce-v33-stable En sincronización con rce-v33-canary
rce-v33-canary Más reciente
Aplicación de métodos (vista previa pública) methodenforcement-v33-stable En sincronización con methodenforcement-v33-canary
methodenforcement-v33-canary Más reciente
Detección de escáner (vista previa pública) scannerdetection-v33-stable En sincronización con scannerdetection-v33-canary
scannerdetection-v33-canary Más reciente
Ataque de protocolo (vista previa pública) protocolattack-v33-stable En sincronización con protocolattack-v33-canary
protocolattack-v33-canary Más reciente
Incidente de inserción PHP (vista previa pública) php-v33-stable En sincronización con php-v33-canary
php-v33-canary Más reciente
Incidente de corrección de sesión (vista previa pública) sessionfixation-v33-stable En sincronización con sessionfixation-v33-canary
sessionfixation-v33-canary Más reciente

CRS 3.0

Nombre de la regla de Google Cloud Armor Nombre de la regla de ModSecurity Estado actual
Inserción de SQL sqli-stable En sincronización con sqli-canary
sqli-canary Más reciente
Secuencia de comandos entre sitios xss-stable En sincronización con xss-canary
xss-canary Más reciente
Inclusión de archivos locales lfi-stable En sincronización con lfi-canary
lfi-canary Más reciente
Inclusión de archivos remotos rfi-stable En sincronización con rfi-canary
rfi-canary Más reciente
Ejecución de código remoto rce-stable En sincronización con rce-canary
rce-canary Más reciente
Aplicación de métodos (vista previa pública) methodenforcement-stable En sincronización con methodenforcement-canary
methodenforcement-canary Más reciente
Detección de escáner scannerdetection-stable En sincronización con scannerdetection-canary
scannerdetection-canary Más reciente
Ataque de protocolo protocolattack-stable En sincronización con protocolattack-canary
protocolattack-canary Más reciente
Ataque de inserción de PHP php-stable En sincronización con php-canary
php-canary Más reciente
Ataque de fijación de sesión sessionfixation-stable En sincronización con sessionfixation-canary
sessionfixation-canary Más reciente

Además, la siguiente regla cve-canary está disponible para todos los clientes de Google Cloud Armor a fin de detectar y, de forma opcional, bloquear los intentos de explotación de las vulnerabilidades CVE-2021-44228 y CVE-2021-45046.

Nombre de la regla de Google Cloud Armor Contenido de la regla Tipos de vulnerabilidades cubiertos
cve-canary Vulnerabilidades descubiertas recientemente Vulnerabilidad de Log4j

Cada regla preconfigurada está compuesta por varias firmas. Las solicitudes entrantes se evalúan en función de las reglas preconfiguradas. Una solicitud coincide con una regla preconfigurada si coincide con alguna de las firmas asociadas con la regla preconfigurada. Se genera una coincidencia cuando el comando evaluatePreconfiguredExpr() muestra el valor true.

Si decides que una regla preconfigurada coincide con más tráfico del necesario o si la regla bloquea el tráfico que se debe permitir, la regla se puede ajustar para inhabilitar firmas ruidosas o innecesarias. Para inhabilitar firmas en una regla preconfigurada en particular, proporciona una lista de los ID de las firmas no deseadas al comando evaluatePreconfiguredExpr().

En el siguiente ejemplo, se excluyen dos ID de reglas CRS de la regla de WAF xss-v33-stable (CRS 3.3) preconfigurada:

evaluatePreconfiguredExpr('xss-v33-stable', ['owasp-crs-v030301-id941330-xss', 'owasp-crs-v030301-id941340-xss'])

Cuando excluyes el ID de firma de conjuntos de reglas de CRS preconfigurados, debes hacer coincidir la versión del ID de firma con la versión del conjunto de reglas (CRS 3.0 o 3.3) para evitar errores de configuración.

El ejemplo anterior es una expresión en el lenguaje de reglas personalizadas. A continuación, se muestra la sintaxis general:

evaluatePreconfiguredExpr(RULE, ['SIGNATURE1', 'SIGNATURE2', 'SIGNATURE3'])

Reglas de ModSecurity preconfiguradas

Cada regla preconfigurada tiene un nivel de sensibilidad que corresponde a un nivel de paranoia de ModSecurity. Un nivel de sensibilidad más bajo indica una firma de confianza más alta, y es menos probable que genere un falso positivo. Un nivel de sensibilidad más alto aumenta la seguridad, pero también aumenta el riesgo de generar un falso positivo.

Inserción de SQL (SQLi)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de SQLi.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id942140-sqli 1 Ataque de inserción de SQL: se detectaron nombres de DB comunes
owasp-crs-v030301-id942160-sqli 1 Detecta las pruebas de SQLi ocultas mediante el uso de suspensiones() o comparativas()
owasp-crs-v030301-id942170-sqli 1 Detecta intentos de inserción de suspensiones y comparativas de SQL, incluidas las consultas condicionales
owasp-crs-v030301-id942190-sqli 1 Detecta la ejecución de código MSSQL y los intentos de recopilación de información
owasp-crs-v030301-id942220-sqli 1 Busca ataques de exceso de números enteros
owasp-crs-v030301-id942230-sqli 1 Detecta intentos de inserción de SQL condicional
owasp-crs-v030301-id942240-sqli 1 Detecta el cambio de charset de MySQL y los intentos de DoS de MSSQL
owasp-crs-v030301-id942250-sqli 1 Detecta operaciones MATCH AGAINST
owasp-crs-v030301-id942270-sqli 1 Busca inserciones de SQL básico. String de ataque común para MySQL
owasp-crs-v030301-id942280-sqli 1 Detecta la inserción de pg_sleep de Postgres
owasp-crs-v030301-id942290-sqli 1 Busca intentos de inserción básica de SQL de MongoDB
owasp-crs-v030301-id942320-sqli 1 Detecta inserciones de funciones o procedimientos almacenados de MySQL y PostgreSQL
owasp-crs-v030301-id942350-sqli 1 Detecta la inserción de UDF de MySQL y otros intentos de manipulación de datos o estructura
owasp-crs-v030301-id942360-sqli 1 Detecta intentos de SQLLFI y, también, inserciones básicas de SQL concatenadas
owasp-crs-v030301-id942500-sqli 1 Se detectó un comentario en línea de MySQL
owasp-crs-v030301-id942110-sqli 2 Ataque de inserción de SQL: se detectó una prueba de inserción común
owasp-crs-v030301-id942120-sqli 2 Ataque de inserción de SQL: se detectó un operador de SQL
owasp-crs-v030301-id942130-sqli 2 Ataque de inyección de SQL: se detectó una tautología de SQL
owasp-crs-v030301-id942150-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942180-sqli 2 Detecta los intentos de omisión de la autenticación básica de SQL 1/3
owasp-crs-v030301-id942200-sqli 2 Detecta las inyecciones de MySQL ofuscadas con espacios o comentarios y la terminación de acento grave
owasp-crs-v030301-id942210-sqli 2 Detecta intentos de inserciones de SQL en cadena 1/2
owasp-crs-v030301-id942260-sqli 2 Detecta intentos de omisión de la autenticación básica de SQL 2/3
owasp-crs-v030301-id942300-sqli 2 Detecta comentarios de MySQL
owasp-crs-v030301-id942310-sqli 2 Detecta intentos de inserciones de SQL en cadena 2/2
owasp-crs-v030301-id942330-sqli 2 Detecta sondeos de inserción de SQL clásica 1/2
owasp-crs-v030301-id942340-sqli 2 Detecta intentos de omisión de la autenticación básica de SQL 3/3
owasp-crs-v030301-id942361-sqli 2 Detecta la inyección básica de SQL según la modificación o unión de las palabras clave
owasp-crs-v030301-id942370-sqli 2 Detecta sondeos de inyección de SQL clásica 1/2
owasp-crs-v030301-id942380-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942390-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942400-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942410-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942470-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942480-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942430-sqli 2 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (12)
owasp-crs-v030301-id942440-sqli 2 Se detectó la secuencia de comentarios de SQL
owasp-crs-v030301-id942450-sqli 2 Codificación hexadecimal de SQL identificada
owasp-crs-v030301-id942510-sqli 2 Intento de omisión de SQLi mediante ticks o acentos graves detectados
owasp-crs-v030301-id942251-sqli 3 Detecta inserciones HAVING
owasp-crs-v030301-id942490-sqli 3 Detecta sondeos de inyección de SQL clásica 3/3
owasp-crs-v030301-id942420-sqli 3 Detección de anomalías de caracteres de SQL restringidos (cookies): número de caracteres especiales excedido (8)
owasp-crs-v030301-id942431-sqli 3 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (6)
owasp-crs-v030301-id942460-sqli 3 Alerta de detección de anomalías de metacaracteres: caracteres repetidos que no forman palabras
owasp-crs-v030301-id942511-sqli 3 Intento de omisión de SQLi mediante ticks detectados
owasp-crs-v030301-id942421-sqli 4 Detección de anomalías de caracteres de SQL restringidos (cookies): número de caracteres especiales excedido (3)
owasp-crs-v030301-id942432-sqli 4 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (2)

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id942140-sqli 1 Ataque de inserción de SQL: se detectaron nombres de DB comunes
owasp-crs-v030001-id942160-sqli 1 Detecta las pruebas de SQLi ocultas mediante el uso de suspensiones() o comparativas()
owasp-crs-v030001-id942170-sqli 1 Detecta intentos de inserción de suspensiones y comparativas de SQL, incluidas las consultas condicionales
owasp-crs-v030001-id942190-sqli 1 Detecta la ejecución de código MSSQL y los intentos de recopilación de información
owasp-crs-v030001-id942220-sqli 1 Busca ataques de exceso de números enteros
owasp-crs-v030001-id942230-sqli 1 Detecta intentos de inserción de SQL condicional
owasp-crs-v030001-id942240-sqli 1 Detecta el cambio de charset de MySQL y los intentos de DoS de MSSQL
owasp-crs-v030001-id942250-sqli 1 Detecta operaciones MATCH AGAINST
owasp-crs-v030001-id942270-sqli 1 Busca inserciones de SQL básico. String de ataque común para MySQL
owasp-crs-v030001-id942280-sqli 1 Detecta la inserción de pg_sleep de Postgres
owasp-crs-v030001-id942290-sqli 1 Busca intentos de inserción básica de SQL de MongoDB
owasp-crs-v030001-id942320-sqli 1 Detecta inserciones de funciones o procedimientos almacenados de MySQL y PostgreSQL
owasp-crs-v030001-id942350-sqli 1 Detecta la inserción de UDF de MySQL y otros intentos de manipulación de datos o estructura
owasp-crs-v030001-id942360-sqli 1 Detecta intentos de SQLLFI y, también, inserciones básicas de SQL concatenadas
Not included 1 Se detectó un comentario en línea de MySQL
owasp-crs-v030001-id942110-sqli 2 Ataque de inserción de SQL: se detectó una prueba de inserción común
owasp-crs-v030001-id942120-sqli 2 Ataque de inserción de SQL: se detectó un operador de SQL
Not included 2 Ataque de inyección de SQL: se detectó una tautología de SQL
owasp-crs-v030001-id942150-sqli 2 Ataque de inserción de SQL
owasp-crs-v030001-id942180-sqli 2 Detecta los intentos de omisión de la autenticación básica de SQL 1/3
owasp-crs-v030001-id942200-sqli 2 Detecta las inyecciones de MySQL ofuscadas con espacios o comentarios y la terminación de acento grave
owasp-crs-v030001-id942210-sqli 2 Detecta intentos de inserciones de SQL en cadena 1/2
owasp-crs-v030001-id942260-sqli 2 Detecta intentos de omisión de la autenticación básica de SQL 2/3
owasp-crs-v030001-id942300-sqli 2 Detecta comentarios de MySQL
owasp-crs-v030001-id942310-sqli 2 Detecta intentos de inserciones de SQL en cadena 2/2
owasp-crs-v030001-id942330-sqli 2 Detecta sondeos de inserción de SQL clásica 1/2
owasp-crs-v030001-id942340-sqli 2 Detecta intentos de omisión de la autenticación básica de SQL 3/3
Not included 2 Detecta la inyección básica de SQL según la modificación o unión de las palabras clave
Not included 2 Detecta sondeos de inyección de SQL clásica 1/2
owasp-crs-v030001-id942380-sqli 2 Ataque de inserción de SQL
owasp-crs-v030001-id942390-sqli 2 Ataque de inserción de SQL
owasp-crs-v030001-id942400-sqli 2 Ataque de inserción de SQL
owasp-crs-v030001-id942410-sqli 2 Ataque de inserción de SQL
Not included 2 Ataque de inserción de SQL
Not included 2 Ataque de inserción de SQL
owasp-crs-v030001-id942430-sqli 2 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (12)
owasp-crs-v030001-id942440-sqli 2 Se detectó la secuencia de comentarios de SQL
owasp-crs-v030001-id942450-sqli 2 Codificación hexadecimal de SQL identificada
Not included 2 Intento de omisión de SQLi mediante ticks o acentos graves detectados
owasp-crs-v030001-id942251-sqli 3 Detecta inserciones HAVING
Not included 2 Detecta sondeos de inyección de SQL clásica 3/3
owasp-crs-v030001-id942420-sqli 3 Detección de anomalías de caracteres de SQL restringidos (cookies): número de caracteres especiales excedido (8)
owasp-crs-v030001-id942431-sqli 3 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (6)
owasp-crs-v030001-id942460-sqli 3 Alerta de detección de anomalías de metacaracteres: caracteres repetidos que no forman palabras
Not included 3 Intento de omisión de SQLi mediante ticks detectados
owasp-crs-v030001-id942421-sqli 4 Detección de anomalías de caracteres de SQL restringidos (cookies): número de caracteres especiales excedido (3)
owasp-crs-v030001-id942432-sqli 4 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (2)

Para configurar una regla en un nivel de sensibilidad específico, inhabilita las firmas en los niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de SQLi


evaluatePreconfiguredExpr('sqli-v33-stable',
['owasp-crs-v030301-id942110-sqli',
  'owasp-crs-v030301-id942120-sqli',
  'owasp-crs-v030301-id942130-sqli',
  'owasp-crs-v030301-id942150-sqli',
  'owasp-crs-v030301-id942180-sqli',
  'owasp-crs-v030301-id942200-sqli',
  'owasp-crs-v030301-id942210-sqli',
  'owasp-crs-v030301-id942260-sqli',
  'owasp-crs-v030301-id942300-sqli',
  'owasp-crs-v030301-id942310-sqli',
  'owasp-crs-v030301-id942330-sqli',
  'owasp-crs-v030301-id942340-sqli',
  'owasp-crs-v030301-id942361-sqli',
  'owasp-crs-v030301-id942370-sqli',
  'owasp-crs-v030301-id942380-sqli',
  'owasp-crs-v030301-id942390-sqli',
  'owasp-crs-v030301-id942400-sqli',
  'owasp-crs-v030301-id942410-sqli',
  'owasp-crs-v030301-id942470-sqli',
  'owasp-crs-v030301-id942480-sqli',
  'owasp-crs-v030301-id942430-sqli',
  'owasp-crs-v030301-id942440-sqli',
  'owasp-crs-v030301-id942450-sqli',
  'owasp-crs-v030301-id942510-sqli',
  'owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)
          
Nivel 2 de sensibilidad de SQLi


evaluatePreconfiguredExpr('sqli-v33-stable',
 ['owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)
Nivel 3 de sensibilidad de SQLi


evaluatePreconfiguredExpr('sqli-v33-stable',
        ['owasp-crs-v030301-id942421-sqli',
         'owasp-crs-v030301-id942432-sqli']
         )
Nivel 4 de sensibilidad de SQLi


evaluatePreconfiguredExpr('sqli-v33-stable')

Secuencia de comandos entre sitios (XSS)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de XSS.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id941110-xss 1 Filtro de XSS - Categoría 1: vector de etiqueta de secuencia de comandos
owasp-crs-v030301-id941120-xss 1 Filtro de XSS - Categoría 2: vector de controlador de eventos
owasp-crs-v030301-id941130-xss 1 Filtro de XSS - Categoría 3: vector de atributos
owasp-crs-v030301-id941140-xss 1 Filtro de XSS - Categoría 4: vector de URI de JavaScript
owasp-crs-v030301-id941160-xss 1 NoScript XSS InjectionChecker: inserción de HTML
owasp-crs-v030301-id941170-xss 1 NoScript XSS InjectionChecker: inserción de atributos
owasp-crs-v030301-id941180-xss 1 Palabras clave de la lista negra del validador de nodos
owasp-crs-v030301-id941190-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941200-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941210-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941220-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941230-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941240-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941250-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941260-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941270-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941280-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941290-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941300-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941310-xss 1 Filtro de XSS de codificación con formato incorrecto de US-ASCII: se detectó un ataque
owasp-crs-v030301-id941350-xss 1 XSS de IE de codificación UTF-7: se detectó un ataque
owasp-crs-v030301-id941360-xss 1 Se detectó una ofuscación de Hieroglyphy
owasp-crs-v030301-id941370-xss 1 Se encontró una variable global de JavaScript
owasp-crs-v030301-id941150-xss 2 Filtro de XSS - Categoría 5: atributos HTML no permitidos
owasp-crs-v030301-id941320-xss 2 Posible ataque de XSS detectado: controlador de etiquetas HTML
owasp-crs-v030301-id941330-xss 2 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941340-xss 2 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941380-xss 2 Se detectó una inserción de plantilla del cliente de AngularJS

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id941110-xss 1 Filtro de XSS - Categoría 1: vector de etiqueta de secuencia de comandos
owasp-crs-v030001-id941120-xss 1 Filtro de XSS - Categoría 2: vector de controlador de eventos
owasp-crs-v030001-id941130-xss 1 Filtro de XSS - Categoría 3: vector de atributos
owasp-crs-v030001-id941140-xss 1 Filtro de XSS - Categoría 4: vector de URI de JavaScript
owasp-crs-v030001-id941160-xss 1 NoScript XSS InjectionChecker: inserción de HTML
owasp-crs-v030001-id941170-xss 1 NoScript XSS InjectionChecker: inserción de atributos
owasp-crs-v030001-id941180-xss 1 Palabras clave de la lista negra del validador de nodos
owasp-crs-v030001-id941190-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941200-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941210-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941220-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941230-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941240-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941250-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941260-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941270-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941280-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941290-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941300-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941310-xss 1 Filtro de XSS de codificación con formato incorrecto de US-ASCII: se detectó un ataque
owasp-crs-v030001-id941350-xss 1 XSS de IE de codificación UTF-7: se detectó un ataque
Not included 1 Se detectó una ofuscación de JSFuck / Hieroglyphy
Not included 1 Se encontró una variable global de JavaScript
owasp-crs-v030001-id941150-xss 2 Filtro de XSS - Categoría 5: atributos HTML no permitidos
owasp-crs-v030001-id941320-xss 2 Posible ataque de XSS detectado: controlador de etiquetas HTML
owasp-crs-v030001-id941330-xss 2 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941340-xss 2 Filtros de XSS de IE: se detectó un ataque
Not included 2 Se detectó una inserción de plantilla del cliente de AngularJS

Para configurar una regla en un nivel de sensibilidad específico, inhabilita las firmas en los niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de XSS


evaluatePreconfiguredExpr('xss-v33-stable',
['owasp-crs-v030301-id941150-xss',
  'owasp-crs-v030301-id941320-xss',
  'owasp-crs-v030301-id941330-xss',
  'owasp-crs-v030301-id941340-xss',
  'owasp-crs-v030301-id941380-xss'
])
          


Todas las firmas para XSS están por debajo del nivel 2 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

Nivel 2 de sensibilidad de XSS


evaluatePreconfiguredExpr('xss-v33-stable')

Inclusión de archivos locales (LFI)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de LFI.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id930100-lfi 1 Ataque de recorrido de ruta (/../)
owasp-crs-v030301-id930110-lfi 1 Ataque de recorrido de ruta (/../)
owasp-crs-v030301-id930120-lfi 1 Intento de acceso a archivos del SO
owasp-crs-v030301-id930130-lfi 1 Intento de acceso a archivos restringidos

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id930100-lfi 1 Ataque de recorrido de ruta (/../)
owasp-crs-v030001-id930110-lfi 1 Ataque de recorrido de ruta (/../)
owasp-crs-v030001-id930120-lfi 1 Intento de acceso a archivos del SO
owasp-crs-v030001-id930130-lfi 1 Intento de acceso a archivos restringidos

Todas las firmas para LFI están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

Nivel 1 de sensibilidad de LFI


evaluatePreconfiguredExpr('lfi-v33-canary')

Ejecución de código remoto (RCE)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de RCE.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id932100-rce 1 Inserción de comandos de UNIX
owasp-crs-v030301-id932105-rce 1 Inserción de comandos de UNIX
owasp-crs-v030301-id932110-rce 1 Inserción de comandos de Windows
owasp-crs-v030301-id932115-rce 1 Inserción de comandos de Windows
owasp-crs-v030301-id932120-rce 1 Se encontró un comando de Windows PowerShell
owasp-crs-v030301-id932130-rce 1 Se encontró una expresión de shell de Unix
owasp-crs-v030301-id932140-rce 1 Se encontró un comando IF o FOR de Windows
owasp-crs-v030301-id932150-rce 1 Ejecución directa de comandos de UNIX
owasp-crs-v030301-id932160-rce 1 Se encontró código de shell de Unix
owasp-crs-v030301-id932170-rce 1 Shellshock (CVE-2014-6271)
owasp-crs-v030301-id932171-rce 1 Shellshock (CVE-2014-6271)
owasp-crs-v030301-id932180-rce 1 Intento de carga de archivos restringidos
owasp-crs-v030301-id932200-rce 2 Técnica de omitir RCE
owasp-crs-v030301-id932106-rce 3 Ejecución de comandos remotos: inserción de comandos Unix
owasp-crs-v030301-id932190-rce 3 Ejecución de comando remoto: intento de técnica de omisión de comodín

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id932100-rce 1 Inserción de comandos de UNIX
owasp-crs-v030001-id932105-rce 1 Inserción de comandos de UNIX
owasp-crs-v030001-id932110-rce 1 Inserción de comandos de Windows
owasp-crs-v030001-id932115-rce 1 Inserción de comandos de Windows
owasp-crs-v030001-id932120-rce 1 Se encontró un comando de Windows PowerShell
owasp-crs-v030001-id932130-rce 1 Se encontró una expresión de shell de Unix
owasp-crs-v030001-id932140-rce 1 Se encontró un comando IF o FOR de Windows
owasp-crs-v030001-id932150-rce 1 Ejecución directa de comandos de UNIX
owasp-crs-v030001-id932160-rce 1 Se encontró código de shell de Unix
owasp-crs-v030001-id932170-rce 1 Shellshock (CVE-2014-6271)
owasp-crs-v030001-id932171-rce 1 Shellshock (CVE-2014-6271)
Not included 1 Intento de carga de archivos restringidos
Not included 2 Técnica de omitir RCE
Not included 3 Ejecución de comandos remotos: inserción de comandos Unix
Not included 3 Ejecución de comando remoto: intento de técnica de omisión de comodín

Todas las firmas para RCE están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

Nivel 1 de sensibilidad de RCE


evaluatePreconfiguredExpr('rce-v33-stable',
          ['owasp-crs-v030301-id932200-rce',
           'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          )

La siguiente configuración funciona para otros niveles de sensibilidad:

Nivel 2 de sensibilidad de RCE


evaluatePreconfiguredExpr('rce-v33-stable',
          ['owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
          )
          
Nivel 3 de sensibilidad de RCE


evaluatePreconfiguredExpr('rce-v33-stable')
          

Inclusión de archivos remotos (RFI)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de RFI.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id931100-rfi 1 Parámetro de URL con direcciones IP
owasp-crs-v030301-id931110-rfi 1 Nombre de parámetro vulnerable de RFI común que se usa con la carga útil de URL
owasp-crs-v030301-id931120-rfi 1 Carga útil de URL usada con el carácter de signo de interrogación de cierre (?)
owasp-crs-v030301-id931130-rfi 2 Vínculo o referencia fuera del dominio

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id931100-rfi 1 Parámetro de URL con direcciones IP
owasp-crs-v030001-id931110-rfi 1 Nombre de parámetro vulnerable de RFI común que se usa con la carga útil de URL
owasp-crs-v030001-id931120-rfi 1 Carga útil de URL usada con el carácter de signo de interrogación de cierre (?)
owasp-crs-v030001-id931130-rfi 2 Vínculo o referencia fuera del dominio

Para configurar una regla en un nivel de sensibilidad específico, inhabilita las firmas en los niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de RFI


evaluatePreconfiguredExpr('rfi-v33-canary', ['owasp-crs-v030301-id931130-rfi'])

Todas las firmas para RFI están por debajo del nivel 2 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

Nivel 2 de sensibilidad de RFI


evaluatePreconfiguredExpr('rfi-v33-stable')

Aplicación de métodos

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada del método de aplicación.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id911100-methodenforcement 1 La política no permite el método

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id911100-methodenforcement 1 La política no permite el método

Todas las firmas para la aplicación de métodos están por debajo del nivel de sensibilidad 2. La siguiente configuración funciona para otros niveles de sensibilidad:

Nivel 1 de sensibilidad del método de aplicación


evaluatePreconfiguredExpr('methodenforcement-v33-stable')

Detección de escáner

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de detección del analizador.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id913100-scannerdetection 1 Se encontró un usuario-agente asociado con el análisis de seguridad
owasp-crs-v030301-id913110-scannerdetection 1 Se encontró un encabezado de solicitud asociado con el análisis de seguridad
owasp-crs-v030301-id913120-scannerdetection 1 Se encontró un nombre de archivo o argumento asociado con el análisis de seguridad
owasp-crs-v030301-id913101-scannerdetection 2 Se encontró un usuario-agente asociado con la secuencia de comandos o el cliente HTTP genérico
owasp-crs-v030301-id913102-scannerdetection 2 Se encontró un usuario-agente asociado con el bot o el rastreador web

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id913100-scannerdetection 1 Se encontró un usuario-agente asociado con el análisis de seguridad
owasp-crs-v030001-id913110-scannerdetection 1 Se encontró un encabezado de solicitud asociado con el análisis de seguridad
owasp-crs-v030001-id913120-scannerdetection 1 Se encontró un nombre de archivo o argumento asociado con el análisis de seguridad
owasp-crs-v030001-id913101-scannerdetection 2 Se encontró un usuario-agente asociado con la secuencia de comandos o el cliente HTTP genérico
owasp-crs-v030001-id913102-scannerdetection 2 Se encontró un usuario-agente asociado con el bot o el rastreador web

Para configurar una regla en un nivel de sensibilidad específico, inhabilita las firmas en los niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de detección de análisis


evaluatePreconfiguredExpr('scannerdetection-v33-stable',
  ['owasp-crs-v030301-id913101-scannerdetection',
  'owasp-crs-v030301-id913102-scannerdetection']
)
          
Nivel 2 de sensibilidad de detección de análisis


evaluatePreconfiguredExpr('scannerdetection-v33-stable')
          

Ataque de protocolo

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de RFI.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
Not included 1 Ataque de respuesta a solicitud de HTTP
owasp-crs-v030301-id921110-protocolattack 1 Ataque de respuesta a solicitud de HTTP
owasp-crs-v030301-id921120-protocolattack 1 Ataque de división de respuesta HTTP
owasp-crs-v030301-id921130-protocolattack 1 Ataque de división de respuesta HTTP
owasp-crs-v030301-id921140-protocolattack 1 Ataque de inserción de encabezados HTTP mediante encabezados
owasp-crs-v030301-id921150-protocolattack 1 Ataque de inserción de encabezados HTTP mediante carga útil (detectado CR/LF)
owasp-crs-v030301-id921160-protocolattack 1 Ataque de inserción de encabezados HTTP mediante carga útil (se detectaron nombres de CR/LF y de encabezado)
owasp-crs-v030301-id921190-protocolattack 1 División de HTTP (CR/LF en el nombre de archivo de la solicitud detectado)
owasp-crs-v030301-id921200-protocolattack 1 Ataque de inserción de LDAP
owasp-crs-v030301-id921151-protocolattack 2 Ataque de inserción de encabezados HTTP mediante carga útil (detectado CR/LF)
owasp-crs-v030301-id921170-protocolattack 3 Contaminación de parámetros HTTP

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id921100-protocolattack 1 Ataque de respuesta a solicitud de HTTP
owasp-crs-v030001-id921110-protocolattack 1 Ataque de respuesta a solicitud de HTTP
owasp-crs-v030001-id921120-protocolattack 1 Ataque de división de respuesta HTTP
owasp-crs-v030001-id921130-protocolattack 1 Ataque de división de respuesta HTTP
owasp-crs-v030001-id921140-protocolattack 1 Ataque de inserción de encabezados HTTP mediante encabezados
owasp-crs-v030001-id921150-protocolattack 1 Ataque de inserción de encabezados HTTP mediante carga útil (detectado CR/LF)
owasp-crs-v030001-id921160-protocolattack 1 Ataque de inserción de encabezados HTTP mediante carga útil (se detectaron nombres de CR/LF y de encabezado)
Not included 1 División de HTTP (CR/LF en el nombre de archivo de la solicitud detectado)
Not included 1 Ataque de inserción de LDAP
owasp-crs-v030001-id921151-protocolattack 2 Ataque de inserción de encabezados HTTP mediante carga útil (detectado CR/LF)
owasp-crs-v030001-id921170-protocolattack 3 Contaminación de parámetros HTTP

Para configurar una regla en un nivel de sensibilidad específico, inhabilita las firmas en los niveles de sensibilidad más altos.

Nivel 1 de sensibilidad del ataque de protocolo


evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921151-protocolattack',
  'owasp-crs-v030301-id921170-protocolattack']
)
          
Nivel 2 de sensibilidad del ataque de protocolo


evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921170-protocolattack']
)
          
Nivel 3 de sensibilidad del ataque de protocolo


evaluatePreconfiguredExpr('protocolattack-v33-stable')
          

PHP

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de PHP.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id933100-php 1 Ataque de inserción de PHP: se encontró la etiqueta PHP Open
owasp-crs-v030301-id933110-php 1 Ataque de inserción de PHP: se encontró una carga de archivo de secuencia de comandos de PHP
owasp-crs-v030301-id933120-php 1 Ataque de inserción de PHP: se encontró una directiva de configuración
owasp-crs-v030301-id933130-php 1 Ataque de inserción de PHP: se encontraron variables
owasp-crs-v030301-id933140-php 1 Ataque de inserción de PHP: se encontró una transmisión de E/S
owasp-crs-v030301-id933200-php 1 Ataque de inserción de PHP: se detectó un esquema de wrapper
owasp-crs-v030301-id933150-php 1 Ataque de inserción de PHP: nombre de función de PHP de alto riesgo encontrado
owasp-crs-v030301-id933160-php 1 Ataque de inserción de PHP: se encontró una llamada de función de alto riesgo de PHP
owasp-crs-v030301-id933170-php 1 Ataque de inserción de PHP: inserción de objetos en serie
owasp-crs-v030301-id933180-php 1 Ataque de inserción de PHP: se encontró una llamada de función de variable
owasp-crs-v030301-id933210-php 1 Ataque de inserción de PHP: se encontró una llamada de función de variable
owasp-crs-v030301-id933151-php 2 Ataque de inserción de PHP: se encontró un nombre de función de PHP de riesgo medio
owasp-crs-v030301-id933131-php 3 Ataque de inserción de PHP: se encontraron variables
owasp-crs-v030301-id933161-php 3 Ataque de inserción de PHP: se encontró una llamada de función de PHP de bajo valor
owasp-crs-v030301-id933111-php 3 Ataque de inserción de PHP: se encontró una carga de archivo de secuencia de comandos de PHP
owasp-crs-v030301-id933190-php 3 Ataque de inserción de PHP: se encontró la etiqueta de cierre de PHP

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id933100-php 1 Ataque de inserción de PHP: se encontró la etiqueta PHP Open
owasp-crs-v030001-id933110-php 1 Ataque de inserción de PHP: se encontró una carga de archivo de secuencia de comandos de PHP
owasp-crs-v030001-id933120-php 1 Ataque de inserción de PHP: se encontró una directiva de configuración
owasp-crs-v030001-id933130-php 1 Ataque de inserción de PHP: se encontraron variables
owasp-crs-v030001-id933140-php 1 Ataque de inserción de PHP: se encontró una transmisión de E/S
Not included 1 Ataque de inserción de PHP: se detectó un esquema de wrapper
owasp-crs-v030001-id933150-php 1 Ataque de inserción de PHP: nombre de función de PHP de alto riesgo encontrado
owasp-crs-v030001-id933160-php 1 Ataque de inserción de PHP: se encontró una llamada de función de alto riesgo de PHP
owasp-crs-v030001-id933170-php 1 Ataque de inserción de PHP: inserción de objetos en serie
owasp-crs-v030001-id933180-php 1 Ataque de inserción de PHP: se encontró una llamada de función de variable
Not included 1 Ataque de inserción de PHP: se encontró una llamada de función de variable
owasp-crs-v030001-id933151-php 2 Ataque de inserción de PHP: se encontró un nombre de función de PHP de riesgo medio
owasp-crs-v030001-id933131-php 3 Ataque de inserción de PHP: se encontraron variables
owasp-crs-v030001-id933161-php 3 Ataque de inserción de PHP: se encontró una llamada de función de PHP de bajo valor
owasp-crs-v030001-id933111-php 3 Ataque de inserción de PHP: se encontró una carga de archivo de secuencia de comandos de PHP
Not included 3 Ataque de inserción de PHP: se encontró la etiqueta de cierre de PHP

Para configurar una regla en un nivel de sensibilidad específico, inhabilita las firmas en los niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de inserción de ataque de PHP


evaluatePreconfiguredExpr('php-v33-stable',
['owasp-crs-v030301-id933151-php',
  'owasp-crs-v030301-id933131-php',
  'owasp-crs-v030301-id933161-php',
  'owasp-crs-v030301-id933111-php',
  'owasp-crs-v030301-id933190-php']
)
          
Nivel 2 de sensibilidad de inserción de ataque de PHP


evaluatePreconfiguredExpr('php-v33-stable',
  ['owasp-crs-v0303001-id933131-php',
  'owasp-crs-v0303001-id933161-php',
  'owasp-crs-v0303001-id933111-php'
  'owasp-crs-v030301-id933190-php'])
          
Nivel 3 de sensibilidad de inserción de ataque de PHP


evaluatePreconfiguredExpr('php-v33-stable')
          

Corrección de la sesión

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de la corrección de sesión.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id943100-sessionfixation 1 Posible ataque de corrección de sesión: Cómo configurar valores de cookies en HTML
owasp-crs-v030301-id943110-sessionfixation 1 Posible ataque de corrección de sesión: Nombre del parámetro de SessionID con referente fuera del dominio
owasp-crs-v030301-id943120-sessionfixation 1 Posible ataque de corrección de sesión: Nombre del parámetro de SessionID sin referencia

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id943100-sessionfixation 1 Posible ataque de corrección de sesión: Cómo configurar valores de cookies en HTML
owasp-crs-v030001-id943110-sessionfixation 1 Posible ataque de corrección de sesión: Nombre del parámetro de SessionID con referente fuera del dominio
owasp-crs-v030001-id943120-sessionfixation 1 Posible ataque de corrección de sesión: Nombre del parámetro de SessionID sin referencia

Todas las firmas para la corrección de sesiones están por debajo del nivel de sensibilidad 2. La siguiente configuración funciona para otros niveles de sensibilidad:

Nivel 1 de sensibilidad de corrección de la sesión


evaluatePreconfiguredExpr('sessionfixation-v33-canary')

CVE y otras vulnerabilidades

Las siguientes firmas abarcan las vulnerabilidades Log4j RCE CVE-2021-44228 y CVE-2021-45046.

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id044228-cve 1 Regla base para ayudar a detectar intentos de explotaciones de CVE-2021-44228 y CVE-2021-45046
owasp-crs-v030001-id144228-cve 1 Mejoras que proporciona Google para cubrir más intentos de omisión y ofuscación
owasp-crs-v030001-id244228-cve 3 Mayor sensibilidad de detección para orientarse a más intentos de ofuscación y omisión, con aumento nominal en el riesgo de detección de falsos positivos
owasp-crs-v030001-id344228-cve 3 Mayor sensibilidad de detección para orientarse a más intentos de ofuscación y omisión mediante codificación en Base64, con aumento nominal en el riesgo de detección de falsos positivos

Para configurar una regla en un nivel de sensibilidad específico, inhabilita las firmas en los niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de CVE


evaluatePreconfiguredExpr('cve-canary', ['owasp-crs-v030001-id244228-cve',
  'owasp-crs-v030001-id344228-cve'])
          
Nivel 3 de sensibilidad de CVE


evaluatePreconfiguredExpr('cve-canary')

Limitaciones

Las reglas preconfiguradas de Google Cloud Armor tienen las siguientes limitaciones:

  • Entre los tipos de solicitudes HTTP con un cuerpo de solicitud, Google Cloud Armor solo procesa solicitudes POST. Google Cloud Armor evalúa las reglas preconfiguradas en función de los primeros 8 KB de contenido del cuerpo de POST. Para obtener más información, consulta Limitación de inspección del cuerpo de POST.
  • Google Cloud Armor puede analizar y aplicar reglas de WAF preconfiguradas para cuerpos de POST predeterminados con codificación URL y formato JSON (Content-Type='application/json'). Sin embargo, Google Cloud Armor no analiza ni decodifica otros formatos de codificación de contenido y tipo de contenido HTTP.
  • Las políticas de seguridad de Google Cloud Armor solo están disponibles para los servicios de backend detrás de un balanceador de cargas. Por lo tanto, se aplican las cuotas y los límites del balanceo de cargas a tu implementación. Consulta la página de cuotas del balanceo de cargas para obtener más información.
  • Los siguientes ID de reglas de ModSecurity CRS no son compatibles con Google Cloud Armor.
    • sqli-942100
    • sqli-942101
    • xss-941100
    • xss-941101

¿Qué sigue?