Descripción general de las reglas de WAF preconfiguradas de Google Cloud Armor

Las reglas de WAF preconfiguradas de Google Cloud Armor son reglas complejas de firewall de aplicación web (WAF) con decenas de firmas que se compilan a partir de estándares de la industria de código abierto. Cada firma corresponde a una regla de detección de ataques en el conjunto de reglas. Google ofrece estas reglas sin modificaciones. Las reglas permiten Google Cloud Armor para evaluar decenas de firmas de tráfico distintas se refieren a reglas con nombres adecuados en lugar de que debas definir cada firma de forma manual.

Las reglas de WAF preconfiguradas de Google Cloud Armor se pueden ajustar según tus necesidades. Para ver más información sobre cómo ajustar las reglas, consulta Ajusta las reglas de WAF preconfiguradas de Google Cloud Armor.

En la siguiente tabla, se incluye una lista completa de las reglas de WAF preconfiguradas que están disponibles para usar en una política de seguridad de Google Cloud Armor. Las fuentes de reglas son el conjunto de reglas principales de ModSecurity (CRS) 3.0 yCRS 3.3.2. Te recomendamos usar la versión 3.3 para obtener una mayor sensibilidad y una mayor variedad de tipos de ataques protegidos. La compatibilidad con CRS 3.0 está en curso.

CRS 3.3

Nombre de la regla de Google Cloud Armor Nombre de la regla de ModSecurity Estado actual
Inserción de SQL sqli-v33-stable En sincronización con sqli-v33-canary
sqli-v33-canary Más reciente
Secuencia de comandos entre sitios xss-v33-stable En sincronización con xss-v33-canary
xss-v33-canary Más reciente
Inclusión de archivos locales lfi-v33-stable En sincronización con lfi-v33-canary
lfi-v33-canary Más reciente
Inclusión de archivos remotos rfi-v33-stable En sincronización con rfi-v33-canary
rfi-v33-canary Más reciente
Ejecución de código remoto rce-v33-stable En sincronización con rce-v33-canary
rce-v33-canary Más reciente
Aplicación de métodos methodenforcement-v33-stable En sincronización con methodenforcement-v33-canary
methodenforcement-v33-canary Más reciente
Detección de escáner scannerdetection-v33-stable En sincronización con scannerdetection-v33-canary
scannerdetection-v33-canary Más reciente
Ataque de protocolo protocolattack-v33-stable En sincronización con protocolattack-v33-canary
protocolattack-v33-canary Más reciente
Ataque de inserción de PHP php-v33-stable En sincronización con php-v33-canary
php-v33-canary Más reciente
Ataque de fijación de sesión sessionfixation-v33-stable En sincronización con sessionfixation-v33-canary
sessionfixation-v33-canary Más reciente
Ataque de Java java-v33-stable En sincronización con java-v33-canary
java-v33-canary Más reciente
Ataque de NodeJS nodejs-v33-stable En sincronización con nodejs-v33-canary
nodejs-v33-canary Más reciente

CRS 3.0

Nombre de la regla de Google Cloud Armor Nombre de la regla de ModSecurity Estado actual
Inserción de SQL sqli-stable En sincronización con sqli-canary
sqli-canary Más reciente
Secuencia de comandos entre sitios xss-stable En sincronización con xss-canary
xss-canary Más reciente
Inclusión de archivos locales lfi-stable En sincronización con lfi-canary
lfi-canary Más reciente
Inclusión de archivos remotos rfi-stable En sincronización con rfi-canary
rfi-canary Más reciente
Ejecución de código remoto rce-stable En sincronización con rce-canary
rce-canary Más reciente
Aplicación de métodos methodenforcement-stable En sincronización con methodenforcement-canary
methodenforcement-canary Más reciente
Detección de escáner scannerdetection-stable En sincronización con scannerdetection-canary
scannerdetection-canary Más reciente
Ataque de protocolo protocolattack-stable En sincronización con protocolattack-canary
protocolattack-canary Más reciente
Ataque de inserción de PHP php-stable En sincronización con php-canary
php-canary Más reciente
Ataque de fijación de sesión sessionfixation-stable En sincronización con sessionfixation-canary
sessionfixation-canary Más reciente
Ataque de Java Not included
Ataque de NodeJS Not included

Además, las siguientes reglas de cve-canary están disponibles para todos a los clientes de Google Cloud Armor para detectar y bloquear las siguientes vulnerabilidades:

  • Vulnerabilidades de la RCE de Log4j CVE-2021-44228 y CVE-2021-45046
  • 942550-sqli Vulnerabilidad de contenido con formato JSON
Nombre de la regla de Google Cloud Armor Tipos de vulnerabilidades cubiertos
cve-canary Vulnerabilidad de Log4j
json-sqli-canary Vulnerabilidad de omisión de inyección de SQL basada en JSON

Reglas de ModSecurity preconfiguradas

Cada regla de WAF preconfigurada tiene un nivel de sensibilidad que corresponde a un nivel de paranoia de ModSecurity. Un nivel de sensibilidad más bajo indica una firma de confianza más alta, y es menos probable que genere un falso positivo. Un nivel de sensibilidad más alto aumenta la seguridad, pero también aumenta el riesgo de generar un falso positivo.

Inyección de SQL (SQLi)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de SQLi.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id942100-sqli 1 Ataque de inserción de SQL detectado mediante libinjection
owasp-crs-v030301-id942140-sqli 1 Ataque de inserción de SQL: se detectaron nombres de DB comunes
owasp-crs-v030301-id942160-sqli 1 Detecta las pruebas de SQLi ocultas mediante el uso de suspensiones() o comparativas()
owasp-crs-v030301-id942170-sqli 1 Detecta intentos de inserción de suspensiones y comparativas de SQL, incluidas las consultas condicionales
owasp-crs-v030301-id942190-sqli 1 Detecta la ejecución de código MSSQL y los intentos de recopilación de información
owasp-crs-v030301-id942220-sqli 1 Busca ataques de exceso de números enteros
owasp-crs-v030301-id942230-sqli 1 Detecta intentos de inserción de SQL condicional
owasp-crs-v030301-id942240-sqli 1 Detecta el cambio de charset de MySQL y los intentos de DoS de MSSQL
owasp-crs-v030301-id942250-sqli 1 Detecta operaciones MATCH AGAINST
owasp-crs-v030301-id942270-sqli 1 Busca inserciones de SQL básico. String de ataque común para MySQL
owasp-crs-v030301-id942280-sqli 1 Detecta la inserción de pg_sleep de Postgres
owasp-crs-v030301-id942290-sqli 1 Busca intentos de inserción básica de SQL de MongoDB
owasp-crs-v030301-id942320-sqli 1 Detecta inserciones de funciones o procedimientos almacenados de MySQL y PostgreSQL
owasp-crs-v030301-id942350-sqli 1 Detecta la inserción de UDF de MySQL y otros intentos de manipulación de datos o estructura
owasp-crs-v030301-id942360-sqli 1 Detecta intentos de SQLLFI y, también, inserciones básicas de SQL concatenadas
owasp-crs-v030301-id942500-sqli 1 Se detectó un comentario en línea de MySQL
owasp-crs-v030301-id942110-sqli 2 Ataque de inserción de SQL: se detectó una prueba de inserción común
owasp-crs-v030301-id942120-sqli 2 Ataque de inserción de SQL: se detectó un operador de SQL
owasp-crs-v030301-id942130-sqli 2 Ataque de inyección de SQL: se detectó una tautología de SQL
owasp-crs-v030301-id942150-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942180-sqli 2 Detecta los intentos de omisión de la autenticación básica de SQL 1/3
owasp-crs-v030301-id942200-sqli 2 Detecta las inyecciones de MySQL ofuscadas con espacios o comentarios y la terminación de acento grave
owasp-crs-v030301-id942210-sqli 2 Detecta intentos de inserciones de SQL en cadena 1/2
owasp-crs-v030301-id942260-sqli 2 Detecta intentos de omisión de la autenticación básica de SQL 2/3
owasp-crs-v030301-id942300-sqli 2 Detecta comentarios de MySQL
owasp-crs-v030301-id942310-sqli 2 Detecta intentos de inserciones de SQL en cadena 2/2
owasp-crs-v030301-id942330-sqli 2 Detecta sondeos de inserción de SQL clásica 1/2
owasp-crs-v030301-id942340-sqli 2 Detecta intentos de omisión de la autenticación básica de SQL 3/3
owasp-crs-v030301-id942361-sqli 2 Detecta la inyección básica de SQL según la modificación o unión de las palabras clave
owasp-crs-v030301-id942370-sqli 2 Detecta sondeos de inyección de SQL clásica 1/2
owasp-crs-v030301-id942380-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942390-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942400-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942410-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942470-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942480-sqli 2 Ataque de inserción de SQL
owasp-crs-v030301-id942430-sqli 2 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (12)
owasp-crs-v030301-id942440-sqli 2 Se detectó la secuencia de comentarios de SQL
owasp-crs-v030301-id942450-sqli 2 Codificación hexadecimal de SQL identificada
owasp-crs-v030301-id942510-sqli 2 Intento de omisión de SQLi mediante ticks o acentos graves detectados
owasp-crs-v030301-id942251-sqli 3 Detecta inserciones HAVING
owasp-crs-v030301-id942490-sqli 3 Detecta sondeos de inyección de SQL clásica 3/3
owasp-crs-v030301-id942420-sqli 3 Detección de anomalías de caracteres de SQL restringidos (cookies): número de caracteres especiales excedido (8)
owasp-crs-v030301-id942431-sqli 3 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (6)
owasp-crs-v030301-id942460-sqli 3 Alerta de detección de anomalías de metacaracteres: caracteres repetidos que no forman palabras
owasp-crs-v030301-id942101-sqli 3 Ataque de inserción de SQL detectado mediante libinjection
owasp-crs-v030301-id942511-sqli 3 Intento de omisión de SQLi mediante ticks detectados
owasp-crs-v030301-id942421-sqli 4 Detección de anomalías de caracteres de SQL restringidos (cookies): número de caracteres especiales excedido (3)
owasp-crs-v030301-id942432-sqli 4 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (2)

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
Not included 1 Ataque de inserción de SQL detectado mediante libinjection
owasp-crs-v030001-id942140-sqli 1 Ataque de inserción de SQL: se detectaron nombres de DB comunes
owasp-crs-v030001-id942160-sqli 1 Detecta las pruebas de SQLi ocultas mediante el uso de suspensiones() o comparativas()
owasp-crs-v030001-id942170-sqli 1 Detecta intentos de inserción de suspensiones y comparativas de SQL, incluidas las consultas condicionales
owasp-crs-v030001-id942190-sqli 1 Detecta la ejecución de código MSSQL y los intentos de recopilación de información
owasp-crs-v030001-id942220-sqli 1 Busca ataques de exceso de números enteros
owasp-crs-v030001-id942230-sqli 1 Detecta intentos de inserción de SQL condicional
owasp-crs-v030001-id942240-sqli 1 Detecta el cambio de charset de MySQL y los intentos de DoS de MSSQL
owasp-crs-v030001-id942250-sqli 1 Detecta operaciones MATCH AGAINST
owasp-crs-v030001-id942270-sqli 1 Busca inserciones de SQL básico. String de ataque común para MySQL
owasp-crs-v030001-id942280-sqli 1 Detecta la inserción de pg_sleep de Postgres
owasp-crs-v030001-id942290-sqli 1 Busca intentos de inserción básica de SQL de MongoDB
owasp-crs-v030001-id942320-sqli 1 Detecta inserciones de funciones o procedimientos almacenados de MySQL y PostgreSQL
owasp-crs-v030001-id942350-sqli 1 Detecta la inserción de UDF de MySQL y otros intentos de manipulación de datos o estructura
owasp-crs-v030001-id942360-sqli 1 Detecta intentos de SQLLFI y, también, inserciones básicas de SQL concatenadas
Not included 1 Se detectó un comentario en línea de MySQL
owasp-crs-v030001-id942110-sqli 2 Ataque de inserción de SQL: se detectó una prueba de inserción común
owasp-crs-v030001-id942120-sqli 2 Ataque de inserción de SQL: se detectó un operador de SQL
Not included 2 Ataque de inyección de SQL: se detectó una tautología de SQL
owasp-crs-v030001-id942150-sqli 2 Ataque de inserción de SQL
owasp-crs-v030001-id942180-sqli 2 Detecta los intentos de omisión de la autenticación básica de SQL 1/3
owasp-crs-v030001-id942200-sqli 2 Detecta las inyecciones de MySQL ofuscadas con espacios o comentarios y la terminación de acento grave
owasp-crs-v030001-id942210-sqli 2 Detecta intentos de inserciones de SQL en cadena 1/2
owasp-crs-v030001-id942260-sqli 2 Detecta intentos de omisión de la autenticación básica de SQL 2/3
owasp-crs-v030001-id942300-sqli 2 Detecta comentarios de MySQL
owasp-crs-v030001-id942310-sqli 2 Detecta intentos de inserciones de SQL en cadena 2/2
owasp-crs-v030001-id942330-sqli 2 Detecta sondeos de inserción de SQL clásica 1/2
owasp-crs-v030001-id942340-sqli 2 Detecta intentos de omisión de la autenticación básica de SQL 3/3
Not included 2 Detecta la inyección básica de SQL según la modificación o unión de las palabras clave
Not included 2 Detecta sondeos de inyección de SQL clásica 1/2
owasp-crs-v030001-id942380-sqli 2 Ataque de inserción de SQL
owasp-crs-v030001-id942390-sqli 2 Ataque de inserción de SQL
owasp-crs-v030001-id942400-sqli 2 Ataque de inserción de SQL
owasp-crs-v030001-id942410-sqli 2 Ataque de inserción de SQL
Not included 2 Ataque de inserción de SQL
Not included 2 Ataque de inserción de SQL
owasp-crs-v030001-id942430-sqli 2 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (12)
owasp-crs-v030001-id942440-sqli 2 Se detectó la secuencia de comentarios de SQL
owasp-crs-v030001-id942450-sqli 2 Codificación hexadecimal de SQL identificada
Not included 2 Intento de omisión de SQLi mediante ticks o acentos graves detectados
owasp-crs-v030001-id942251-sqli 3 Detecta inserciones HAVING
Not included 2 Detecta sondeos de inyección de SQL clásica 3/3
owasp-crs-v030001-id942420-sqli 3 Detección de anomalías de caracteres de SQL restringidos (cookies): número de caracteres especiales excedido (8)
owasp-crs-v030001-id942431-sqli 3 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (6)
owasp-crs-v030001-id942460-sqli 3 Alerta de detección de anomalías de metacaracteres: caracteres repetidos que no forman palabras
Not included 3 Ataque de inserción de SQL detectado mediante libinjection
Not included 3 Intento de omisión de SQLi mediante ticks detectados
owasp-crs-v030001-id942421-sqli 4 Detección de anomalías de caracteres de SQL restringidos (cookies): número de caracteres especiales excedido (3)
owasp-crs-v030001-id942432-sqli 4 Detección de anomalías de caracteres de SQL restringidos (argumentos): números de caracteres especiales excedido (2)

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de SQLi 

evaluatePreconfiguredExpr('sqli-v33-stable',
['owasp-crs-v030301-id942110-sqli',
  'owasp-crs-v030301-id942120-sqli',
  'owasp-crs-v030301-id942130-sqli',
  'owasp-crs-v030301-id942150-sqli',
  'owasp-crs-v030301-id942180-sqli',
  'owasp-crs-v030301-id942200-sqli',
  'owasp-crs-v030301-id942210-sqli',
  'owasp-crs-v030301-id942260-sqli',
  'owasp-crs-v030301-id942300-sqli',
  'owasp-crs-v030301-id942310-sqli',
  'owasp-crs-v030301-id942330-sqli',
  'owasp-crs-v030301-id942340-sqli',
  'owasp-crs-v030301-id942361-sqli',
  'owasp-crs-v030301-id942370-sqli',
  'owasp-crs-v030301-id942380-sqli',
  'owasp-crs-v030301-id942390-sqli',
  'owasp-crs-v030301-id942400-sqli',
  'owasp-crs-v030301-id942410-sqli',
  'owasp-crs-v030301-id942470-sqli',
  'owasp-crs-v030301-id942480-sqli',
  'owasp-crs-v030301-id942430-sqli',
  'owasp-crs-v030301-id942440-sqli',
  'owasp-crs-v030301-id942450-sqli',
  'owasp-crs-v030301-id942510-sqli',
  'owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)
Nivel 2 de sensibilidad de SQLi 

evaluatePreconfiguredExpr('sqli-v33-stable',
 ['owasp-crs-v030301-id942251-sqli',
  'owasp-crs-v030301-id942490-sqli',
  'owasp-crs-v030301-id942420-sqli',
  'owasp-crs-v030301-id942431-sqli',
  'owasp-crs-v030301-id942460-sqli',
  'owasp-crs-v030301-id942101-sqli',
  'owasp-crs-v030301-id942511-sqli',
  'owasp-crs-v030301-id942421-sqli',
  'owasp-crs-v030301-id942432-sqli']
)
Nivel 3 de sensibilidad de SQLi 

evaluatePreconfiguredExpr('sqli-v33-stable',
        ['owasp-crs-v030301-id942421-sqli',
         'owasp-crs-v030301-id942432-sqli']
         )
Nivel 4 de sensibilidad de SQLi 

evaluatePreconfiguredExpr('sqli-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

CRS 3.3

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('sqli-v33-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('sqli-v33-stable', {'sensitivity': 2})
3 evaluatePreconfiguredWaf('sqli-v33-stable', {'sensitivity': 3})
4 evaluatePreconfiguredWaf('sqli-v33-stable', {'sensitivity': 4})

CRS 3.0

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('sqli-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('sqli-stable', {'sensitivity': 2})
3 evaluatePreconfiguredWaf('sqli-stable', {'sensitivity': 3})
4 evaluatePreconfiguredWaf('sqli-stable', {'sensitivity': 4})

Secuencia de comandos entre sitios (XSS)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de XSS.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id941100-xss 1 Se detectó un ataque de XSS mediante libinjection
owasp-crs-v030301-id941110-xss 1 Filtro de XSS - Categoría 1: vector de etiqueta de secuencia de comandos
owasp-crs-v030301-id941120-xss 1 Filtro de XSS - Categoría 2: vector de controlador de eventos
owasp-crs-v030301-id941130-xss 1 Filtro de XSS - Categoría 3: vector de atributos
owasp-crs-v030301-id941140-xss 1 Filtro de XSS - Categoría 4: vector de URI de JavaScript
owasp-crs-v030301-id941160-xss 1 NoScript XSS InjectionChecker: inserción de HTML
owasp-crs-v030301-id941170-xss 1 NoScript XSS InjectionChecker: inserción de atributos
owasp-crs-v030301-id941180-xss 1 Palabras clave de la lista negra del validador de nodos
owasp-crs-v030301-id941190-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941200-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941210-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941220-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941230-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941240-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941250-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941260-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941270-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941280-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941290-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941300-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941310-xss 1 Filtro de XSS de codificación con formato incorrecto de US-ASCII: se detectó un ataque
owasp-crs-v030301-id941350-xss 1 XSS de IE de codificación UTF-7: se detectó un ataque
owasp-crs-v030301-id941360-xss 1 Se detectó una ofuscación de Hieroglyphy
owasp-crs-v030301-id941370-xss 1 Se encontró una variable global de JavaScript
owasp-crs-v030301-id941101-xss 2 Se detectó un ataque de XSS mediante libinjection
owasp-crs-v030301-id941150-xss 2 Filtro de XSS - Categoría 5: atributos HTML no permitidos
owasp-crs-v030301-id941320-xss 2 Posible ataque de XSS detectado: controlador de etiquetas HTML
owasp-crs-v030301-id941330-xss 2 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941340-xss 2 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030301-id941380-xss 2 Se detectó una inserción de plantilla del cliente de AngularJS

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
Not included 1 Se detectó un ataque de XSS mediante libinjection
owasp-crs-v030001-id941110-xss 1 Filtro de XSS - Categoría 1: vector de etiqueta de secuencia de comandos
owasp-crs-v030001-id941120-xss 1 Filtro de XSS - Categoría 2: vector de controlador de eventos
owasp-crs-v030001-id941130-xss 1 Filtro de XSS - Categoría 3: vector de atributos
owasp-crs-v030001-id941140-xss 1 Filtro de XSS - Categoría 4: vector de URI de JavaScript
owasp-crs-v030001-id941160-xss 1 NoScript XSS InjectionChecker: inserción de HTML
owasp-crs-v030001-id941170-xss 1 NoScript XSS InjectionChecker: inserción de atributos
owasp-crs-v030001-id941180-xss 1 Palabras clave de la lista negra del validador de nodos
owasp-crs-v030001-id941190-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941200-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941210-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941220-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941230-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941240-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941250-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941260-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941270-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941280-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941290-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941300-xss 1 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941310-xss 1 Filtro de XSS de codificación con formato incorrecto de US-ASCII: se detectó un ataque
owasp-crs-v030001-id941350-xss 1 XSS de IE de codificación UTF-7: se detectó un ataque
Not included 1 Se detectó una ofuscación de JSFuck / Hieroglyphy
Not included 1 Se encontró una variable global de JavaScript
Not included 2 Se detectó un ataque de XSS mediante libinjection
owasp-crs-v030001-id941150-xss 2 Filtro de XSS - Categoría 5: atributos HTML no permitidos
owasp-crs-v030001-id941320-xss 2 Posible ataque de XSS detectado: controlador de etiquetas HTML
owasp-crs-v030001-id941330-xss 2 Filtros de XSS de IE: se detectó un ataque
owasp-crs-v030001-id941340-xss 2 Filtros de XSS de IE: se detectó un ataque
Not included 2 Se detectó una inserción de plantilla del cliente de AngularJS

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de XSS 

evaluatePreconfiguredExpr('xss-v33-stable',
['owasp-crs-v030301-id941101-xss',
  'owasp-crs-v030301-id941150-xss',
  'owasp-crs-v030301-id941320-xss',
  'owasp-crs-v030301-id941330-xss',
  'owasp-crs-v030301-id941340-xss',
  'owasp-crs-v030301-id941380-xss'
])


Todas las firmas para XSS están por debajo del nivel 2 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

Nivel 2 de sensibilidad de XSS 

evaluatePreconfiguredExpr('xss-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

CRS 3.3

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('xss-v33-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('xss-v33-stable', {'sensitivity': 2})

CRS 3.0

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('xss-stable', {'sensitivity': 1})

Inclusión de archivos locales (LFI)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de LFI.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id930100-lfi 1 Ataque de salto de directorio (/../)
owasp-crs-v030301-id930110-lfi 1 Ataque de salto de directorio (/../)
owasp-crs-v030301-id930120-lfi 1 Intento de acceso a archivos del SO
owasp-crs-v030301-id930130-lfi 1 Intento de acceso a archivos restringidos

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id930100-lfi 1 Ataque de salto de directorio (/../)
owasp-crs-v030001-id930110-lfi 1 Ataque de salto de directorio (/../)
owasp-crs-v030001-id930120-lfi 1 Intento de acceso a archivos del SO
owasp-crs-v030001-id930130-lfi 1 Intento de acceso a archivos restringidos

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos. Todas las firmas para LFI están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

Nivel 1 de sensibilidad de LFI 

evaluatePreconfiguredExpr('lfi-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. Todas las firmas para LFI están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

CRS 3.3

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('lfi-v33-stable', {'sensitivity': 1})

CRS 3.0

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('lfi-stable', {'sensitivity': 1})

Ejecución de código remoto (RCE)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de RCE.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id932100-rce 1 Inserción de comandos de UNIX
owasp-crs-v030301-id932105-rce 1 Inserción de comandos de UNIX
owasp-crs-v030301-id932110-rce 1 Inserción de comandos de Windows
owasp-crs-v030301-id932115-rce 1 Inserción de comandos de Windows
owasp-crs-v030301-id932120-rce 1 Se encontró un comando de Windows PowerShell
owasp-crs-v030301-id932130-rce 1 Se encontró una expresión de shell de Unix
owasp-crs-v030301-id932140-rce 1 Se encontró un comando IF o FOR de Windows
owasp-crs-v030301-id932150-rce 1 Ejecución directa de comandos de UNIX
owasp-crs-v030301-id932160-rce 1 Se encontró código de shell de Unix
owasp-crs-v030301-id932170-rce 1 Shellshock (CVE-2014-6271)
owasp-crs-v030301-id932171-rce 1 Shellshock (CVE-2014-6271)
owasp-crs-v030301-id932180-rce 1 Intento de carga de archivos restringidos
owasp-crs-v030301-id932200-rce 2 Técnica de omitir RCE
owasp-crs-v030301-id932106-rce 3 Ejecución de comandos remotos: inserción de comandos Unix
owasp-crs-v030301-id932190-rce 3 Ejecución de comando remoto: intento de técnica de omisión de comodín

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id932100-rce 1 Inserción de comandos de UNIX
owasp-crs-v030001-id932105-rce 1 Inserción de comandos de UNIX
owasp-crs-v030001-id932110-rce 1 Inserción de comandos de Windows
owasp-crs-v030001-id932115-rce 1 Inserción de comandos de Windows
owasp-crs-v030001-id932120-rce 1 Se encontró un comando de Windows PowerShell
owasp-crs-v030001-id932130-rce 1 Se encontró una expresión de shell de Unix
owasp-crs-v030001-id932140-rce 1 Se encontró un comando IF o FOR de Windows
owasp-crs-v030001-id932150-rce 1 Ejecución directa de comandos de UNIX
owasp-crs-v030001-id932160-rce 1 Se encontró código de shell de Unix
owasp-crs-v030001-id932170-rce 1 Shellshock (CVE-2014-6271)
owasp-crs-v030001-id932171-rce 1 Shellshock (CVE-2014-6271)
Not included 1 Intento de carga de archivos restringidos
Not included 2 Técnica de omitir RCE
Not included 3 Ejecución de comandos remotos: inserción de comandos Unix
Not included 3 Ejecución de comando remoto: intento de técnica de omisión de comodín

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos. La siguiente configuración funciona para todos los niveles de sensibilidad:

Nivel 1 de sensibilidad de RCE 

evaluatePreconfiguredExpr('rce-v33-stable',
          ['owasp-crs-v030301-id932200-rce',
           'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
Nivel 2 de sensibilidad de RCE 

evaluatePreconfiguredExpr('rce-v33-stable',
           [ 'owasp-crs-v030301-id932106-rce',
           'owasp-crs-v030301-id932190-rce'])
Nivel 3 de sensibilidad de RCE 

evaluatePreconfiguredExpr('rce-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. Todas las firmas para RCE están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

CRS 3.3

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('rce-v33-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('rce-v33-stable', {'sensitivity': 2})
3 evaluatePreconfiguredWaf('rce-v33-stable', {'sensitivity': 3})

CRS 3.0

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('rce-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('rce-stable', {'sensitivity': 2})
3 evaluatePreconfiguredWaf('rce-stable', {'sensitivity': 3})

Inclusión de archivos remotos (RFI)

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de RFI.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id931100-rfi 1 Parámetro de URL con direcciones IP
owasp-crs-v030301-id931110-rfi 1 Nombre de parámetro vulnerable de RFI común que se usa con la carga útil de URL
owasp-crs-v030301-id931120-rfi 1 Carga útil de URL usada con el carácter de signo de interrogación de cierre (?)
owasp-crs-v030301-id931130-rfi 2 Vínculo o referencia fuera del dominio

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id931100-rfi 1 Parámetro de URL con direcciones IP
owasp-crs-v030001-id931110-rfi 1 Nombre de parámetro vulnerable de RFI común que se usa con la carga útil de URL
owasp-crs-v030001-id931120-rfi 1 Carga útil de URL usada con el carácter de signo de interrogación de cierre (?)
owasp-crs-v030001-id931130-rfi 2 Vínculo o referencia fuera del dominio

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de RFI 

evaluatePreconfiguredExpr('rfi-v33-stable', ['owasp-crs-v030301-id931130-rfi'])

Todas las firmas para RFI están por debajo del nivel 2 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

Nivel 2 de sensibilidad de RFI 

evaluatePreconfiguredExpr('rfi-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

CRS 3.3

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('rfi-v33-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('rfi-v33-stable', {'sensitivity': 2})

CRS 3.0

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('rfi-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('rfi-stable', {'sensitivity': 2})

Aplicación de métodos

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada del método de aplicación.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id911100-methodenforcement 1 La política no permite el método

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id911100-methodenforcement 1 La política no permite el método

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos. Todas las firmas para la aplicación de métodos están en el nivel 1 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

Nivel 1 de sensibilidad del método de aplicación 

evaluatePreconfiguredExpr('methodenforcement-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

CRS 3.3

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('methodenforcement-v33-stable', {'sensitivity': 1})

CRS 3.0

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('methodenforcement-stable', {'sensitivity': 1})

Detección de escáner

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de detección del analizador.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id913100-scannerdetection 1 Se encontró un usuario-agente asociado con el análisis de seguridad
owasp-crs-v030301-id913110-scannerdetection 1 Se encontró un encabezado de solicitud asociado con el análisis de seguridad
owasp-crs-v030301-id913120-scannerdetection 1 Se encontró un nombre de archivo o argumento asociado con el análisis de seguridad
owasp-crs-v030301-id913101-scannerdetection 2 Se encontró un usuario-agente asociado con la secuencia de comandos o el cliente HTTP genérico
owasp-crs-v030301-id913102-scannerdetection 2 Se encontró un usuario-agente asociado con el bot o el rastreador web

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id913100-scannerdetection 1 Se encontró un usuario-agente asociado con el análisis de seguridad
owasp-crs-v030001-id913110-scannerdetection 1 Se encontró un encabezado de solicitud asociado con el análisis de seguridad
owasp-crs-v030001-id913120-scannerdetection 1 Se encontró un nombre de archivo o argumento asociado con el análisis de seguridad
owasp-crs-v030001-id913101-scannerdetection 2 Se encontró un usuario-agente asociado con la secuencia de comandos o el cliente HTTP genérico
owasp-crs-v030001-id913102-scannerdetection 2 Se encontró un usuario-agente asociado con el bot o el rastreador web

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de detección de análisis 

evaluatePreconfiguredExpr('scannerdetection-v33-stable',
  ['owasp-crs-v030301-id913101-scannerdetection',
  'owasp-crs-v030301-id913102-scannerdetection']
)
Nivel 2 de sensibilidad de detección de análisis 

evaluatePreconfiguredExpr('scannerdetection-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

CRS 3.3

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('scannerdetection-v33-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('scannerdetection-v33-stable', {'sensitivity': 2})

CRS 3.0

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('scannerdetection-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('scannerdetection-stable', {'sensitivity': 2})

Ataque de protocolo

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de RFI.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
Not included 1 Ataque de respuesta a solicitud de HTTP
owasp-crs-v030301-id921110-protocolattack 1 Ataque de respuesta a solicitud de HTTP
owasp-crs-v030301-id921120-protocolattack 1 Ataque de división de respuesta HTTP
owasp-crs-v030301-id921130-protocolattack 1 Ataque de división de respuesta HTTP
owasp-crs-v030301-id921140-protocolattack 1 Ataque de inserción de encabezados HTTP mediante encabezados
owasp-crs-v030301-id921150-protocolattack 1 Ataque de inserción de encabezados HTTP mediante carga útil (detectado CR/LF)
owasp-crs-v030301-id921160-protocolattack 1 Ataque de inserción de encabezados HTTP mediante carga útil (se detectaron nombres de CR/LF y de encabezado)
owasp-crs-v030301-id921190-protocolattack 1 División de HTTP (CR/LF en el nombre de archivo de la solicitud detectado)
owasp-crs-v030301-id921200-protocolattack 1 Ataque de inserción de LDAP
owasp-crs-v030301-id921151-protocolattack 2 Ataque de inserción de encabezados HTTP mediante carga útil (detectado CR/LF)
owasp-crs-v030301-id921170-protocolattack 3 Contaminación de parámetros HTTP

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id921100-protocolattack 1 Ataque de respuesta a solicitud de HTTP
owasp-crs-v030001-id921110-protocolattack 1 Ataque de respuesta a solicitud de HTTP
owasp-crs-v030001-id921120-protocolattack 1 Ataque de división de respuesta HTTP
owasp-crs-v030001-id921130-protocolattack 1 Ataque de división de respuesta HTTP
owasp-crs-v030001-id921140-protocolattack 1 Ataque de inserción de encabezados HTTP mediante encabezados
owasp-crs-v030001-id921150-protocolattack 1 Ataque de inserción de encabezados HTTP mediante carga útil (detectado CR/LF)
owasp-crs-v030001-id921160-protocolattack 1 Ataque de inserción de encabezados HTTP mediante carga útil (se detectaron nombres de CR/LF y de encabezado)
Not included 1 División de HTTP (CR/LF en el nombre de archivo de la solicitud detectado)
Not included 1 Ataque de inserción de LDAP
owasp-crs-v030001-id921151-protocolattack 2 Ataque de inserción de encabezados HTTP mediante carga útil (detectado CR/LF)
owasp-crs-v030001-id921170-protocolattack 3 Contaminación de parámetros HTTP

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

Nivel 1 de sensibilidad del ataque de protocolo 

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921151-protocolattack',
  'owasp-crs-v030301-id921170-protocolattack']
)
Nivel 2 de sensibilidad del ataque de protocolo 

evaluatePreconfiguredExpr('protocolattack-v33-stable',
  ['owasp-crs-v030301-id921170-protocolattack']
)
Nivel 3 de sensibilidad del ataque de protocolo 

evaluatePreconfiguredExpr('protocolattack-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

CRS 3.3

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('protocolattack-v33-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('protocolattack-v33-stable', {'sensitivity': 2})
3 evaluatePreconfiguredWaf('protocolattack-v33-stable', {'sensitivity': 3})

CRS 3.0

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('protocolattack-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('protocolattack-stable', {'sensitivity': 2})
3 evaluatePreconfiguredWaf('protocolattack-stable', {'sensitivity': 3})

PHP

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla de WAF preconfigurada de PHP.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id933100-php 1 Ataque de inserción de PHP: se encontró la etiqueta PHP Open
owasp-crs-v030301-id933110-php 1 Ataque de inserción de PHP: se encontró una carga de archivo de secuencia de comandos de PHP
owasp-crs-v030301-id933120-php 1 Ataque de inserción de PHP: se encontró una directiva de configuración
owasp-crs-v030301-id933130-php 1 Ataque de inserción de PHP: se encontraron variables
owasp-crs-v030301-id933140-php 1 Ataque de inserción de PHP: se encontró una transmisión de E/S
owasp-crs-v030301-id933200-php 1 Ataque de inserción de PHP: se detectó un esquema de wrapper
owasp-crs-v030301-id933150-php 1 Ataque de inserción de PHP: nombre de función de PHP de alto riesgo encontrado
owasp-crs-v030301-id933160-php 1 Ataque de inserción de PHP: se encontró una llamada de función de alto riesgo de PHP
owasp-crs-v030301-id933170-php 1 Ataque de inserción de PHP: inserción de objetos en serie
owasp-crs-v030301-id933180-php 1 Ataque de inserción de PHP: se encontró una llamada de función de variable
owasp-crs-v030301-id933210-php 1 Ataque de inserción de PHP: se encontró una llamada de función de variable
owasp-crs-v030301-id933151-php 2 Ataque de inserción de PHP: se encontró un nombre de función de PHP de riesgo medio
owasp-crs-v030301-id933131-php 3 Ataque de inserción de PHP: se encontraron variables
owasp-crs-v030301-id933161-php 3 Ataque de inserción de PHP: se encontró una llamada de función de PHP de bajo valor
owasp-crs-v030301-id933111-php 3 Ataque de inserción de PHP: se encontró una carga de archivo de secuencia de comandos de PHP
owasp-crs-v030301-id933190-php 3 Ataque de inserción de PHP: se encontró la etiqueta de cierre de PHP

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id933100-php 1 Ataque de inserción de PHP: se encontró la etiqueta PHP Open
owasp-crs-v030001-id933110-php 1 Ataque de inserción de PHP: se encontró una carga de archivo de secuencia de comandos de PHP
owasp-crs-v030001-id933120-php 1 Ataque de inserción de PHP: se encontró una directiva de configuración
owasp-crs-v030001-id933130-php 1 Ataque de inserción de PHP: se encontraron variables
owasp-crs-v030001-id933140-php 1 Ataque de inserción de PHP: se encontró una transmisión de E/S
Not included 1 Ataque de inserción de PHP: se detectó un esquema de wrapper
owasp-crs-v030001-id933150-php 1 Ataque de inserción de PHP: nombre de función de PHP de alto riesgo encontrado
owasp-crs-v030001-id933160-php 1 Ataque de inserción de PHP: se encontró una llamada de función de alto riesgo de PHP
owasp-crs-v030001-id933170-php 1 Ataque de inserción de PHP: inserción de objetos en serie
owasp-crs-v030001-id933180-php 1 Ataque de inserción de PHP: se encontró una llamada de función de variable
Not included 1 Ataque de inserción de PHP: se encontró una llamada de función de variable
owasp-crs-v030001-id933151-php 2 Ataque de inserción de PHP: se encontró un nombre de función de PHP de riesgo medio
owasp-crs-v030001-id933131-php 3 Ataque de inserción de PHP: se encontraron variables
owasp-crs-v030001-id933161-php 3 Ataque de inserción de PHP: se encontró una llamada de función de PHP de bajo valor
owasp-crs-v030001-id933111-php 3 Ataque de inserción de PHP: se encontró una carga de archivo de secuencia de comandos de PHP
Not included 3 Ataque de inserción de PHP: se encontró la etiqueta de cierre de PHP

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de inserción de ataque de PHP 

evaluatePreconfiguredExpr('php-v33-stable',
['owasp-crs-v030301-id933151-php',
  'owasp-crs-v030301-id933131-php',
  'owasp-crs-v030301-id933161-php',
  'owasp-crs-v030301-id933111-php',
  'owasp-crs-v030301-id933190-php']
)
Nivel 2 de sensibilidad de inserción de ataque de PHP 

evaluatePreconfiguredExpr('php-v33-stable',
  ['owasp-crs-v0303001-id933131-php',
  'owasp-crs-v0303001-id933161-php',
  'owasp-crs-v0303001-id933111-php',
  'owasp-crs-v030301-id933190-php'])
Nivel 3 de sensibilidad de inserción de ataque de PHP 

evaluatePreconfiguredExpr('php-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

CRS 3.3

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('php-v33-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('php-v33-stable', {'sensitivity': 2})
3 evaluatePreconfiguredWaf('php-v33-stable', {'sensitivity': 3})

CRS 3.0

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('php-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('php-stable', {'sensitivity': 2})
3 evaluatePreconfiguredWaf('php-stable', {'sensitivity': 3})

Corrección de la sesión

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de corrección de la sesión.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id943100-sessionfixation 1 Posible ataque de corrección de sesión: Cómo configurar valores de cookies en HTML
owasp-crs-v030301-id943110-sessionfixation 1 Posible ataque de corrección de sesión: Nombre del parámetro de SessionID con referente fuera del dominio
owasp-crs-v030301-id943120-sessionfixation 1 Posible ataque de corrección de sesión: Nombre del parámetro de SessionID sin referencia

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id943100-sessionfixation 1 Posible ataque de corrección de sesión: Cómo configurar valores de cookies en HTML
owasp-crs-v030001-id943110-sessionfixation 1 Posible ataque de corrección de sesión: Nombre del parámetro de SessionID con referente fuera del dominio
owasp-crs-v030001-id943120-sessionfixation 1 Posible ataque de corrección de sesión: Nombre del parámetro de SessionID sin referencia

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos. Todas las firmas para la corrección de sesiones están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

Nivel 1 de sensibilidad de corrección de la sesión 

evaluatePreconfiguredExpr('sessionfixation-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. Todas las firmas para la corrección de sesiones están en el nivel 1 de sensibilidad. La siguiente configuración funciona para todos los niveles de sensibilidad:

CRS 3.3

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('sessionfixation-v33-stable', {'sensitivity': 1})

CRS 3.0

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('sessionfixation-stable', {'sensitivity': 1})

Ataque de Java

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada del ataque de Java.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id944100-java 1 Ejecución de comandos remotos: Se detectó una clase sospechosa de Java
owasp-crs-v030301-id944110-java 1 Ejecución de comando remoto: Generación de procesos de Java (CVE-2017-9805)
owasp-crs-v030301-id944120-java 1 Ejecución remota de comandos: Serialización de Java (CVE-2015-4852)
owasp-crs-v030301-id944130-java 1 Se detectó una clase sospechosa de Java
owasp-crs-v030301-id944200-java 2 Bytes mágicos detectados, serialización probable de Java en uso
owasp-crs-v030301-id944210-java 2 Bytes mágicos detectados codificados en Base64, probable serialización de Java en uso
owasp-crs-v030301-id944240-java 2 Ejecución remota de comandos: Serialización de Java (CVE-2015-4852)
owasp-crs-v030301-id944250-java 2 Ejecución de comandos remotos: Se detectó un método sospechoso de Java
owasp-crs-v030301-id944300-java 3 String codificada en base64 que coincide con la palabra clave sospechosa

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
Not included 1 Ejecución de comandos remotos: Se detectó una clase sospechosa de Java
Not included 1 Ejecución de comando remoto: Generación de procesos de Java (CVE-2017-9805)
Not included 1 Ejecución remota de comandos: Serialización de Java (CVE-2015-4852)
Not included 1 Se detectó una clase sospechosa de Java
Not included 2 Bytes mágicos detectados, serialización probable de Java en uso
Not included 2 Bytes mágicos detectados codificados en Base64, probable serialización de Java en uso
Not included 2 Ejecución remota de comandos: Serialización de Java (CVE-2015-4852)
Not included 2 Ejecución de comandos remotos: Se detectó un método sospechoso de Java
Not included 3 String codificada en base64 que coincide con la palabra clave sospechosa

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de ataque de Java 

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944200-java',
 'owasp-crs-v030301-id944210-java',
 'owasp-crs-v030301-id944240-java',
 'owasp-crs-v030301-id944250-java',
 'owasp-crs-v030301-id944300-java'])
Nivel 2 de sensibilidad de ataque de Java 

evaluatePreconfiguredExpr('java-v33-stable',
['owasp-crs-v030301-id944300-java'])
Nivel 3 de sensibilidad de ataque de Java 

evaluatePreconfiguredExpr('java-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('java-v33-stable', {'sensitivity': 1})
2 evaluatePreconfiguredWaf('java-v33-stable', {'sensitivity': 2})
3 evaluatePreconfiguredWaf('java-v33-stable', {'sensitivity': 3})

Ataque de NodeJS

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada del ataque de NodeJs.

Las siguientes firmas de reglas de WAF preconfiguradas solo se incluyen en CRS 3.3.

CRS 3.3

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030301-id934100-nodejs 1 Ataque de inserción de Node.js

CRS 3.0

ID de firma (ID de regla) Nivel de sensibilidad Descripción
Not included 1 Ataque de inserción de Node.js

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos. Todas las firmas para el ataque de NodeJS están en el nivel 1 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

Nivel 1 de sensibilidad de NodeJS 

evaluatePreconfiguredExpr('nodejs-v33-stable')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. Todas las firmas para el ataque de NodeJS están en el nivel 1 de sensibilidad. La siguiente configuración funciona para otros niveles de sensibilidad:

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('nodejs-v33-stable', {'sensitivity': 1})

CVE y otras vulnerabilidades

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de cada firma compatible en la regla preconfigurada de vulnerabilidad de RCE de Log4j CVE.

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-v030001-id044228-cve 1 Regla base para ayudar a detectar intentos de explotaciones de CVE-2021-44228 y CVE-2021-45046
owasp-crs-v030001-id144228-cve 1 Mejoras que proporciona Google para cubrir más intentos de omisión y ofuscación
owasp-crs-v030001-id244228-cve 3 Mayor sensibilidad de detección para orientarse a más intentos de ofuscación y omisión, con aumento nominal en el riesgo de detección de falsos positivos
owasp-crs-v030001-id344228-cve 3 Mayor sensibilidad de detección para orientarse a más intentos de ofuscación y omisión mediante codificación en Base64, con aumento nominal en el riesgo de detección de falsos positivos

Puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredExpr() para inhabilitar firmas en niveles de sensibilidad más altos.

Nivel 1 de sensibilidad de CVE 

evaluatePreconfiguredExpr('cve-canary', ['owasp-crs-v030001-id244228-cve',
  'owasp-crs-v030001-id344228-cve'])
Nivel 3 de sensibilidad de CVE 

evaluatePreconfiguredExpr('cve-canary')

Como alternativa, puedes configurar una regla en un nivel de sensibilidad específico mediante evaluatePreconfiguredWaf() con un parámetro de sensibilidad predeterminado. De forma predeterminada, sin configurar la sensibilidad del conjunto de reglas, Google Cloud Armor evalúa todas las firmas.

Nivel de sensibilidad Expresión
1 evaluatePreconfiguredWaf('cve-canary', {'sensitivity': 1})
2 evalúePreconfigureWaf('cve-canary', {'sensitivity': 2})
3 evaluatePreconfiguredWaf('cve-canary', {'sensitivity': 3})

Vulnerabilidad de SQLi de contenido con formato JSON

En la siguiente tabla, se proporciona el ID de firma, el nivel de sensibilidad y la descripción de la firma compatible 942550-sqli, que abarca la vulnerabilidad en la que los atacantes maliciosos pueden omitir el WAF agregando sintaxis JSON a las cargas útiles de inyección de SQL.

ID de firma (ID de regla) Nivel de sensibilidad Descripción
owasp-crs-id942550-sqli 2 Detecta todos los vectores de SQLi basados en JSON, incluidas las firmas de SQLi que se encuentran en la URL

Usa la siguiente expresión para implementar la firma:

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})

Te recomendamos que también habilites sqli-v33-stable en el nivel 2 de sensibilidad para abordar por completo los datos Omite la inyección de SQL.

Limitaciones

Las reglas de WAF preconfiguradas de Google Cloud Armor tienen las siguientes limitaciones:

  • Los cambios en las reglas del WAF suelen tardar varios minutos en propagarse.
  • Entre los tipos de solicitudes HTTP con un cuerpo de solicitud, Google Cloud Armor solo procesa solicitudes POST. Google Cloud Armor evalúa las reglas preconfiguradas en función de los primeros 8 KB de contenido del cuerpo de POST. Para obtener más información, consulta Limitación de inspección del cuerpo de POST.
  • Google Cloud Armor puede analizar y aplicar reglas de WAF preconfiguradas cuando el análisis de JSON está habilitado con un valor de encabezado Content-Type coincidente. Para obtener más información, consulta Análisis de JSON.
  • Cuando tienes una exclusión de campo de solicitud adjunta a una regla de WAF preconfigurada, no puedes Usa la acción allow. Las solicitudes que coinciden con la excepción se por lo que está permitido.

¿Qué sigue?