Application Gateway WAF CRS- und DRS-Regelgruppen und -regeln

Gilt für: ✔️ Anwendungsgateway

Die Azure Web Application Firewall auf Application Gateway schützt Webanwendungen vor häufigen Schwachstellen und Exploits. Azure-verwaltete Regelsätze werden aktualisiert, sobald neue Angriffssignaturen auftauchen, und enthalten Regeln, die gemeinsam mit dem Microsoft Threat Intelligence Team entwickelt wurden, um die Abdeckung zu verbessern, spezifische Schwachstellen zu beheben und Fehlalarme zu reduzieren.

Du kannst einzelne Regeln aktivieren oder deaktivieren und Regelaktionen konfigurieren. Dieser Artikel listet die verfügbaren Versionen des Default Rule Set (DRS) und Core Rule Set (CRS) auf, Regelgruppen und Regeln.

Standardregelsatz 2.2

Der Standardregelsatz (DRS) 2.2 basiert auf open Web Application Security Project (OWASP) Core Rule Set 3.3.4, wodurch Verfeinerungen zu vorhandenen Erkennungen und neuen Schutzmaßnahmen hinzugefügt werden, einschließlich Regeln, die Inhaltstypen erkennen, die außerhalb des tatsächlichen Inhaltstypheaders deklariert sind, und erweiterte Remotecodeausführungserkennungen (RCE). DRS 2.2 enthält zusätzliche proprietäre Schutzregeln, die von Microsoft Threat Intelligence-Team entwickelt wurden und die Abdeckung über SQL-Einfügungs-, XSS- und Anwendungssicherheitsangriffsmuster erweitern.

DRS 2.2 bietet eine neue Engine und neue Regelsätze, die gegen Java-Injection-Angriffe verteidigen, eine anfängliche Reihe von Überprüfungen für Datei-Uploads beinhalten und weniger False Positives im Vergleich zu älteren DRS- und CRS-Versionen aufweisen. Sie können auch Regeln Ihren Anforderungen entsprechend anpassen. Erfahren Sie mehr über das neue Azure WAF-Modul.

DRS 2.2 enthält 18 Regelgruppen, wie in der folgenden Tabelle dargestellt. Jede Gruppe enthält mehrere Regeln, und Sie können das Verhalten für einzelne Regeln, Regelgruppen oder den gesamten Regelsatz anpassen.

Deaktivierte Regeln

DRS 2.2-Regeln, die in Paranoia Level 2 konfiguriert sind, sind standardmäßig deaktiviert. Sie können ihren Status deaktiviert lassen, wenn Sie Ihre WAF-Richtlinie auf Paranoia-Stufe 1 konfiguriert belassen möchten. Wenn Sie die Paranoia-Ebene der Richtlinie erhöhen möchten, können Sie den Status dieser Regeln sicher auf "aktiviert" ändern und deren Aktion auf "Protokollierungsmodus" setzen. Analysieren Sie die Protokolle, nehmen Sie die erforderliche Feinabstimmung vor, und aktivieren Sie die Regeln entsprechend. Weitere Informationen finden Sie unter Paranoia-Ebene und Optimierung von verwalteten Regelsätzen.

Einige OWASP-Regeln werden durch Microsoft erstellte Ersetzungen ersetzt. Die ursprünglichen Regeln sind standardmäßig deaktiviert, und ihre Beschreibungen enden mit "(ersetzt durch ...)".

Standard-Regelsatz 2.1

Sie können zwar weiterhin den Standardregelsatz (DRS) 2.1 verwenden, es wird jedoch empfohlen, die neueste Version von DRS 2.2 zu verwenden.

Der Standardregelsatz (DRS) 2.1 basiert auf dem Open Web Application Security Project (OWASP) Core Rule Set (CRS) 3.3.2 und umfasst zusätzliche proprietäre Schutzregeln, die vom Microsoft-Threat-Intelligence-Team entwickelt wurden, sowie Aktualisierungen an Signaturen zur Verringerung von Falschpositiven. Außerdem werden Transformationen über die URL-Decodierung hinaus unterstützt.

DRS 2.1 bietet eine neue Engine und neue Regelsätze, die gegen Java-Injektionen verteidigen. Es umfasst eine anfängliche Reihe von Prüfungen für Dateiuploads und weist weniger falsch-positive Ergebnisse im Vergleich zu CRS-Versionen auf. Sie können auch Regeln Ihren Anforderungen entsprechend anpassen. Erfahren Sie mehr über das neue Azure WAF-Modul.

DRS 2.1 umfasst 17 Regelgruppen, wie in der folgenden Tabelle gezeigt. Jede Gruppe enthält mehrere Regeln, und du kannst das Verhalten für einzelne Regeln, Regelgruppen oder das gesamte Regelset anpassen.

Anleitung zur Optimierung für DRS 2.1

Verwenden Sie die folgende Anleitung, um WAF zu optimieren, während Sie mit DRS 2.1 in Application Gateway WAF beginnen:

Optimierung verwalteter Regelsätze

DRS und CRS werden standardmäßig im Erkennungsmodus in den WAF-Richtlinien aktiviert. Sie können einzelne Regeln im verwalteten Regelsatz deaktivieren bzw. aktivieren, um die Anforderungen Ihrer Anwendungen zu erfüllen. Sie können pro Regel auch bestimmte Aktionen festlegen. Das DRS/CRS unterstützt Aktionen zum Blockieren, Protokollieren und Bewerten von Anomalien. Der Bot Manager-Regelsatz unterstützt die Aktionen Zulassen, Blockieren und Protokollieren.

Manchmal ist es erforderlich, bestimmte Anforderungsattribute in einer WAF-Auswertung wegzulassen. Ein gängiges Beispiel sind in Active Directory eingefügte Token, die für die Authentifizierung verwendet werden. Sie können Ausschlüsse so konfigurieren, dass sie bei Auswertung bestimmter WAF-Regeln oder global auf die Auswertung aller WAF-Regeln angewendet werden. Ausschlussregeln gelten für Ihre gesamte Webanwendung. Weitere Informationen finden Sie unter Web Application Firewall (WAF) mit Anwendungsgateway-Ausschlusslisten.

Standardmäßig verwendet Azure WAF Anomaliebewertungen, wenn eine Anforderung einer Regel entspricht. Darüber hinaus können Sie in der gleichen WAF-Richtlinie auch benutzerdefinierte Regeln konfigurieren, wenn Sie eine der vorkonfigurierten Regeln im Kernregelsatz umgehen möchten.

Benutzerdefinierte Regeln werden immer vor den Regeln im Kernregelsatz ausgewertet. Wenn eine Anforderung einer benutzerdefinierten Regel entspricht, wird die entsprechende Regelaktion angewendet. Die Anforderung wird entweder gesperrt oder an das Back-End weitergeleitet. Es werden keine weiteren benutzerdefinierten Regeln oder Regeln im Kernregelsatz verarbeitet.

Anomaliebewertung

Wenn Sie CRS oder DRS 2.1 und höher verwenden, ist Ihre WAF standardmäßig für die Verwendung der Anomaliebewertung konfiguriert. Datenverkehr, der einer Regel entspricht, wird nicht sofort blockiert, auch nicht, wenn sich Ihr WAF im Schutzmodus befindet. Stattdessen definieren die OWASP-Regelsätze einen Schweregrad für jede Regel: Kritisch, Fehler, Warnung oder Benachrichtigung. Der Schweregrad wirkt sich auf einen numerischen Wert für die Anforderung aus, der als Anomaliebewertung bezeichnet wird:

Wenn die Anomaliebewertung 5 oder höher ist und für die WAF der Präventionsmodus festgelegt ist, wird die Anforderung blockiert. Wenn die Anomaliebewertung 5 oder höher ist und für die WAF der Erkennungsmodus festgelegt ist, wird die Anforderung protokolliert, aber nicht blockiert.

Beispielsweise reicht eine einzelne Regelübereinstimmung vom Typ Kritisch für die WAF aus, um im Präventionsmodus eine Anforderung zu blockieren, da die Gesamtanomaliebewertung 5 ist. Eine Übereinstimmung mit einer Warnungsregel erhöht die Anomaliebewertung jedoch nur um 3, was alleine nicht ausreicht, um den Datenverkehr zu blockieren. Wenn eine Anomalieregel ausgelöst wird, wird in den Protokollen eine Aktion vom Typ „Übereinstimmung“ angezeigt. Wenn die Anomaliebewertung 5 oder höher ist, wird eine separate Regel mit der Aktion "Blockiert" oder "Erkannt" ausgelöst, je nachdem, ob sich die WAF-Richtlinie im Präventions- oder im Erkennungsmodus befindet. Weitere Informationen finden Sie unter Anomaliebewertungsmodus.

Paranoia-Grad

Jede Regel ist einer bestimmten Paranoia-Ebene (PL) zugeordnet. Regeln, die in Paranoia Level 1 (PL1) konfiguriert sind, sind weniger aggressiv und lösen kaum ein falsch positives Ergebnis aus. Sie bieten grundlegende Sicherheit mit minimalem Feinoptimierungsbedarf. Die Regeln in PL2 erkennen mehr Angriffe. Es ist jedoch zu erwarten, dass sie falsch positive Warnungen auslösen, die noch optimiert werden müssen.

Standardmäßig ist DRS 2.2 auf Paranoia Level 1 (PL1) konfiguriert, und alle PL2-Regeln sind deaktiviert. Um WAF bei PL2 auszuführen, können Sie beliebige oder alle PL2-Regeln manuell aktivieren. Für frühere Regelsätze umfassen DRS 2.1 und CRS 3.2 Regeln, die für Paranoia Level 2 definiert sind, die sowohl PL1- als auch PL2-Regeln abdeckt. Wenn Sie lieber strikt bei PL1 arbeiten möchten, können Sie bestimmte PL2-Regeln deaktivieren oder deren Aktion auf "Protokoll" festlegen.

Paranoia-Ebene 3 und 4 werden derzeit in Azure WAF nicht unterstützt.

Aktualisieren oder Ändern der Regelsatzversion

Um eine neue Regelsatzversion zu aktualisieren oder zuzuweisen, während bestehende Regelüberschreibungen und -ausschlüsse erhalten bleiben, verwenden Sie PowerShell, CLI, REST API oder eine Vorlage, um Änderungen an der Regelsatzversion vorzunehmen. Eine neue Version eines Regelwerks kann neuere Regeln oder zusätzliche Regelgruppen enthalten. Validieren Sie diese Änderungen sicher in einer Testumgebung, nehmen Sie bei Bedarf Feinabstimmungen vor und stellen Sie sie anschließend in einer Produktionsumgebung bereit. Weitere Informationen finden Sie unter Upgrade der CRS- oder DRS-Regelsatzversion.

Wenn Sie das Azure-Portal verwenden, um ein neues verwaltetes Regelset einer WAF-Richtlinie zuzuweisen, setzt das Portal alle bisherigen Anpassungen vom bestehenden verwalteten Regelwerk, wie Regelzustand, Regelaktionen und Regel-Level-Ausschlüsse, auf die neuen Standardwerte des neuen verwalteten Regelsets zurück. Das Portal wirkt sich jedoch bei der Zuweisung des neuen Regelsatzes nicht auf benutzerdefinierte Regeln, Richtlinieneinstellungen und globale Ausschlüsse aus. Sie müssen Regelüberschreibungen neu definieren und Änderungen validieren, bevor diese in einer Produktionsumgebung implementiert werden.

Grundlegendes zum CVE-Schutz in Azure WAF

Azure Application Gateway WAF schützt vor CVEs durch:

• Generische Schutzmaßnahmen (DRS / OWASP CRS):Viele CVEs werden bereits durch vorhandene Regeln abgemildert, die allgemeine Angriffsmuster wie SQL-Einfügung, XSS und RCE erkennen.
• CVE-spezifische Schutzmaßnahmen (Microsoft Threat Intelligence): Für hochgradige Sicherheitslücken werden dedizierte Regeln in der Regelgruppe MS-ThreatIntel-CVEs veröffentlicht.

Verwenden Sie immer den neuesten Standardregelsatz (Default Rule Set, DRS) für den aktuellsten Schutz und weniger False Positives

So überprüfen Sie die Abdeckung:

• Überprüfen Sie die MS-ThreatIntel-CVEs-Regelgruppe.
• Schau dir die Regelbeschreibungen für CVE-Referenzen an.
• Beachte, dass viele CVEs durch generische Schutzmaßnahmen abgedeckt sind, auch wenn sie nicht explizit aufgeführt sind.

Wenn ein CVE nicht explizit abgedeckt ist:

• Upgrade auf das neueste DRS.
• Validiere gegen bestehende Regeln oder verwende benutzerdefinierte Regeln, falls nötig.
• Kontaktieren Sie den Azure-Support, wenn Sie Schutz für einen bestimmten hochprioritären CVE benötigen, der derzeit nicht abgedeckt ist.

Kernregelsätze (CRS) – Legacy

Der empfohlene verwaltete Regelsatz ist der neueste Standardregelsatz 2.2, der auf dem Open Web Application Security Project (OWASP) Core Rule Set (CRS) 3.3.4 basiert und zusätzliche proprietäre Schutzregeln enthält, die vom Microsoft Threat Intelligence-Team entwickelt wurden, sowie Aktualisierungen der Signaturen, um falsch-positive Ergebnisse zu reduzieren. Beim Erstellen einer neuen WAF-Richtlinie sollten Sie die neueste, empfohlene Regelsatzversion DRS 2.2 verwenden. Wenn Sie über eine WAF-Richtlinie mit DRS 2.1, CRS 3.2 oder CRS 3.1 verfügen, empfiehlt es sich, ein Upgrade auf DRS 2.2 durchzuführen. Weitere Informationen finden Sie unter Upgrade der CRS- oder DRS-Regelsatzversion.

Bot-Manager 1.0

Der Bot Manager 1.0-Regelsatz bietet Schutz vor schädlichen Bots und erkennt gute Bots. Die Regeln bieten eine detaillierte Kontrolle über von der WAF entdeckte Bots, indem sie den Bot-Verkehr als gute, schlechte oder unbekannte Bots kategorisieren.

Bot-Manager 1.1

Der Bot Manager 1.1 Regelsatz ist eine Erweiterung des Bot Manager 1.0 Regelsatzes. Es bietet einen besseren Schutz gegen bösartige Bots und verbessert die gute Bot-Erkennung.

Die folgenden Regelgruppen und Regeln sind verfügbar, wenn Sie die Web Application Firewall auf Application Gateway verwenden.

Die folgenden Tabs listen frühere Core Rule Set-Versionen auf. Wenn du CRS 3.2, CRS 3.1, CRS 3.0 oder CRS 2.2.9 verwendest, upgrade auf die neueste Regelsatzversion von DRS 2.2. Weitere Informationen finden Sie unter Upgrade der CRS- oder DRS-Regelsatzversion.

Verwandte Inhalte

• Benutzerdefinierte Web Application Firewall Regeln mithilfe des Azure Portals
• Learn Sie mehr über Azure Netzwerksicherheit