Solución de problemas de Web Application Firewall (WAF) para Azure Application Gateway

Resumen

Este artículo le ayuda a solucionar problemas de Web Application Firewall (WAF) para Azure Application Gateway cuando se bloquean las solicitudes legítimas, por lo que puede permitir el tráfico válido al tiempo que mantiene la protección.

Empiece por revisar la información general de WAF y la documentación de configuración de WAF y asegúrese de que la supervisión de WAF esté habilitada. En estos artículos se explica cómo funciona waf, cómo funcionan los conjuntos de reglas y cómo acceder a los registros de WAF.

Los conjuntos de reglas de OWASP están diseñados para que sean estrictos desde el principio y para ser ajustados según las necesidades específicas de la aplicación u organización que use WAF. Es completamente normal y se espera en muchos casos, para crear exclusiones, reglas personalizadas e incluso deshabilitar reglas que podrían causar problemas o falsos positivos. Las directivas por sitio y por URI permiten que estos cambios solo afecten a sitios o URI específicos. Por lo tanto, los cambios no deben afectar a otros sitios que podrían no encontrarse con los mismos problemas.

Comprender los registros de WAF

El propósito de los registros de WAF es mostrar cada solicitud que WAF coincide o bloquea. Es un registro de todas las solicitudes evaluadas que se emparejan o se bloquean. Si observa que waf bloquea una solicitud que no debe (un falso positivo), puede realizar algunos pasos. En primer lugar, restrinja y busque la solicitud específica. Examine los registros para buscar el identificador URI, la marca de tiempo o el identificador de transacción específicos de la solicitud. Cuando encuentre las entradas de registro asociadas, puede empezar a actuar sobre los falsos positivos.

Por ejemplo, supongamos que tiene un tráfico legítimo que contiene la cadena 1=1 que desea que pase a través del WAF. Si prueba la solicitud, el WAF bloquea el tráfico que contiene su cadena 1=1 en cualquier parámetro o campo. Esta cadena se suele asociar a un ataque por inyección de código SQL. Puede examinar los registros y ver la marca de tiempo de la solicitud y las reglas que se han bloqueado o que coinciden.

En el ejemplo siguiente, puede ver que se desencadenan cuatro reglas durante la misma solicitud (mediante el campo TransactionId). La primera dice que coincide porque el usuario usó una dirección IP numérica para la solicitud, lo que aumenta la puntuación de anomalías en tres, ya que es una advertencia. La siguiente regla que coincide es 942130, que es la que está buscando. Puede ver el 1=1 en el campo details.data. Esto vuelve a aumentar la puntuación de anomalía en tres, ya que también es una advertencia. Por lo general, cada regla que tenga la acción Coincide con aumenta la puntuación de anomalías y, en este momento, la puntuación de anomalías es seis. Para obtener más información, consulte Modo de puntuación de anomalías.

Las dos entradas finales del registro muestran que la solicitud se bloqueó porque la puntuación de anomalía era lo suficientemente alta. Estas entradas tienen una acción diferente a las otras dos. Muestran que realmente bloquearon la solicitud. Estas reglas son obligatorias y no se pueden deshabilitar. No piense en estas reglas como reglas, pero más como infraestructura básica de los internos de WAF.

{ 
    "resourceId": "/SUBSCRIPTIONS/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": { 
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "OWASP_CRS",
        "ruleSetVersion": "3.0.0",
        "ruleId": "920350",
        "message": "Host header is a numeric IP address",
        "action": "Matched",
        "site": "Global",
        "details": { 
            "message": "Warning. Pattern match \\\"^[\\\\\\\\d.:]+$\\\" at REQUEST_HEADERS:Host. ",
            "data": "40.90.218.160",
            "file": "rules\/REQUEST-920-PROTOCOL-ENFORCEMENT.conf\\\"",
            "line": "791" 
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt" 
    } 
} 
{ 
    "resourceId": "/SUBSCRIPTIONS/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": { 
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "OWASP_CRS",
        "ruleSetVersion": "3.0.0",
        "ruleId": "942130",
        "message": "SQL Injection Attack: SQL Tautology Detected.",
        "action": "Matched",
        "site": "Global",
        "details": { 
            "message": "Warning. Pattern match \\\"(?i:([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)([\\\\\\\\d\\\\\\\\w]++)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)(?:(?:=|\\u003c=\\u003e|r?like|sounds\\\\\\\\s+like|regexp)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)\\\\\\\\2|(?:!=|\\u003c=|\\u003e=|\\u003c\\u003e|\\u003c|\\u003e|\\\\\\\\^|is\\\\\\\\s+not|not\\\\\\\\s+like|not\\\\\\\\s+regexp)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)(?!\\\\\\\\2)([\\\\\\\\d\\\\\\\\w]+)))\\\" at ARGS:text1. ",
            "data": "Matched Data: 1=1 found within ARGS:text1: 1=1",
            "file": "rules\/REQUEST-942-APPLICATION-ATTACK-SQLI.conf\\\"",
            "line": "554" 
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt" 
    } 
} 
{ 
    "resourceId": "/SUBSCRIPTIONS/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": { 
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "",
        "ruleSetVersion": "",
        "ruleId": "0",
        "message": "Mandatory rule. Cannot be disabled. Inbound Anomaly Score Exceeded (Total Score: 8)",
        "action": "Blocked",
        "site": "Global",
        "details": { 
            "message": "Access denied with code 403 (phase 2). Operator GE matched 5 at TX:anomaly_score. ",
            "data": "",
            "file": "rules\/REQUEST-949-BLOCKING-EVALUATION.conf\\\"",
            "line": "57" 
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt" 
    } 
} 
{ 
    "resourceId": "/SUBSCRIPTIONS/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": { 
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "",
        "ruleSetVersion": "",
        "ruleId": "0",
        "message": "Mandatory rule. Cannot be disabled. Inbound Anomaly Score Exceeded (Total Inbound Score: 8 - SQLI=5,XSS=0,RFI=0,LFI=0,RCE=0,PHPI=0,HTTP=0,SESS=0): SQL Injection Attack: SQL Tautology Detected.",
        "action": "Blocked",
        "site": "Global",
        "details": { 
            "message": "Warning. Operator GE matched 5 at TX:inbound_anomaly_score. ",
            "data": "",
            "file": "rules\/RESPONSE-980-CORRELATION.conf\\\"",
            "line": "73" 
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt" 
    }
}

Corrección de falsos positivos

Con esta información y el conocimiento de que la regla 942130 es la que coincide con la 1=1 cadena, puede realizar algunos pasos para impedir que esta regla bloquee el tráfico:

  • Use una lista de exclusión. Para obtener más información sobre las listas de exclusión, consulte Listas de exclusión de WAF.

  • Desactiva la regla.

Usar una lista de exclusión

Para tomar una decisión informada sobre el control de un falso positivo, familiarícese con las tecnologías que usa la aplicación. Por ejemplo, si la pila de tecnología no incluye un servidor SQL Server y obtiene falsos positivos relacionados con esas reglas, deshabilitar esas reglas no debilita necesariamente la seguridad.

Una ventaja de usar una lista de exclusión es que solo se deshabilita una parte específica de una solicitud. Sin embargo, esta limitación significa que se aplica una exclusión específica a todo el tráfico que pasa por el WAF porque es una configuración global. Por ejemplo, esta configuración podría provocar un problema si 1=1 es una solicitud válida en el cuerpo de una determinada aplicación, pero no para otras. Otra ventaja es que puede elegir entre el cuerpo, los encabezados y las cookies para excluir si se cumple una determinada condición, en lugar de excluir toda la solicitud.

En ocasiones, los parámetros específicos se pasan al WAF de una manera que podría no ser intuitivo. Por ejemplo, hay un token que se pasa al autenticarse mediante Microsoft Entra ID. __RequestVerificationToken normalmente se pasa como una cookie de solicitud. Sin embargo, en algunos casos en los que las cookies están deshabilitadas, este token también se pasa como un atributo de solicitud o arg. Si esto sucede, debe asegurarse de que __RequestVerificationToken se agregue también a la lista de exclusión como un nombre de atributo Request .

Captura de pantalla de la configuración de la lista de exclusión de WAF en la Azure portal.

En este ejemplo, desea excluir el nombre del atributo Request que es igual a text1. Este nombre de atributo es evidente porque puede ver el nombre del atributo en los registros de firewall: datos: Datos coincidentes: 1=1 encontrados en ARGS:text1: 1=1. El atributo es text1. También puede encontrar este nombre de atributo de algunas otras maneras, consulte Búsqueda de nombres de atributo de solicitud.

Captura de pantalla de las opciones de configuración de WAF para listas de exclusión en Application Gateway.

Puede crear exclusiones para WAF en Application Gateway en distintos niveles de ámbito. Para obtener más información, consulte Web Application Firewall listas de exclusión.

Deshabilitar reglas

Otra manera de controlar un falso positivo es deshabilitar la regla que coincide con la entrada que el WAF pensó que era malintencionado. Puesto que ha analizado los registros de WAF y ha reducido la regla a 942130, puede deshabilitarla en el portal de Azure. Consulte Reglas de firewall de aplicaciones web personalizadas a través del portal de Azure.

Si conoce todo el tráfico que contiene una determinada condición que normalmente está bloqueada es tráfico válido, puede deshabilitar esa regla para todo el WAF. Sin embargo, si solo hay tráfico válido en un caso de uso específico, usted abre una vulnerabilidad al deshabilitar esa regla para todo el WAF, ya que afecta a toda la configuración global.

Para usar Azure PowerShell, consulte Personalización de reglas de firewall de aplicaciones web mediante PowerShell. Para usar CLI de Azure, consulte Personalización de reglas de firewall de aplicaciones web a través del CLI de Azure.

Registro de archivos HAR

Puede usar el explorador o una herramienta externa como Fiddler para registrar archivos de archivo HTTP (HAR). Los archivos HAR contienen información sobre las solicitudes y respuestas que realiza el explorador al cargar una página web. Esta información puede ser útil para solucionar problemas de WAF.

Sugerencia

Es recomendable que el archivo HAR esté listo al ponerse en contacto con el soporte técnico. El equipo de soporte técnico puede usar el archivo HAR para ayudar a diagnosticar el problema.

Para registrar y guardar un archivo HAR en Microsoft Edge, siga estos pasos.

  1. Presione F12 o Ctrl+Mayús+I para abrir edge Herramientas de desarrollo. También puede abrir las herramientas en el menú de la barra de herramientas en Más herramientas > Herramientas de desarrollo.

  2. En la pestaña Consola , seleccione Borrar consola o presione Ctrl+L.

Captura de pantalla de la pestaña Consola de Microsoft Edge developer tools.

  1. Seleccione la pestaña Red .

  2. Seleccione Borrar registro de red o presione Ctrl+L y, a continuación, seleccione Grabar registro de red si no se está grabando.

Captura de pantalla de la pestaña Red de herramientas para desarrolladores de Microsoft Edge.

  1. Cargue la página web protegida por su WAF y que quiera solucionar problemas.

  2. Para detener la grabación, seleccione Detener el registro de red.

  3. Seleccione Exportar HAR (saneado)... y guarde el archivo HAR.

Captura de pantalla de la opción Exportar HAR (saneado) en las herramientas de desarrollo de Microsoft Edge.

Buscar nombres de atributo de solicitud

Use Fiddler para inspeccionar solicitudes individuales y determinar qué campos específicos de una página web se llaman. El uso de esta información le ayuda a excluir determinados campos de la inspección mediante listas de exclusión.

En este ejemplo, puede ver que el campo donde se especificó la cadena 1=1 se denomina text1.

Captura de pantalla de Fiddler Web Debugger. En la pestaña Raw, 1=1 está visible después del nombre text1.

Se trata de un campo que se puede excluir. Para más información sobre las lista de exclusión, consulte Listas de exclusión del firewall de aplicaciones web. Puede excluir la evaluación en este caso configurando la siguiente exclusión:

Captura de pantalla de una exclusión de WAF configurada para un atributo de solicitud específico.

También puede examinar los registros de firewall para obtener la información para ver lo que necesita agregar a la lista de exclusión. Para habilitar el registro, consulte Estado del back-end, registros de recursos y métricas de Application Gateway.

Examine el registro del firewall y vea el archivo PT1H.json durante la hora en que se produjo la solicitud que desea inspeccionar.

En este ejemplo, verá que tiene cuatro reglas con el mismo TransactionID y que todas se produjeron exactamente al mismo tiempo:

{
    "resourceId": "/SUBSCRIPTIONS/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": {
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "OWASP_CRS",
        "ruleSetVersion": "3.0.0",
        "ruleId": "920350",
        "message": "Host header is a numeric IP address",
        "action": "Matched",
        "site": "Global",
        "details": {
            "message": "Warning. Pattern match \\\"^[\\\\\\\\d.:]+$\\\" at REQUEST_HEADERS:Host. ",
            "data": "40.90.218.160",
            "file": "rules\/REQUEST-920-PROTOCOL-ENFORCEMENT.conf\\\"",
            "line": "791"
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt"
    }
}
{
    "resourceId": "/SUBSCRIPTIONS/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": {
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "OWASP_CRS",
        "ruleSetVersion": "3.0.0",
        "ruleId": "942130",
        "message": "SQL Injection Attack: SQL Tautology Detected.",
        "action": "Matched",
        "site": "Global",
        "details": {
            "message": "Warning. Pattern match \\\"(?i:([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)([\\\\\\\\d\\\\\\\\w]++)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)(?:(?:=|\\u003c=\\u003e|r?like|sounds\\\\\\\\s+like|regexp)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)\\\\\\\\2|(?:!=|\\u003c=|\\u003e=|\\u003c\\u003e|\\u003c|\\u003e|\\\\\\\\^|is\\\\\\\\s+not|not\\\\\\\\s+like|not\\\\\\\\s+regexp)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)(?!\\\\\\\\2)([\\\\\\\\d\\\\\\\\w]+)))\\\" at ARGS:text1. ",
            "data": "Matched Data: 1=1 found within ARGS:text1: 1=1",
            "file": "rules\/REQUEST-942-APPLICATION-ATTACK-SQLI.conf\\\"",
            "line": "554"
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt"
    }
}
{
    "resourceId": "/SUBSCRIPTIONS/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": {
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "",
        "ruleSetVersion": "",
        "ruleId": "0",
        "message": "Mandatory rule. Cannot be disabled. Inbound Anomaly Score Exceeded (Total Score: 8)",
        "action": "Blocked",
        "site": "Global",
        "details": {
            "message": "Access denied with code 403 (phase 2). Operator GE matched 5 at TX:anomaly_score. ",
            "data": "",
            "file": "rules\/REQUEST-949-BLOCKING-EVALUATION.conf\\\"",
            "line": "57"
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt"
    }
}
{
    "resourceId": "/SUBSCRIPTIONS/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": {
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "",
        "ruleSetVersion": "",
        "ruleId": "0",
        "message": "Mandatory rule. Cannot be disabled. Inbound Anomaly Score Exceeded (Total Inbound Score: 8 - SQLI=5,XSS=0,RFI=0,LFI=0,RCE=0,PHPI=0,HTTP=0,SESS=0): SQL Injection Attack: SQL Tautology Detected.",
        "action": "Blocked",
        "site": "Global",
        "details": {
            "message": "Warning. Operator GE matched 5 at TX:inbound_anomaly_score. ",
            "data": "",
            "file": "rules\/RESPONSE-980-CORRELATION.conf\\\"",
            "line": "73"
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt"
    }
}

Con el conocimiento de cómo funcionan los conjuntos de reglas de CRS y de que el conjunto de reglas de CRS 3.0 funciona con un sistema de puntuación de anomalías (consulte Web Application Firewall para Azure Application Gateway) sabe que las dos reglas inferiores con la action: Blocked propiedad se bloquean en función de la puntuación total de anomalías. Las reglas en las que centrarse son las dos principales.

La primera entrada se registra porque el usuario usó una dirección IP numérica para navegar a Application Gateway, que puede omitir en este caso.

La segunda (regla 942130) es la interesante. Verá en los detalles que coinciden con un patrón (1=1)y el campo se denomina text1. Siga los mismos pasos anteriores para excluir el nombre del atributo de solicitud que es igual a 1=1.

Buscar nombres de encabezados de solicitud

Use Fiddler para buscar nombres de encabezado de solicitud. En la captura de pantalla siguiente, puede ver los encabezados de esta solicitud GET, que incluyen Content-Type, User-Agent y otros encabezados.

Captura de pantalla de Fiddler Web Debugger. La pestaña Raw muestra los detalles del encabezado de solicitud, como la conexión, el tipo de contenido y el agente de usuario.

También puede usar las herramientas de desarrollo en Microsoft Edge o Google Chrome para ver los encabezados de solicitud y respuesta. Para obtener más información, vaya a Registrar archivos HAR.

Si la solicitud contiene cookies, seleccione la pestaña Cookies para verlas en Fiddler.

Restricción de parámetros globales para eliminar los falsos positivos

  • Deshabilitar la inspección del cuerpo de la solicitud

    Al establecer Inspeccionar el cuerpo de la solicitud en desactivado, el WAF no evalúa los cuerpos de solicitud del tráfico. Esta configuración es útil si sabe que los cuerpos de solicitud no son malintencionados para la aplicación.

    Al deshabilitar esta opción, solo el cuerpo de la solicitud omite la inspección. Los encabezados y cookies se siguen inspeccionando, a menos que excluya los individuales mediante la funcionalidad de la lista de exclusión.

  • Deshabilitar el límite máximo de tamaño del cuerpo de la solicitud

    Al deshabilitar el límite máximo del cuerpo de la solicitud, WAF puede procesar cuerpos de solicitud grandes sin rechazarlos para superar el límite de tamaño. Esta configuración es útil si tiene solicitudes grandes con regularidad.

    Al deshabilitar esta opción, el cuerpo de la solicitud solo se inspecciona hasta el límite máximo de inspección del cuerpo de la solicitud. Si hay contenido malintencionado en la solicitud más allá del límite máximo de inspección del cuerpo de la solicitud, waf no lo detecta.

  • Deshabilitación de los límites máximos de tamaño de archivo

    Al deshabilitar los límites de tamaño de archivo para el WAF, se pueden cargar archivos grandes sin que WAF rechace estas cargas de archivos. Al permitir que se carguen archivos grandes, aumenta el riesgo de que el back-end se agote. Si sabe que el tamaño máximo que puede tener una carga de archivos, establezca un límite de tamaño para las cargas de archivos ligeramente por encima del tamaño máximo esperado. Limitar el tamaño del archivo a un caso de uso normal para la aplicación es otra manera de evitar ataques. Sin embargo, si las cargas de archivos superan regularmente el límite máximo de tamaño de carga de archivos ejecutable, es posible que tenga que deshabilitar los límites de tamaño de carga de archivos por completo para evitar falsos positivos.

    Nota:

    Si sabe que la aplicación nunca necesita ninguna carga de archivos por encima de un tamaño determinado, puede restringir ese tamaño estableciendo un límite.

    Advertencia

    Al asignar un nuevo conjunto de reglas administrado a una directiva waf, todas las personalizaciones anteriores de los conjuntos de reglas administrados existentes, como el estado de regla, las acciones de regla y las exclusiones de nivel de regla, se restablecen a los nuevos valores predeterminados del conjunto de reglas administrados. Sin embargo, las reglas personalizadas, la configuración de directiva y las exclusiones globales no se ven afectadas durante la nueva asignación del conjunto de reglas.

Métricas de firewall (solo WAF v1)

En el caso de los firewalls de aplicaciones web v1, el portal ahora proporciona las siguientes métricas:

  1. Web Application Firewall Recuento de solicitudes bloqueadas El número de solicitudes bloqueadas.
  2. Web Application Firewall Recuento de reglas bloqueadas Todas las reglas que coinciden y la solicitud está bloqueada.
  3. Web Application Firewall Distribución total de reglas Todas las reglas que coinciden durante la evaluación.

Para habilitar las métricas, seleccione la pestaña Métricas en el portal y seleccione una de las tres métricas.

Paso siguiente

Configurar el firewall de aplicaciones web en el gateway de aplicaciones

  • Last updated on