Brama aplikacyjna, WAF, grupy reguł CRS i DRS

Dotyczy: ✔️ Application Gateway

Azure Web Application Firewall on Application Gateway chroni aplikacje webowe przed powszechnymi lukami i exploitami. Zestawy reguł zarządzane przez Azure są aktualizowane wraz z pojawianiem się nowych sygnatur ataków i zawierają reguły opracowane wspólnie z zespołem Microsoft Threat Intelligence, aby poprawić zasięg, wyeliminować konkretne luki i zmniejszyć liczbę fałszywych alarmów.

Możesz włączać lub wyłączać poszczególne reguły oraz konfigurować działania reguł. W tym artykule wymieniono dostępne wersje zestawów reguł Default Rule Set (DRS) i Core Rule Set (CRS), grupy reguł oraz reguły.

Uwaga

Gdy zmieniasz wersję zestawu reguł w polityce WAF, ponownie zastosuj istniejące nadpisania stanu reguł i akcji oraz wyłączenia do nowej wersji. Więcej informacji można znaleźć w artykule Ulepsz lub zmień wersję zestawu reguł.

Domyślny zestaw reguł 2.2

Domyślny zestaw reguł (DRS) 2.2 jest oparty na podstawowym zestawie reguł Open Web Application Security Project (OWASP) Core Rule Set 3.3.4, wprowadzając ulepszenia w istniejących wykryciach i nowych ochron, w tym reguły wykrywające typy zawartości zadeklarowane poza rzeczywistym nagłówkiem typu zawartości oraz ulepszone wykrywanie zdalnego wykonywania kodu (RCE). Usługa DRS 2.2 zawiera dodatkowe, zastrzeżone reguły ochrony opracowane przez zespół Microsoft Threat Intelligence, które rozszerzają zakres ochrony na iniekcje SQL, XSS i wzorce ataków na zabezpieczenia aplikacji.

DRS 2.2 oferuje nowy aparat i nowe zestawy reguł chroniące przed wstrzyknięciami języka Java, początkowy zestaw kontroli przekazywania plików i mniejszą liczbę wyników fałszywie dodatnich w porównaniu ze starszymi wersjami DRS i CRS. Możesz również dostosować reguły zgodnie z twoimi potrzebami. Dowiedz się więcej na temat nowego silnika zapory aplikacji internetowej Azure.

Usługa DRS 2.2 zawiera 18 grup reguł, jak pokazano w poniższej tabeli. Każda grupa zawiera wiele reguł i można dostosować zachowanie poszczególnych reguł, grup reguł lub całego zestawu reguł.

Typ zagrożenia Nazwa grupy reguł
Ogólne Ogólne
Metody blokady (PUT, PATCH) WYMUSZANIE METODY
Problemy z protokołem i kodowaniem WYMUSZANIE PROTOKOŁU
Wstrzykiwanie nagłówków, przemycanie żądań i dzielenie odpowiedzi ATAK PROTOKOŁU
Ataki na pliki i ścieżki LFI
Ataki zdalnego dołączania plików (RFI) RFI
Ataki polegające na zdalnym wykonywaniu kodu RCE
Ataki polegające na wstrzyknięciu kodu PHP Język PHP
Ataki na Node.js NodeJS
Ataki skryptowe obejmujące wiele witryn XSS
Ataki polegających na wstrzyknięciu kodu SQL SQLI
Ataki polegające na fiksacji sesji Fiksacja sesji
Ataki JAVA SESJA-JAVA
Ataki przy użyciu webshella (MS) MS-ThreatIntel-WebShells
Ataki AppSec (MS) MS-ThreatIntel-AppSec
Ataki polegające na wstrzyknięciu kodu SQL (MS) MS-ZagrożenieIntel-SQLI
Ataki CVE (MS) MS-ThreatIntel-CVEs
Ataki XSS (MS) MS-ThreatIntel-XSS

Wyłączone reguły

Reguły DRS 2.2 skonfigurowane na poziomie Paranoi 2 są domyślnie wyłączone. Możesz pozostawić ich stan jako wyłączony, jeśli chcesz zachować politykę WAF skonfigurowaną na Poziomie Paranoi 1. Jeśli chcesz zwiększyć poziom paranoi polityki, możesz bezpiecznie zmienić stan tych reguł na włączony oraz ustawić ich akcję na tryb rejestrowania. Przeanalizuj dzienniki, wprowadź wymagane dostrajanie i odpowiednio włącz reguły. Aby uzyskać więcej informacji, zobacz Temat Poziom Paranoi i Dostrajanie zarządzanych zestawów reguł.

Niektóre reguły OWASP są zastępowane przez zamienniki stworzone przez Microsoft. Oryginalne reguły są domyślnie wyłączone, a ich opisy kończą się ciągiem "(zastąpione przez ...)".

Domyślny zestaw reguł 2.1

Mimo że nadal można używać domyślnego zestawu reguł (DRS) 2.1, zaleca się używanie najnowszej wersji usługi DRS 2.2.

Domyślny zestaw reguł (DRS) 2.1 opiera się na Open Web Application Security Project (OWASP) Core Rule Set (CRS) 3.3.2 i zawiera dodatkowe własnościowe zasady ochrony opracowane przez zespół Microsoft Threat Intelligence oraz aktualizacje sygnatur mające na celu zmniejszenie liczby fałszywych alarmów. Obsługuje również przekształcenia wykraczające poza dekodowanie adresów URL.

DRS 2.1 oferuje nowy aparat i nowe zestawy reguł chroniące przed wstrzyknięciami do Java, początkowy zestaw kontroli przesyłania plików i mniejszą liczbę wyników fałszywie dodatnich w porównaniu z wersjami CRS. Możesz również dostosować reguły zgodnie z twoimi potrzebami. Dowiedz się więcej na temat nowego silnika zapory aplikacji internetowej Azure.

Usługa DRS 2.1 zawiera 17 grup reguł, jak pokazano w poniższej tabeli. Każda grupa zawiera wiele reguł, a zachowanie można dostosować dla poszczególnych reguł, grup reguł lub całego zestawu reguł.

Typ zagrożenia Nazwa grupy reguł
Ogólne Ogólne
Metody blokady (PUT, PATCH) WYMUSZANIE METODY
Problemy z protokołem i kodowaniem WYMUSZANIE PROTOKOŁU
Wstrzykiwanie nagłówków, przemycanie żądań i dzielenie odpowiedzi ATAK PROTOKOŁU
Ataki na pliki i ścieżki LFI
Ataki zdalnego dołączania plików (RFI) RFI
Ataki polegające na zdalnym wykonywaniu kodu RCE
Ataki polegające na wstrzyknięciu kodu PHP Język PHP
Ataki na Node.js NodeJS
Ataki skryptowe obejmujące wiele witryn XSS
Ataki polegających na wstrzyknięciu kodu SQL SQLI
Ataki polegające na fiksacji sesji Fiksacja sesji
Ataki JAVA SESJA-JAVA
Ataki przy użyciu webshella (MS) MS-ThreatIntel-WebShells
Ataki AppSec (MS) MS-ThreatIntel-AppSec
Ataki polegające na wstrzyknięciu kodu SQL (MS) MS-ZagrożenieIntel-SQLI
Ataki CVE (MS) MS-ThreatIntel-CVEs

Wskazówki dotyczące dostrajania dla DRS 2.1

Skorzystaj z poniższych wskazówek, aby dostroić WAF przy rozpoczęciu pracy z DRS 2.1 na Application Gateway WAF.

Identyfikator zasady Grupa reguł opis Rekomendacja
942110 SQL Injection (SQLI) Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe testy iniekcji Wyłącz regułę 942110, zastąpioną regułą MSTIC 99031001
942150 SQL Injection (SQLI) Atak polegający na wstrzyknięciu kodu SQL Wyłącz regułę 942150, zastąpioną regułą MSTIC 99031003
942260 SQL Injection (SQLI) Wykrywa podstawowe próby obejścia uwierzytelniania SQL 2/3 Wyłącz regułę 942260, zastąpioną regułą MSTIC 99031004
942430 SQL Injection (SQLI) Wykrywanie anomalii ograniczonych znaków SQL (args): liczba znaków specjalnych przekroczyła 12 Wyłącz regułę 942430, powoduje ona zbyt wiele fałszywych alarmów
942440 SQL Injection (SQLI) Wykryto sekwencję komentarzy SQL Wyłącz regułę 942440, zastąpioną regułą MSTIC 99031002
99005006 MS-ThreatIntel-WebShells Próba interakcji z programem Spring4Shell Zachowaj włączoną regułę, aby zapobiec lukom w zabezpieczeniach programu SpringShell
99001014 MS-ThreatIntel-CVEs Podjęto próbę wstrzyknięcia wyrażenia routingu w Spring Cloud CVE-2022-22963 Zachowaj włączoną regułę, aby zapobiec lukom w zabezpieczeniach programu SpringShell
99001015 MS-ThreatIntel-CVEs Podjęto próbę wykorzystania niebezpiecznych obiektów klasy Spring Framework CVE-2022-22965 Zachowaj włączoną regułę, aby zapobiec lukom w zabezpieczeniach programu SpringShell
99001016 MS-ThreatIntel-CVEs Podjęto próbę wstrzyknięcia Actuator Spring Cloud Gateway CVE-2022-22947 Zachowaj włączoną regułę, aby zapobiec lukom w zabezpieczeniach programu SpringShell
99001017 MS-ThreatIntel-CVEs Podjęto próbę wykorzystania przekazywania pliku w Apache Struts CVE-2023-50164 Ustaw akcję na Blokuj, aby zapobiec lukom w zabezpieczeniach apache Struts. Ocena anomalii nie jest obsługiwana dla tej reguły

Strojenie zarządzanych zestawów reguł

Zarówno DRS, jak i CRS są domyślnie włączone w trybie wykrywania w politykach zapory aplikacji internetowej. Możesz wyłączyć lub włączyć poszczególne reguły w zestawie reguł zarządzanych, aby spełnić wymagania aplikacji. Można również ustawić określone akcje dla każdej reguły. Usługa DRS/CRS obsługuje działania dotyczące bloków, dzienników oraz oceny anomalii. Zestaw reguł Bot Manager obsługuje akcje zezwalania, blokowania i rejestrowania.

Czasami może być konieczne pominięcie niektórych atrybutów żądania w ocenie WAF. Typowym przykładem są tokeny wstawione przez Active Directory, używane do uwierzytelniania. Można skonfigurować wykluczenia, aby stosować je podczas ewaluacji określonych reguł zapory aplikacji internetowej lub globalnie w odniesieniu do oceny wszystkich reguł zapory aplikacji internetowej. Reguły wykluczania mają zastosowanie do całej aplikacji internetowej. Aby uzyskać więcej informacji, zobacz Web Application Firewall (WAF) z listami wykluczeń usługi Application Gateway.

Domyślnie Azure zapora aplikacji internetowej używa oceniania anomalii, gdy żądanie jest zgodne z regułą. Ponadto możesz skonfigurować reguły niestandardowe w tej samej polityce WAF, jeśli chcesz ominąć dowolną ze wstępnie skonfigurowanych reguł w Core Rule Set.

Reguły niestandardowe są zawsze stosowane przed obliczeniu reguł w zestawie reguł podstawowych. Jeśli żądanie pasuje do reguły niestandardowej, zostanie zastosowana odpowiednia akcja reguły. Żądanie jest zablokowane lub przekazywane do zaplecza. Żadne inne reguły niestandardowe ani reguły w zestawie reguł podstawowych nie są przetwarzane.

Wyznaczanie anomalii

W przypadku korzystania z usług CRS lub DRS 2.1 lub nowszych zapora aplikacji internetowej jest domyślnie skonfigurowana do używania oceniania anomalii. Ruch zgodny z dowolną regułą nie jest natychmiast blokowany, nawet jeśli zapora aplikacji internetowej jest w trybie zapobiegania. Zamiast tego zestawy reguł OWASP definiują stopień ważności dla każdej reguły: Krytyczny, Błąd, Ostrzeżenie lub Powiadomienie. Stopień ma wpływ na wartość liczbową żądania, która jest nazywana skalą anomalii:

Ważność reguły Wartość wpływa na wynik anomalii
Krytyczne 5
Błąd 4
Ostrzeżenie 3
Uwaga 2

Jeśli wynik anomalii wynosi 5 lub więcej, a WAF jest w trybie zapobiegania, żądanie zostanie zablokowane. Jeśli wynik anomalii wynosi 5 lub więcej, a zapora aplikacji internetowej jest w trybie wykrywania, żądanie zostaje zarejestrowane, ale nie jest blokowane.

Na przykład pojedyncze dopasowanie reguły krytycznej wystarczy, aby WAF zablokował żądanie w trybie zapobiegania, ponieważ łączny wynik anomalii wynosi 5. Jednak jedno dopasowanie reguły ostrzeżenia zwiększa tylko wynik anomalii o 3, co nie wystarczy, aby zablokować ruch. Kiedy reguła anomalii zostanie wyzwolona, w dziennikach pojawi się akcja "Dopasowanie". Jeśli wynik anomalii wynosi 5 lub więcej, jest uruchamiana osobna reguła z akcją "Zablokowane" lub "Wykryte", w zależności od tego, czy polityka WAF jest w trybie zapobiegania, czy wykrywania. Aby uzyskać więcej informacji, sprawdź Tryb oceniania anomalii.

Poziom paranoi

Każda reguła jest przypisana do określonego poziomu paranoi (PL). Reguły skonfigurowane w Paranoia Level 1 (PL1) są mniej agresywne i prawie nigdy nie wywołują fałszywego alarmu. Zapewniają one podstawowe zabezpieczenia przy minimalnej potrzebie dostrajania. Reguły w PL2 wykrywają więcej ataków, ale oczekuje się, że mogą wywoływać fałszywe alarmy, które należy dostosować.

Domyślnie usługa DRS 2.2 jest skonfigurowana na poziomie Paranoi Level 1 (PL1), a wszystkie reguły PL2 są wyłączone. Aby uruchomić WAF na poziomie PL2, można ręcznie włączyć dowolne lub wszystkie reguły PL2. W przypadku wcześniejszych zestawów reguł, DRS 2.1 i CRS 3.2 zawierają reguły zdefiniowane dla poziomu paranoi 2, który obejmuje zarówno reguły PL1, jak i PL2. Jeśli wolisz działać ściśle w PL1, możesz wyłączyć określone reguły PL2 lub ustawić ich akcję na Log.

Poziomy paranoi 3 i 4 nie są obecnie obsługiwane w zaporze aplikacji internetowej Azure.

Uwaga

Zestaw reguł CRS 3.2 zawiera reguły w PL3 i PL4, ale te reguły są zawsze nieaktywne i nie można ich włączyć, niezależnie od ich skonfigurowanego stanu lub akcji.

Uaktualnianie lub zmienianie wersji zestawu reguł

Aby zaktualizować lub przypisać nową wersję zestawu reguł, zachowując istniejące nadpisania i wyłączenia reguł, użyj PowerShell, CLI, REST API lub szablonu do wprowadzania zmian w wersji reguł. Nowa wersja zestawu reguł może zawierać nowsze reguły lub dodatkowe grupy reguł. Zweryfikowaj te zmiany bezpiecznie w środowisku testowym, dopracuj je w razie potrzeby, a następnie wdroż je w środowisku produkcyjnym. Aby uzyskać więcej informacji, zobacz Uaktualnianie wersji zestawu reguł CRS lub DRS.

Jeśli użyjesz portalu Azure do przypisania nowego zarządzanego zestawu reguł do polityki WAF, portal resetuje wszystkie wcześniejsze dostosowania z istniejącego zarządzanego zestawu reguł, takie jak stan reguł, akcje reguł i wyłączenia na poziomie reguł, do domyślnych ustawień nowego zarządzanego zestawu reguł. Jednak portal nie wpływa na żadne niestandardowe reguły, ustawienia polityk ani globalne wyłączenia podczas przypisywania nowego zestawu reguł. Należy ponownie zdefiniować przesłonięcia reguł i zweryfikować zmiany przed wdrożeniem w środowisku produkcyjnym.

Zrozumienie ochrony CVE w zaporze sieciowej dla aplikacji internetowych Azure

Azure Application Gateway zapora ogniowa aplikacji internetowej (WAF) chroni przed CVE poprzez:

  • Ogólne zabezpieczenia (DRS / OWASP CRS): Wiele CVEs jest już ograniczanych przez istniejące reguły, które wykrywają typowe wzorce ataków, takie jak wstrzyknięcie kodu SQL, XSS i RCE.
  • CVE-specific protections (Microsoft Threat Intelligence): W przypadku luk w zabezpieczeniach o dużym wpływie dedykowane reguły są wydawane w grupie reguł MS-ThreatIntel-CVEs.

Zawsze używaj najnowszego domyślnego zestawu reguł (DRS), aby zapewnić najnowszą ochronę i zmniejszyć liczbę fałszywych alarmów.

Aby sprawdzić pokrycie:

  • Zapoznaj się z grupą zasad MS-ThreatIntel-CVEs .
  • Sprawdź opisy reguł pod kątem odniesień do CVE.
  • Pamiętaj, że wiele CVE objętych jest ochroną ogólną, nawet jeśli nie jest to wyraźnie wymienione.

Jeśli CVE nie jest wyraźnie objęte ochroną:

  • Zaktualizuj do najnowszej wersji DRS.
  • Zweryfikuj według istniejących reguł lub użyj niestandardowych reguł, jeśli jest to konieczne.
  • Skontaktuj się z pomocą pomoc techniczna platformy Azure, jeśli potrzebujesz ochrony dla konkretnego CVE o wysokim priorytecie, który obecnie nie jest objęty ochroną.

Podstawowe zestawy reguł (CRS) — wersja dziedziczna

Zalecany zestaw reguł zarządzanych to najnowszy domyślny zestaw reguł 2.2, oparty na zestawie reguł podstawowych OWASP (Open Web Application Security Project) Core Rule Set (CRS) 3.3.4 i zawiera dodatkowe zastrzeżone reguły opracowane przez zespół Microsoft Threat Intelligence oraz aktualizacje sygnatur w celu zmniejszenia liczby fałszywych alarmów. Podczas tworzenia nowej polityki WAF należy użyć najnowszej, zalecanej wersji zestawu reguł DRS 2.2. Jeśli masz istniejącą politykę zapory aplikacji internetowej korzystającą z DRS 2.1, CRS 3.2 lub CRS 3.1, zaleca się uaktualnienie do DRS 2.2. Aby uzyskać więcej informacji, zobacz Uaktualnianie wersji zestawu reguł CRS lub DRS.

Uwaga

  • CrS 3.2 jest dostępny tylko w jednostce SKU WAF_v2. Nie można obniżyć wersji z CRS 3.2 do CRS 3.1 lub starszej, ponieważ CRS 3.2 działa na nowym silniku zapory aplikacji internetowej Azure. Zaleca się uaktualnienie do najnowszej wersji DRS 2.1 bezpośrednio i bezpieczne zweryfikowanie nowych reguł poprzez zmianę ich akcji na tryb dziennika. Aby uzyskać więcej informacji, zobacz Bezpieczne weryfikowanie nowych reguł.

  • Web Application Firewall (zapora aplikacji internetowej) uruchomiona w usłudze Application Gateway for Containers nie obsługuje podstawowego zestawu reguł (CRS).

Menedżer botów 1.0

Zestaw reguł usługi Bot Manager 1.0 zapewnia ochronę przed złośliwymi botami i wykrywaniem dobrych botów. Zasady zapewniają szczegółową kontrolę nad botami wykrywanymi przez WAF poprzez kategoryzowanie ruchu botów jako dobre, złe lub nieznane .

Grupa reguł opis
BadBots Ochrona przed złymi botami
Dobre Boty Identyfikowanie dobrych botów
Nieznane Boty Identyfikowanie nieznanych botów

Menedżer botów 1.1

Zestaw reguł Bot Manager 1.1 jest ulepszeniem zestawu reguł Bot Manager 1.0. Zapewnia lepszą ochronę przed złośliwymi botami i poprawia dobre wykrywanie botów.

Grupa reguł opis
BadBots Ochrona przed złymi botami
Dobre Boty Identyfikowanie dobrych botów
Nieznane Boty Identyfikowanie nieznanych botów

Poniższe grupy reguł i reguły są dostępne, gdy korzystasz z Web Application Firewall na Application Gateway.

Zestawy reguł 2.2

Ogólne

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
200002 Krytyczne - 5 1 Nie można przeanalizować treści żądania.
200003 Krytyczne - 5 1 Treść żądania wieloczęściowego nie przeszła ścisłej walidacji

Wymuszanie metody

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
911100 Krytyczne - 5 1 Metoda nie jest dozwolona przez politykę

Wymuszenie protokołu

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
920100 Uwaga - 2 1 Nieprawidłowa linia żądań HTTP
920120 Krytyczne - 5 1 Podjęto próbę obejścia danych wieloczęściowych/formularzy
920121 Krytyczne - 5 2 Podjęto próbę obejścia danych wieloczęściowych/formularzy
920160 Krytyczne - 5 1 Nagłówek HTTP o długości zawartości nie jest numeryczny.
920170 Krytyczne - 5 1 Żądanie GET lub HEAD z treścią w treści żądania.
920171 Krytyczne - 5 1 Żądanie GET lub HEAD z nagłówkiem Transfer-Encoding.
920180 Uwaga - 2 1 POST bez nagłówków Content-Length ani Transfer-Encoding.
920181 Ostrzeżenie - 3 1 Istnieją nagłówki Content-Length i Transfer-Encoding
920190 Ostrzeżenie - 3 1 Zakres: Nieprawidłowa wartość ostatniego bajtu.
920200 Ostrzeżenie - 3 2 Zakres: zbyt wiele pól (co najmniej 6)
920201 Ostrzeżenie - 3 2 Zakres: Za dużo pól w żądaniu PDF (co najmniej 63)
920210 Ostrzeżenie - 3 1 Znaleziono wiele lub sprzeczne dane nagłówka połączenia.
920220 Ostrzeżenie - 3 1 Próba ataku z wykorzystaniem kodowania URL
920230 Ostrzeżenie - 3 2 Wykryto wielokrotne kodowanie adresu URL
920240 Ostrzeżenie - 3 1 Próba ataku z wykorzystaniem kodowania URL
920260 Ostrzeżenie - 3 1 Próba ataku polegającego na nadużyciu znaków Unicode o pełnej lub połówkowej szerokości
920270 Krytyczne - 5 1 Nieprawidłowy znak w żądaniu (znak null)
920271 Krytyczne - 5 2 Nieprawidłowy znak w żądaniu (znaki niedrukowalne)
920280 Ostrzeżenie - 3 1 W żądaniu brakuje nagłówka Host
920290 Ostrzeżenie - 3 1 Pusty nagłówek Host
920300 Uwaga - 2 2 W żądaniu brakuje nagłówka Accept
920310 Uwaga - 2 1 Request ma pusty nagłówek Accept
920311 Uwaga - 2 1 Request ma pusty nagłówek Accept
920320 Uwaga - 2 2 Brakujący nagłówek User-Agent
920330 Uwaga - 2 1 Pusty nagłówek User-Agent
920340 Uwaga - 2 1 Żądanie zawierające treść, ale brakuje nagłówka typu treści
920341 Krytyczne - 5 2 Żądanie zawierające zawartość wymaga nagłówka Content-Type
920350 Ostrzeżenie - 3 1 Nagłówek hosta jest numerycznym adresem IP
920420 Krytyczne - 5 2 Typ zawartości żądania nie jest dozwolony przez zasady
920430 Krytyczne - 5 1 Wersja protokołu HTTP nie jest dozwolona przez politykę
920440 Krytyczne - 5 1 Rozszerzenie pliku URL jest ograniczone przez politykę
920450 Krytyczne - 5 1 Nagłówek HTTP jest ograniczony przez politykę
920470 Krytyczne - 5 1 Nagłówek niedozwolonego typu zawartości
920480 Krytyczne - 5 1 Żądanie typu zawartości charset nie jest dozwolone przez zasady
920500 Krytyczne - 5 1 Próba uzyskania dostępu do kopii zapasowej lub działającego pliku
920530 Krytyczne - 5 1 Ogranicz parametr charset wewnątrz nagłówka typu zawartości, aby wystąpił maksymalnie raz
920620 Krytyczne - 5 1 Wiele nagłówków Content-Type w żądaniu

Atak na protokół

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
921110 Krytyczne - 5 1 Atak przemytu żądań HTTP
921120 Krytyczne - 5 1 Atak dzielenia odpowiedzi HTTP
921130 Krytyczne - 5 1 Atak dzielenia odpowiedzi HTTP
921140 Krytyczne - 5 1 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem nagłówków
921150 Krytyczne - 5 1 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem ładunku (wykryto cr/LF)
921151 Krytyczne - 5 2 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem ładunku (wykryto cr/LF)
921160 Krytyczne - 5 1 Atak polegający na wstrzyknięciu nagłówka HTTP poprzez ładunek (wykryto CR/LF i nazwę nagłówka)
921190 Krytyczne - 5 1 Dzielenie HTTP (CR/LF w nazwie pliku żądania wykryte)
921 200 Krytyczne - 5 1 Atak polegający na wstrzyknięciu protokołu LDAP
921422 Krytyczne - 5 2 Wykrywanie typów zawartości w nagłówku Content-Type poza rzeczywistą deklaracją typu zawartości

LFI: Lokalne dołączanie plików

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
930100 Krytyczne - 5 1 Atak przechodzenia ścieżki (/.. /)
930110 Krytyczne - 5 1 Atak przechodzenia ścieżki (/.. /)
930120 Krytyczne - 5 1 Próba uzyskania dostępu do pliku systemu operacyjnego
930130 Krytyczne - 5 1 Próba dostępu do plików z ograniczeniami

RFI: Zdalne dołączanie plików

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
931100 Krytyczne - 5 2 Możliwy atak zdalnego dołączania plików (RFI): parametr adresu URL przy użyciu adresu IP
931110 Krytyczne - 5 1 Możliwy atak zdalnego dołączania plików (RFI): typowa nazwa parametru podatnego na ataki RFI używana z ładunkiem URL
931120 Krytyczne - 5 1 Możliwy zdalny atak dołączania plików (RFI): ładunek URL użyty z końcowym znakiem zapytania (?)
931130 Krytyczne - 5 2 Możliwy atak zdalnego dołączania plików (RFI): odniesienie/łącze spoza domeny

RCE: Zdalne wykonywanie poleceń

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
932100 Krytyczne - 5 1 Zdalne wykonywanie poleceń: Wstrzykiwanie poleceń w systemie Unix
932105 Krytyczne - 5 1 Zdalne wykonywanie poleceń: Wstrzykiwanie poleceń w systemie Unix
932110 Krytyczne - 5 1 Zdalne wykonywanie poleceń: iniekcja poleceń Windows
932115 Krytyczne - 5 1 Zdalne wykonywanie poleceń: iniekcja poleceń Windows
932120 Krytyczne - 5 1 Zdalne wykonywanie poleceń: znaleziono polecenie programu PowerShell Windows
932130 Krytyczne - 5 1 Zdalne wykonywanie poleceń: znaleziono lukę w zabezpieczeniach powłoki Unix lub w Confluence (CVE-2022-26134)
932140 Krytyczne - 5 1 Zdalne wykonywanie poleceń: znaleziono polecenie Windows FOR/IF
932150 Krytyczne - 5 1 Zdalne wykonywanie poleceń: bezpośrednie wykonywanie poleceń systemu Unix
932160 Krytyczne - 5 1 Zdalne wykonywanie poleceń: znaleziono kod powłoki systemu Unix
932170 Krytyczne - 5 1 Zdalne wykonywanie poleceń: Shellshock (CVE-2014-6271)
932171 Krytyczne - 5 1 Zdalne wykonywanie poleceń: Shellshock (CVE-2014-6271)
932180 Krytyczne - 5 1 Próba przesłania pliku objętego ograniczeniami

Ataki PHP

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
933100 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono otwarty tag PHP
933110 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono plik skryptu PHP
933120 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono dyrektywę konfiguracji
933130 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu PHP: znalezione zmienne
933140 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu PHP: wykryto strumień we/wy
933150 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono nazwę funkcji PHP o wysokim ryzyku
933151 Krytyczne - 5 2 Atak polegający na wstrzyknięciu kodu PHP: znaleziona nazwa funkcji PHP o średnim ryzyku
933160 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono wywołanie funkcji PHP o wysokim ryzyku
933170 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu PHP: wstrzyknięcie obiektu serializowanego
933180 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono wywołanie funkcji zmiennej
933200 Krytyczne - 5 1 Atak typu PHP Injection: wykryto schemat opakowania
933210 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono wywołanie funkcji zmiennej

Ataki na Node.js

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
934100 Krytyczne - 5 1 Atak wstrzykiwania w Node.js

XSS: wykonywanie skryptów między witrynami

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
941100 Krytyczne - 5 1 Wykryto atak XSS za pośrednictwem libinjection
941101 Krytyczne - 5 2 Wykryto atak XSS za pośrednictwem libinjection
941110 Krytyczne - 5 1 Filtr XSS — kategoria 1: wektor tagu skryptu
941120 Krytyczne - 5 2 Filtr XSS — kategoria 2: wektor obsługi zdarzeń (event handler)
941130 Krytyczne - 5 1 Filtr XSS — kategoria 3: wektor atrybutu
941140 Krytyczne - 5 1 Filtr XSS — kategoria 4: wektor URI JavaScript
941150 Krytyczne - 5 2 Filtr XSS — kategoria 5: niedozwolone atrybuty HTML
941160 Krytyczne - 5 1 NoScript XSS InjectionChecker: wstrzykiwanie kodu HTML
941170 Krytyczne - 5 1 NoScript XSS InjectionChecker: Iniekcja atrybutów
941180 Krytyczne - 5 1 Słowa kluczowe czarnej listy validatora węzła
941190 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941200 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941210 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941220 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941230 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941240 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941250 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941260 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941270 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941280 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941290 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941300 Krytyczne - 5 1 Filtry IE XSS — wykryto atak.
941310 Krytyczne - 5 1 Wykryto atak: nieprawidłowe kodowanie US-ASCII — filtr XSS.
941320 Krytyczne - 5 2 Wykryto możliwy atak XSS — mechanizm obsługi tagów HTML
941330 Krytyczne - 5 2 Filtry IE XSS — wykryto atak.
941340 Krytyczne - 5 2 Filtry IE XSS — wykryto atak.
941350 Krytyczne - 5 1 Kodowanie UTF-7 IE XSS — wykryto atak.
941360 Krytyczne - 5 1 JSFuck / Hieroglyphy obfuskacja wykryta
941370 Krytyczne - 5 1 Znaleziono zmienną globalną języka JavaScript
941380 Krytyczne - 5 2 Wykryto wstrzyknięcie szablonu po stronie klienta AngularJS

SQLI: iniekcja SQL

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
942100 Krytyczne - 5 1 Wykryto atak polegający na wstrzyknięciu kodu SQL za pośrednictwem libinjection
942110 Ostrzeżenie - 3 2 Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe testy iniekcji
942120 Krytyczne - 5 2 Atak polegający na SQL Injection: wykryto operatora SQL
942140 Krytyczne - 5 1 Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe nazwy baz danych
942150 Krytyczne - 5 2 Atak polegający na wstrzyknięciu kodu SQL (zastąpiony przez regułę #99031003)
942160 Krytyczne - 5 1 Wykrywa ślepe testy sqli przy użyciu funkcji sleep() lub benchmark().
942170 Krytyczne - 5 1 Wykrywa próby benchmarku SQL i iniekcji sleep, w tym w zapytaniach warunkowych
942180 Krytyczne - 5 2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 1/3
942190 Krytyczne - 5 1 Wykrywa wykonywanie kodu MSSQL i próby zbierania informacji
942200 Krytyczne - 5 2 Wykrywa wstrzyknięcia MySQL zaciemnione komentarzami i spacjami oraz zakończenie po backticku.
942210 Krytyczne - 5 2 Wykrywa łańcuchowe próby wstrzyknięcia kodu SQL 1/2
942220 Krytyczne - 5 1 Szukając ataków przepełnienia liczb całkowitych, te reguły pochodzą ze skipfisha, z tym że 3.0.00738585072007e-308 to „magiczna liczba” powodująca awarię.
942230 Krytyczne - 5 1 Wykrywa próby wstrzyknięcia warunkowego kodu SQL
942240 Krytyczne - 5 1 Wykrywa przełącznik znaków MySQL i próby msSQL DoS
942250 Krytyczne - 5 1 Wykrywa iniekcje MATCH AGAINST, MERGE i EXECUTE IMMEDIATE
942260 Krytyczne - 5 2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 2/3 (zastąpione przez regułę #99031004)
942270 Krytyczne - 5 1 Poszukiwanie podstawowego ataku typu wstrzyknięcie SQL. Typowy ciąg ataku dla baz danych MySQL, Oracle i innych.
942280 Krytyczne - 5 1 Wykrywa wstrzyknięcia pg_sleep w Postgres, ataki typu waitfor delay i próby zamknięcia bazy danych.
942290 Krytyczne - 5 1 Znajduje podstawowe próby wstrzyknięcia kodu SQL bazy danych MongoDB
942300 Krytyczne - 5 2 Wykrywa komentarze, warunki i wstrzyknięcia bazy danych MySQL (a)r
942310 Krytyczne - 5 2 Wykrywa łańcuchowe próby wstrzyknięcia kodu SQL 2/2
942320 Krytyczne - 5 1 Wykrywa procedury składowane/iniekcje funkcji MySQL i PostgreSQL
942330 Krytyczne - 5 2 Wykrywa klasyczne sondowania iniekcji SQL 1/3
942340 Krytyczne - 5 2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 3/3 (zastąpione przez regułę #99031006)
942350 Krytyczne - 5 1 Wykrywa iniekcję funkcji zdefiniowanej przez użytkownika (UDF) MySQL oraz inne próby manipulowania danymi lub strukturą.
942360 Krytyczne - 5 1 Wykrywa połączoną podstawową iniekcję SQL i próby SQLLFI
942361 Krytyczne - 5 2 Wykrywa podstawowe wstrzyknięcie SQL na bazie słów kluczowych ALTER lub UNION.
942370 Krytyczne - 5 2 Wykrywa klasyczne próby iniekcji SQL 2/3
942380 Krytyczne - 5 2 Atak polegający na wstrzyknięciu kodu SQL
942390 Krytyczne - 5 2 Atak polegający na wstrzyknięciu kodu SQL
942400 Krytyczne - 5 2 Atak polegający na wstrzyknięciu kodu SQL
942410 Krytyczne - 5 2 Atak polegający na wstrzyknięciu kodu SQL
942430 Ostrzeżenie - 3 2 Wykrywanie anomalii ograniczonego znaku SQL (args): liczba znaków specjalnych przekroczyła (12) (zastąpiona regułą #99031005)
942440 Krytyczne - 5 2 Wykryto sekwencję komentarzy SQL (zastąpioną regułą #99031002).
942450 Krytyczne - 5 2 Zidentyfikowano kodowanie szesnastkowe SQL
942470 Krytyczne - 5 2 Atak polegający na wstrzyknięciu kodu SQL
942480 Krytyczne - 5 2 Atak polegający na wstrzyknięciu kodu SQL
942500 Krytyczne - 5 1 Wykryto komentarz w wierszu bazy danych MySQL.
942510 Krytyczne - 5 2 Wykryto próbę obejścia SQLi przez znaczniki lub backticks.

Fiksacja sesji

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
943100 Krytyczne - 5 1 Możliwy atak naprawy sesji: ustawianie wartości plików cookie w kodzie HTML
943110 Krytyczne - 5 1 Możliwy atak polegający na utrwaleniu sesji: nazwa parametru SessionID z odniesieniem do odwołania z innej domeny
943120 Krytyczne - 5 1 Możliwy atak ustalenia sesji: nazwa parametru SessionID bez referera

ataki Java

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
944100 Krytyczne - 5 1 Zdalne wykonywanie poleceń: wykryto podejrzaną klasę Java
944110 Krytyczne - 5 1 Zdalne wykonywanie poleceń: Uruchomienie procesu Java (CVE-2017-9805)
944120 Krytyczne - 5 1 Zdalne wykonywanie poleceń: serializacja w Javie (CVE-2015-5842)
944130 Krytyczne - 5 1 Wykryto podejrzaną klasę Java
944200 Krytyczne - 5 2 Wykryto magiczne bajty, prawdopodobna serializacja Java w użyciu
944210 Krytyczne - 5 2 Wykryto bajty magiczne zakodowane w Base64, prawdopodobnie używana jest serializacja Java
944240 Krytyczne - 5 2 Zdalne wykonywanie poleceń: luka w zabezpieczeniach dotycząca serializacji Java i log4j (CVE-2021-44228, CVE-2021-45046)
944250 Krytyczne - 5 2 Zdalne wykonywanie poleceń: wykryto podejrzaną metodę Java

MS-ThreatIntel-WebShells

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
99005002 Krytyczne - 5 2 Próba interakcji z powłoką webową (POST)
99005003 Krytyczne - 5 2 Próba przesłania web shell (POST) — CHOPPER PHP
99005004 Krytyczne - 5 2 Próba przesłania powłoki WWW (POST) — CHOPPER ASPX
99005005 Krytyczne - 5 2 Próba interakcji z Web Shell
99005006 Krytyczne - 5 2 Próba interakcji z programem Spring4Shell

MS-ThreatIntel-AppSec

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
99030001 Krytyczne - 5 2 Unikanie przechodzenia przez ścieżkę w nagłówkach (/.././../)
99030002 Krytyczne - 5 2 Uchylanie się od przechodzenia ścieżki w treści żądania (/.. /./.. /)
99030003 Krytyczne - 5 2 Ścieżka pliku zakodowanego pod adresem URL
99030004 Krytyczne - 5 2 Brak kodowania brotli z przeglądarki obsługującej referer https.
99030005 Krytyczne - 5 2 Brak kodowania brotli w przeglądarce obsługującej HTTP/2
99030006 Krytyczne - 5 2 Niedozwolony znak w żądanej nazwie pliku

MS-ThreatIntel-SQLI

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
99031001 Ostrzeżenie - 3 2 Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe testy iniekcji (zastępując regułę nr 942110)
99031002 Krytyczne - 5 2 Wykryto sekwencję komentarzy SQL (zastępując regułę #942440).
99031003 Krytyczne - 5 2 Atak polegający na wstrzyknięciu kodu SQL (zastępowanie reguły #942150)
99031004 Krytyczne - 5 2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 2/3 (zastępując regułę #942260)
99031005 Ostrzeżenie - 3 2 Wykrywanie anomalii znaków zastrzeżonych SQL (args): przekroczono limit liczby znaków specjalnych (12) (zastępuje regułę #942430)
99031006 Krytyczne - 5 2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 3/3 (zastępując regułę #942340)

MS-ThreatIntel-CVEs

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
99001001 Krytyczne - 5 2 Próba wykorzystania interfejsu API REST F5 tmui (CVE-2020-5902) przy użyciu znanych poświadczeń
99001002 Krytyczne - 5 2 Podjęto próbę przejścia katalogu Citrix NSC_USER CVE-2019-19781
99001003 Krytyczne - 5 2 Podjęto próbę wykorzystania łącznika widżetu Atlassian Confluence CVE-2019-3396
99001004 Krytyczne - 5 2 Próba wykorzystania szablonu niestandardowego Pulse Secure CVE-2020-8243
99001005 Krytyczne - 5 2 Podjęto próbę wykorzystania konwertera typów SharePoint CVE-2020-0932
99001006 Krytyczne - 5 2 Próba przejścia przez katalog w Pulse Connect CVE-2019-11510
99001007 Krytyczne - 5 2 Podjęta próba włączenia lokalnego pliku w Junos OS J-Web CVE-2020-1631
99001008 Krytyczne - 5 2 Podjęto próbę ataku przez obejście ścieżki Fortinet CVE-2018-13379
99001009 Krytyczne - 5 2 Podjęcie próby wstrzyknięcia Apache Struts ognl CVE-2017-5638
99001010 Krytyczne - 5 2 Podjęto próbę wstrzyknięcia ognl w Apache Struts CVE-2017-12611
99001011 Krytyczne - 5 2 Podjęto próbę przejścia ścieżki Oracle WebLogic CVE-2020-14882
99001012 Krytyczne - 5 2 Podjęto próbę wykorzystania niezabezpieczonej deserializacji Telerik WebUI CVE-2019-18935
99001013 Krytyczne - 5 2 Podjęto próbę niezabezpieczonej deserializacji XML w SharePoint CVE-2019-0604
99001014 Krytyczne - 5 2 Podjęto próbę wstrzyknięcia wyrażenia routingu w Spring Cloud CVE-2022-22963
99001015 Krytyczne - 5 2 Podjęto próbę wykorzystania niebezpiecznych obiektów klasy Spring Framework CVE-2022-22965
99001016 Krytyczne - 5 2 Podjęto próbę wstrzyknięcia Actuator Spring Cloud Gateway CVE-2022-22947
99001017 Krytyczne - 5 2 Podjęto próbę wykorzystania przekazywania pliku w Apache Struts CVE-2023-50164
99001018 Krytyczne - 5 1 Podjęto próbę zdalnego wykonywania kodu programu React2Shell CVE-2025-55182
99001019 Krytyczne - 5 2 Próba zdalnego wykonania kodu WP2Shell CVE-2026-63030

MS-ThreatIntel-XSS

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
99032001 Krytyczne - 5 1 Filtr XSS — Kategoria 2: Wektor zarządzania zdarzeniami (zastępujący regułę nr 941120)
99032002 Krytyczne - 5 2 Możliwy atak zdalnego dołączania plików (RFI): Off-Domain odwołanie/łącze (zastępując regułę #931130)

Uwaga

Podczas przeglądania dzienników WAF-u może zostać wyświetlony identyfikator reguły 949110. Opis reguły może zawierać wynik anomalii dla ruchu przychodzącego przekroczony.

Ta reguła wskazuje, że łączny wynik anomalii dla żądania przekroczył maksymalny dozwolony wynik. Aby uzyskać więcej informacji, zobacz Anomaly scoring (Ocenianie anomalii).

Poniższe zakładki zawierają wcześniejsze wersje Core Rule Set. Jeśli używasz CRS 3.2, CRS 3.1, CRS 3.0 lub CRS 2.2.9, zaktualizuj do najnowszej wersji reguł DRS 2.2. Aby uzyskać więcej informacji, zobacz Uaktualnianie wersji zestawu reguł CRS lub DRS.

Zestawy reguł 3.2

Ogólne

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
200002 Krytyczne - 5 PL1 Nie można przeanalizować treści żądania
200003 Krytyczne - 5 PL1 Ścisła walidacja wieloczęściowej treści żądania
200004 Krytyczne - 5 PL1 Możliwy niedopasowany separator wieloczęściowy

Znane CVE

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
800100 Krytyczne - 5 Płyta PL2 Reguła pomagająca w wykrywaniu i eliminowaniu luki w zabezpieczeniach log4j CVE-2021-44228, CVE-2021-45046
800110 Krytyczne - 5 Płyta PL2 Próba interakcji ze Spring4Shell
800111 Krytyczne - 5 Płyta PL2 Podjęto próbę wstrzyknięcia wyrażenia routingu Spring Cloud — CVE-2022-22963
800112 Krytyczne - 5 Płyta PL2 Próba wykorzystania niebezpiecznych obiektów klas platformy Spring Framework — CVE-2022-22965
800113 Krytyczne - 5 Płyta PL2 Podjęto próbę wstrzyknięcia siłownika spring Cloud Gateway — CVE-2022-22947
800114* Krytyczne - 5 Płyta PL2 Próba wykorzystania luki podczas przesyłania pliku w Apache Struts — CVE-2023-50164
800115 Krytyczne - 5 PL1 Podjęto próbę zdalnego wykonywania kodu programu React2Shell CVE-2025-55182
800116 Krytyczne - 5 Płyta PL2 Próba zdalnego wykonania kodu WP2Shell CVE-2026-63030

* Ta reguła ma domyślnie ustawioną akcję na rejestrowanie. Ustaw akcję na Blokuj, aby zapobiec konkretnym lukom w zabezpieczeniach Apache Struts. Wynik Anomaly Score nie jest obsługiwany dla tej reguły.

ŻĄDANIE-911-METHOD-ENFORCEMENT

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
911100 Krytyczne - 5 PL1 Metoda nie jest dozwolona przez politykę

ŻĄDANIE-913-SCANNER-DETECTION

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
913100 Krytyczne - 5 PL1 Znaleziono agenta użytkownika skojarzonego ze skanerem zabezpieczeń
913101 Krytyczne - 5 Płyta PL2 Znaleziono User-Agent powiązany ze skryptami lub ogólnym klientem HTTP
913102 Krytyczne - 5 Płyta PL2 Znaleziono User-Agent powiązany z robotem indeksującym lub botem internetowym
913110 Krytyczne - 5 PL1 Znaleziono nagłówek żądania skojarzony ze skanerem zabezpieczeń
913120 Krytyczne - 5 PL1 Znaleziono nazwę pliku lub argument zażądania powiązany ze skanerem bezpieczeństwa

ŻĄDANIE-920-PROTOCOL-ENFORCEMENT

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
920100 Ostrzeżenie - 3 PL1 Nieprawidłowy wiersz żądania HTTP
920120 Krytyczne - 5 PL1 Podjęto próbę obejścia danych wieloczęściowych/formularzy
920121 Krytyczne - 5 Płyta PL2 Podjęto próbę obejścia danych wieloczęściowych/formularzy
920160 Krytyczne - 5 PL1 Nagłówek HTTP Content-Length nie jest numeryczny
920170 Krytyczne - 5 PL1 żądanie GET lub HEAD z treścią
920171 Krytyczne - 5 PL1 GET lub HEAD request za pomocą Transfer-Encoding
920180 Ostrzeżenie - 3 PL1 Nagłówek Content-Length jest brakujący w żądaniu POST.
920190 Ostrzeżenie - 3 PL1 Zakres: Nieprawidłowa wartość ostatniego bajtu
920200 Ostrzeżenie - 3 Płyta PL2 Zakres: zbyt wiele pól (co najmniej 6)
920201 Ostrzeżenie - 3 Płyta PL2 Zakres: Za dużo pól do zapytania PDF (35 lub więcej)
920210 Ostrzeżenie - 3 PL1 Znaleziono wiele/sprzeczne dane nagłówka połączenia
920220 Ostrzeżenie - 3 PL1 Próba ataku z wykorzystaniem kodowania URL
920230 Ostrzeżenie - 3 Płyta PL2 Wykryto wielokrotne kodowanie adresu URL
920240 Ostrzeżenie - 3 PL1 Próba ataku z wykorzystaniem kodowania URL
920250 Ostrzeżenie - 3 PL1 Próba ataku na nadużycie kodowania UTF8
920260 Ostrzeżenie - 3 PL1 Próba ataku polegającego na nadużyciu znaków Unicode o pełnej lub połówkowej szerokości
920270 Krytyczne - 5 PL1 Nieprawidłowy znak w żądaniu (znak null)
920271 Krytyczne - 5 Płyta PL2 Nieprawidłowy znak w żądaniu (znaki niedrukowalne)
920280 Ostrzeżenie - 3 PL1 W żądaniu brakuje nagłówka Host
920290 Ostrzeżenie - 3 PL1 Pusty nagłówek Host
920300 Uwaga - 2 Płyta PL2 W żądaniu brakuje nagłówka Accept
920310 Uwaga - 2 PL1 Request ma pusty nagłówek Accept
920311 Uwaga - 2 PL1 Request ma pusty nagłówek Accept
920320 Uwaga - 2 Płyta PL2 Brakujący nagłówek User-Agent
920330 Uwaga - 2 PL1 Pusty nagłówek User-Agent
920340 Uwaga - 2 PL1 Żądanie zawierające treść, ale brakuje nagłówka typu treści
920341 Krytyczne - 5 Płyta PL2 Żądanie zawierające zawartość wymaga nagłówka Content-Type
920350 Ostrzeżenie - 3 PL1 Nagłówek hosta jest numerycznym adresem IP
920420 Krytyczne - 5 PL1 Typ zawartości żądania nie jest dozwolony przez zasady
920430 Krytyczne - 5 PL1 Wersja protokołu HTTP nie jest dozwolona przez politykę
920440 Krytyczne - 5 PL1 Rozszerzenie pliku URL jest ograniczone przez politykę
920450 Krytyczne - 5 PL1 Nagłówek HTTP jest ograniczony przez zasady (%{MATCHED_VAR})
920470 Krytyczne - 5 PL1 Nagłówek niedozwolonego typu zawartości
920480 Krytyczne - 5 PL1 Ograniczanie parametru charset w nagłówku typu zawartości

ŻĄDANIE-921-PROTOCOL-ATTACK

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
921110 Krytyczne - 5 PL1 Atak przemytu żądań HTTP
921120 Krytyczne - 5 PL1 Atak dzielenia odpowiedzi HTTP
921130 Krytyczne - 5 PL1 Atak dzielenia odpowiedzi HTTP
921140 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem nagłówków
921150 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem ładunku (wykryto cr/LF)
921151 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem ładunku (wykryto cr/LF)
921160 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu nagłówka HTTP poprzez ładunek (wykryto CR/LF i nazwę nagłówka)

WNIOSEK-930-APLIKACJA-ATTACK-LFI

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
930100 Krytyczne - 5 PL1 Atak przechodzenia ścieżki (/.. /)
930110 Krytyczne - 5 PL1 Atak przechodzenia ścieżki (/.. /)
930120 Krytyczne - 5 PL1 Próba uzyskania dostępu do pliku systemu operacyjnego
930130 Krytyczne - 5 PL1 Próba dostępu do plików z ograniczeniami

WNIOSEK-931-APLIKACJA-ATTACK-RFI

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
931100 Krytyczne - 5 PL1 Możliwy atak zdalnego dołączania plików (RFI): parametr adresu URL przy użyciu adresu IP
931110 Krytyczne - 5 PL1 Możliwy atak zdalnego dołączania plików (RFI): typowa nazwa parametru podatnego na ataki RFI używana z ładunkiem URL
931120 Krytyczne - 5 PL1 Możliwy zdalny atak dołączania plików (RFI): ładunek URL użyty z końcowym znakiem zapytania (?)
931130 Krytyczne - 5 Płyta PL2 Możliwy atak zdalnego dołączania plików (RFI): odniesienie/łącze spoza domeny

WNIOSEK-932-APLIKACJA-ATTACK-RCE

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
932100 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Wstrzykiwanie poleceń w systemie Unix
932105 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Wstrzykiwanie poleceń w systemie Unix
932110 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: iniekcja poleceń Windows
932115 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: iniekcja poleceń Windows
932120 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono polecenie programu PowerShell Windows
932130 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: wyrażenie powłoki Unix, luka w Confluence (CVE-2022-26134) lub Text4Shell (CVE-2022-42889) wykryta
932140 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono polecenie Windows FOR/IF
932150 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: bezpośrednie wykonywanie poleceń systemu Unix
932160 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono kod powłoki systemu Unix
932170 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Shellshock (CVE-2014-6271)
932171 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Shellshock (CVE-2014-6271)
932180 Krytyczne - 5 PL1 Próba przesłania pliku objętego ograniczeniami

WNIOSEK-933-APLIKACJA-ATTACK-PHP

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
933100 Krytyczne - 5 PL1 Atak typu wstrzyknięcia PHP: znaleziono znacznik otwierający lub zamykający
933110 Krytyczne - 5 PL1 Atak na wtrysk PHP: Znaleziono przesłanie pliku skryptu PHP
933120 Krytyczne - 5 PL1 Atak wtryskowy PHP: Znaleziono dyrektywę konfiguracyjną
933130 Krytyczne - 5 PL1 Atak z wtryskiem PHP: Znaleziono zmienne
933140 Krytyczne - 5 PL1 Atak na wtrysk PHP: Znaleziono strumień I/O
933150 Krytyczne - 5 PL1 Atak wtryskowy PHP: Znaleziono nazwę funkcji PHP o wysokim ryzyku
933151 Krytyczne - 5 Płyta PL2 Atak wstrzyknięcia PHP: Wykryto nazwę funkcji PHP o średnim poziomie ryzyka
933160 Krytyczne - 5 PL1 Atak wtryskowy PHP: Znaleziono wywołanie funkcji PHP o wysokim ryzyku
933170 Krytyczne - 5 PL1 Atak wstrzyknięcia PHP: wstrzyknięcie serializowanego obiektu
933180 Krytyczne - 5 PL1 Atak z wtryskiem PHP: Znaleziono wywołanie funkcji zmiennej
933200 Krytyczne - 5 PL1 Atak typu PHP Injection: wykryto schemat opakowania
933210 Krytyczne - 5 PL1 Atak z wtryskiem PHP: Znaleziono wywołanie funkcji zmiennej

WNIOSEK-941-APLIKACJA-ATTACK-XSS

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
941100 Krytyczne - 5 PL1 Wykryto atak XSS za pośrednictwem libinjection
941101 Krytyczne - 5 Płyta PL2 Atak XSS wykryty za pośrednictwem libinjection
Ta reguła wykrywa żądania z nagłówkiem Referer
941110 Krytyczne - 5 PL1 Filtr XSS — kategoria 1: wektor tagu skryptu
941120 Krytyczne - 5 PL1 Filtr XSS — kategoria 2: wektor obsługi zdarzeń (event handler)
941130 Krytyczne - 5 PL1 Filtr XSS — kategoria 3: wektor atrybutu
941140 Krytyczne - 5 PL1 Filtr XSS — kategoria 4: wektor URI JavaScript
941150 Krytyczne - 5 Płyta PL2 Filtr XSS — kategoria 5: niedozwolone atrybuty HTML
941160 Krytyczne - 5 PL1 NoScript XSS InjectionChecker: wstrzykiwanie kodu HTML
941170 Krytyczne - 5 PL1 NoScript XSS InjectionChecker: Iniekcja atrybutów
941180 Krytyczne - 5 PL1 Słowa kluczowe czarnej listy validatora węzła
941190 Krytyczne - 5 PL1 XSS z wykorzystaniem arkuszy stylów
941200 Krytyczne - 5 PL1 XSS z ramkami VML
941210 Krytyczne - 5 PL1 XSS używający zaciemnionego kodu JavaScript lub text4Shell (CVE-2022-42889)
941220 Krytyczne - 5 PL1 XSS z użyciem zaciemnionego VBScriptu
941230 Krytyczne - 5 PL1 XSS przy użyciu tagu "embed"
941240 Krytyczne - 5 PL1 XSS używający atrybutu "import" lub "implementation"
941250 Krytyczne - 5 PL1 Filtry XSS IE — wykryto atak
941260 Krytyczne - 5 PL1 XSS używający tagu "meta"
941270 Krytyczne - 5 PL1 XSS przy użyciu elementu href "link"
941280 Krytyczne - 5 PL1 XSS używający tagu "base"
941290 Krytyczne - 5 PL1 XSS przy użyciu znacznika 'applet'
941300 Krytyczne - 5 PL1 XSS przy użyciu tagu "object"
941310 Krytyczne - 5 PL1 Nieprawidłowe kodowanie US-ASCII w filtrze XSS — wykryto atak
941320 Krytyczne - 5 Płyta PL2 Wykryto możliwy atak XSS — mechanizm obsługi tagów HTML
941330 Krytyczne - 5 Płyta PL2 Filtry XSS IE — wykryto atak
941340 Krytyczne - 5 Płyta PL2 Filtry XSS IE — wykryto atak
941350 Krytyczne - 5 PL1 Wykryto atak typu XSS z użyciem kodowania UTF-7 i przeglądarki IE
941360 Krytyczne - 5 PL1 Wykryto zaciemnianie kodu JavaScript

WNIOSEK-942-APLIKACJA-ATTACK-SQLI

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
942100 Krytyczne - 5 PL1 Wykryto atak polegający na wstrzyknięciu kodu SQL za pośrednictwem libinjection
942110 Ostrzeżenie - 3 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe testy iniekcji
942120 Krytyczne - 5 Płyta PL2 Atak polegający na SQL Injection: wykryto operatora SQL
942130 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL: wykryto tautologię SQL
942140 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe nazwy baz danych
942150 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942160 Krytyczne - 5 PL1 Wykrywa ślepe testy sqli za pomocą sleep() lub benchmark()
942170 Krytyczne - 5 PL1 Wykrywa próby benchmarku SQL i iniekcji sleep, w tym w zapytaniach warunkowych
942180 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 1/3
942190 Krytyczne - 5 PL1 Wykrywa wykonywanie kodu MSSQL i próby zbierania informacji
942200 Krytyczne - 5 Płyta PL2 Wykrywa wstrzyknięcia MySQL zaciemnione komentarzami i spacjami oraz zakończenie po backticku.
942210 Krytyczne - 5 Płyta PL2 Wykrywa łańcuchowe próby wstrzyknięcia kodu SQL 1/2
942220 Krytyczne - 5 PL1 Szukanie ataków na przepełnienie liczb całkowitych, które pochodzą ze skipfish, z wyjątkiem liczby 3,0.00738585072007e-308 będącej "magiczną liczbą" powodującą awarię.
942230 Krytyczne - 5 PL1 Wykrywa próby wstrzyknięcia warunkowego kodu SQL
942240 Krytyczne - 5 PL1 Wykrywa przełącznik znaków MySQL i próby msSQL DoS
942250 Krytyczne - 5 PL1 Wykrywa wstrzyknięcia MATCH AGAINST, MERGE i EXECUTE IMMEDIATE
942260 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 2/3
942270 Krytyczne - 5 PL1 Poszukiwanie podstawowego ataku typu wstrzyknięcie SQL. Typowy ciąg ataku dla MySQL, Oracle i innych
942280 Krytyczne - 5 PL1 Wykrywa wstrzyknięcia pg_sleep w Postgres, ataki typu waitfor delay i próby zamknięcia bazy danych.
942290 Krytyczne - 5 PL1 Znajduje podstawowe próby wstrzyknięcia kodu SQL bazy danych MongoDB
942300 Krytyczne - 5 Płyta PL2 Wykrywa komentarze, warunki i wstrzyknięcia ch(a)r w MySQL.
942310 Krytyczne - 5 Płyta PL2 Wykrywa łańcuchowe próby wstrzyknięcia kodu SQL 2/2
942320 Krytyczne - 5 PL1 Wykrywa procedury składowane/iniekcje funkcji MySQL i PostgreSQL
942330 Krytyczne - 5 Płyta PL2 Wykrywa klasyczne próby iniekcji SQL 1/2
942340 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 3/3
942350 Krytyczne - 5 PL1 Wykrywa iniekcję funkcji zdefiniowanej przez użytkownika (UDF) MySQL oraz inne próby manipulowania danymi lub strukturą.
942360 Krytyczne - 5 PL1 Wykrywa połączoną podstawową iniekcję SQL i próby SQLLFI
942361 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe wstrzyknięcie SQL na bazie słów kluczowych ALTER lub UNION.
942370 Krytyczne - 5 Płyta PL2 Wykrywa klasyczne próby iniekcji SQL 2/2
942380 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942390 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942400 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942410 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942430 Ostrzeżenie - 3 Płyta PL2 Wykrywanie anomalii ograniczonych znaków SQL (args): liczba znaków specjalnych przekroczyła 12
942440 Krytyczne - 5 Płyta PL2 Wykryto sekwencję komentarzy SQL
942450 Krytyczne - 5 Płyta PL2 Zidentyfikowano kodowanie szesnastkowe SQL
942470 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942480 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942500 Krytyczne - 5 PL1 Wykryto komentarz w wierszu MySQL

żądanie-943-atak-na aplikację-SESSION-FIXATION

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
943100 Krytyczne - 5 PL1 Możliwy atak naprawy sesji: ustawianie wartości plików cookie w kodzie HTML
943110 Krytyczne - 5 PL1 Możliwy atak polegający na utrwaleniu sesji: nazwa parametru SessionID z odniesieniem do odwołania z innej domeny
943120 Krytyczne - 5 PL1 Możliwy atak ustalenia sesji: nazwa parametru SessionID bez referera

WNIOSEK-944-APLIKACJA-ATTACK-JAVA

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
944100 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Apache Struts, Oracle WebLogic
944110 Krytyczne - 5 PL1 Wykrywa potencjalne wykonanie ładunku
944120 Krytyczne - 5 PL1 Możliwe wykonanie ładunku zadaniowego i zdalne wykonywanie komend
944130 Krytyczne - 5 PL1 Podejrzane klasy Java
944200 Krytyczne - 5 Płyta PL2 Wykorzystanie deserializacji Java Apache Commons
944210 Krytyczne - 5 Płyta PL2 Możliwe użycie serializacji Java
944240 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: serializacja Java
944250 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: wykryto podejrzaną metodę Java

Zasady nieaktywne

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
920202 Ostrzeżenie - 3 PL4 (Reguła nieaktywna, należy ją ignorować) Zakres: Za dużo pól do zapytania PDF (6 lub więcej)
920272 Krytyczne - 5 Płyta PL3 (Reguła nieaktywna, należy ją ignorować) Nieprawidłowy znak w żądaniu (poza drukowanymi znakami poniżej ASCII 127)
920273 Krytyczne - 5 PL4 (Nieaktywna reguła, powinna być ignorowana) Nieprawidłowy znak w żądaniu (poza bardzo ścisłym zestawem)
920274 Krytyczne - 5 PL4 (Nieaktywna reguła, powinna być ignorowana) Nieprawidłowy znak w nagłówkach żądań (poza bardzo ścisłym zestawem)
920460 Krytyczne - 5 PL4 (Nieaktywna reguła, powinna być ignorowana) Nietypowe znaki ucieczki
921170 N/A Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Zanieczyszczenie parametrem HTTP
921180 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Zanieczyszczenie parametrem HTTP (%{TX.1})
932106 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Zdalne wykonywanie poleceń: wstrzykiwanie poleceń systemu Unix
932190 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Zdalne wykonywanie poleceń: próba obejścia techniki symboli wieloznacznych
933111 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Atak polegający na wstrzyknięciu kodu PHP: znaleziono plik skryptu PHP
933131 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Atak polegający na wstrzyknięciu PHP: znaleziono zmienne
933161 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Atak polegający na wstrzyknięciu PHP: znaleziono wywołanie funkcji PHP Low-Value
933190 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Atak polegający na wstrzyknięciu PHP: znaleziono tag zamykający PHP
942251 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Wykrywa wstrzyknięcia
942420 Ostrzeżenie - 3 Płyta PL3 (Reguła nieaktywna, należy ją ignorować) Ograniczone wykrywanie anomalii znaków SQL (cookies): liczba przekroczonych znaków specjalnych (8)
942421 Ostrzeżenie - 3 PL4 (Reguła nieaktywna, należy ją ignorować) Ograniczone wykrywanie anomalii znaków SQL (cookies): liczba przekroczonych znaków specjalnych (3)
942431 Ostrzeżenie - 3 Płyta PL3 (Reguła nieaktywna, należy ją ignorować) Ograniczone wykrywanie anomalii znaków SQL (args): liczba przekroczonych znaków specjalnych (6)
942432 Ostrzeżenie - 3 PL4 (Reguła nieaktywna, należy ją ignorować) Ograniczone wykrywanie anomalii znaków SQL (args): liczba przekroczonych znaków specjalnych (2)
942460 Ostrzeżenie - 3 Płyta PL3 (Reguła nieaktywna, powinna być ignorowana) Alert wykrywania anomalii metaznaków — powtarzające się znaki niebędące słowami
942490 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Wykrywa klasyczną iniekcję SQL 3/3

Treści powiązane

  • Ostatnia aktualizacja o