Web 应用程序防火墙 DRS 规则组和规则

Azure Front Door 上的 Azure Web 应用程序防火墙可保护 Web 应用程序免受常见漏洞和攻击影响。 Azure 托管的规则集可轻松针对一组常见的安全威胁来部署保护。 由于规则集由 Azure 管理，因此这些规则会根据需要进行更新以防范新的攻击签名。

默认规则集 (DRS) 还包含由 Microsoft 情报团队合作编写的 Microsoft 威胁情报收集规则，可以提供更大的覆盖范围、针对特定漏洞的补丁，并更好地减少误报。

默认规则集

Azure 托管的 DRS 包含针对以下威胁类别的规则：

• 跨站点脚本
• Java 攻击
• 本地文件包含
• PHP 注入攻击
• 远程命令执行
• 远程文件包含
• 会话固定
• SQL 注入保护
• 协议攻击者

将新的攻击签名添加到规则集时，DRS 的版本号将递增。

DRS 在 WAF 策略的检测模式下默认启用。 可以禁用或启用 DRS 内的各个规则以满足应用程序要求。 还可以根据规则设置特定操作。 可采取的操作包括允许、阻止、记录和重定向。

有时你可能需要忽略 Web 应用程序防火墙 (WAF) 评估中的某些请求属性。 一个常见的例子是用于身份验证的 Active Directory 插入令牌。 可以为托管规则、规则组或整个规则集配置排除列表。 有关详细信息，请参阅 Azure Front Door 上的 Web 应用程序防火墙排除列表。

默认情况下，当请求与规则匹配时，DRS 2.0 及更高版本会使用异常评分。 早于 2.0 的 DRS 版本会阻止触发规则的请求。 此外，如果想要绕过 DRS 中的任何预配置规则，可以在同一 WAF 策略中配置自定义规则。

在评估 DRS 中的规则之前，自定义规则始终适用。 如果请求与某个自定义规则相匹配，将应用相应的规则操作。 请求将被阻止，或通过后端传递。 不会处理任何其他自定义规则或 DRS 中的规则。 还可以从 WAF 策略中删除 DRS。

Microsoft 威胁情报收集规则

Microsoft 威胁情报收集规则由 Microsoft 威胁情报团队合作编写，以提供更高的覆盖范围、针对特定漏洞的补丁，并更好地减少误报。

默认情况下，Microsoft 威胁情报收集规则会替换部分内置 DRS 规则，导致它们被禁用。 例如，规则 ID 942440“检测到 SQL 注释序列”已被禁用，并被 Microsoft 威胁情报收集规则 99031002 取代。 替换的规则可降低合法请求的误报检测的风险。

异常评分

使用 DRS 2.0 或更高版本时，WAF 使用异常评分。 即使 WAF 处于防护模式，符合任何规则的流量也不会被立即阻止。 相反，OWASP 规则集会为每个规则定义严重性：“严重”、“错误”、“警告”或“通知”。 这些严重性会影响请求的数值，该数值称为异常分数。 如果请求累积的异常分数为 5 或更高，则 WAF 会对该请求执行操作。

配置 WAF 时，可以决定 WAF 如何处理超过异常分数阈值 5 的请求。 三个异常分数操作选项是阻止、记录或重定向。 配置时选择的异常分数操作将应用于超过异常分数阈值的所有请求。

例如，如果请求的异常分数为 5 或更高，WAF 处于“预防”模式，且异常分数操作设置为“阻止”，则会阻止该请求。 如果请求的异常分数为 5 或更高，并且 WAF 处于“检测”模式，则会记录请求，但不会阻止请求。

在预防模式下，若异常分数操作设置为“阻止”，一个“严重”规则匹配就足以让 WAF 阻止请求，因为总体异常分数为 5。 然而，一个“警告”规则匹配仅会使异常得分增加3分，这本身还不足以阻止流量。 触发异常规则时，它会在日志中显示“匹配”操作。 如果异常分数为 5 或更高，则会触发一个单独的规则，其中包含为规则集配置的异常分数操作。 默认异常分数操作为“阻止”，这会生成包含 blocked 操作的日志条目。

当 WAF 使用早期版本的默认规则集（低于 DRS 2.0 的版本）时，WAF 以传统模式运行。 与任何规则匹配的流量被视为独立于任何其他规则匹配。 在传统模式下，无法查看与特定请求匹配的完整规则集。

所用 DRS 版本还会确定请求正文检查支持哪些内容类型。 有关更多信息，请参阅常见问题中的 WAF 支持哪些内容类型 。

偏执狂级别

每条规则都分配在特定的偏执狂级别 （PL） 中。 在 Paranoia 级别 1 (PL1) 中配置的规则不太激进，并且几乎从不会触发误报。 它们提供基础安全性，几乎不需要进行微调。 PL2 中的规则会检测到更多攻击，但预期会触发误报，应对其进行微调。

默认情况下，DRS 2.2 在 Paranoia 级别 1（PL1）配置，并且禁用所有 PL2 规则。 若要在 PL2 中运行 WAF，可以手动启用任何或所有 PL2 规则。 对于早期的规则集，DRS 2.1 和 CRS 3.2 包括为 Paranoia 级别 2 定义的规则，其中包括 PL1 和 PL2 规则。 如果希望严格在 PL1 范围内操作，可以禁用特定的 PL2 规则或将其动作设置为“日志”。

Azure WAF 目前不支持 Paranoia 级别 3 和 4。

升级或更改规则集版本

如果要升级或分配新的规则集版本，并且想要保留现有规则替代和排除项，建议使用 PowerShell、CLI、REST API 或模板进行规则集版本更改。 规则集的新版本可以有更新的规则、附加规则组，并可能对现有签名进行更新，以强制实施更好的安全性并减少误报。 建议验证测试环境中的更改，根据需要微调，然后在生产环境中部署。

DRS 2.2

DRS 2.2 规则提供比早期版本的 DRS 更好的保护。 它包括 Microsoft 威胁情报团队开发的其他规则和签名更新，因此可以减少误报。 它还支持 URL 解码以外的转换。

DRS 2.2 包括 18 个规则组，如下表所示。 每个组包含多个规则，你可以自定义各个规则、规则组或整个规则集的行为。 DRS 2.2 基于开放 Web 应用程序安全项目（OWASP）核心规则集（CRS）3.3.4 进行基线，并包括由Microsoft威胁情报团队开发的其他专有保护规则。

禁用的规则

默认情况下禁用在 Paranoia 级别 2 中配置的 DRS 2.2 规则。 如果要在 Paranoia 级别 1 中配置 WAF 策略，则可以将其状态保留为禁用状态。 如果想要提高策略的偏执狂级别，可以安全地将这些规则的状态更改为启用，并将其操作更改为日志模式。 分析日志，进行所需的微调，并相应地启用规则。 有关详细信息，请参阅 优化 Azure Front Door 的 Web 应用程序防火墙（WAF） 和 Paranoia 级别。

某些 OWASP 规则被 Microsoft 编写的替代品取代。 默认情况下禁用原始规则，其说明以“（替换为 ...）”结尾。

DRS 2.1

DRS 2.1 规则可以比早期版本的 DRS 提供更好的保护。 它包括 Microsoft 威胁情报团队开发的其他规则和签名更新，因此可以减少误报。 它还支持 URL 解码以外的转换。

DRS 2.1 包括下表中所示的 17 个规则组。 每个组包含多个规则，你可以自定义各个规则、规则组或整个规则集的行为。 DRS 2.1 以 Open Web Application Security Project (OWASP) 核心规则集 (CRS) 3.3.2 为基准，包含由 Microsoft 威胁情报团队制定的其他专有保护规则。

有关详细信息，请参阅优化 Azure Front Door 的 Web 应用程序防火墙 (WAF)。

禁用的规则

对于 DRS 2.1，默认情况下会禁用下列规则。

DRS 2.0

DRS 2.0 规则能比早期版本的 DRS 提供更好的保护。 DRS 2.0 还支持 URL 解码以外的转换。

DRS 2.0 包含下表中所示的 17 个规则组。 每个组可包含多个规则。 可以禁用单个规则和整个规则组。

DRS 1.1

数据迁移服务 1.0

机器人管理器 1.0

Bot Manager 1.0 规则集可防范恶意机器人并检测出善意机器人。 这些规则通过将机器人流量划分为“善意”、“恶意”或“未知”机器人，对 WAF 检测到的机器人进行精细控制。

机器人管理器 1.1

Bot Manager 1.1 规则集是 Bot Manager 1.0 规则集的增强版。 它增强了对恶意机器人的防范，并增加了善意机器人检测。

使用 Azure Front Door 上的 Azure Web 应用程序防火墙时，可以使用以下规则组和规则。

相关内容

• Azure Front Door 上的 Azure Web 应用程序防火墙的自定义规则
• Azure Front Door 中 Web 应用程序防火墙的策略设置
• 详细了解 Azure 网络安全