Anteckning
Åtkomst till den här sidan kräver auktorisering. Du kan prova att logga in eller ändra kataloger.
Åtkomst till den här sidan kräver auktorisering. Du kan prova att ändra kataloger.
Den Azure-hanterade standardregeluppsättningen (DRS) i Application Gateway:s webbapplikationsbrandvägg (WAF) skyddar aktivt webbapplikationer från vanliga sårbarheter och attacker. Dessa regeluppsättningar, som hanteras av Azure, tar emot uppdateringar efter behov för att skydda mot nya attacksignaturer. Standardregeluppsättningen innehåller även Microsoft Threat Intelligence Collection-reglerna. Microsoft Intelligence-teamet samarbetar med att skriva dessa regler, säkerställa förbättrad täckning, specifika sårbarhetskorrigeringar och förbättrad falsk positiv minskning.
Du kan inaktivera regler individuellt eller ange specifika åtgärder för varje regel. I den här artikeln visas de aktuella regler och regeluppsättningar som är tillgängliga. Om en publicerad regeluppsättning kräver en uppdatering dokumenterar vi den här.
Kommentar
När du ändrar en regeluppsättningsversion i en WAF-policy bör du vidarebefordra din befintliga åtgärd och tillstånds åsidosättningar samt undantag som ska tillämpas på den nya regeluppsättningsversionen. Mer information finns i Uppgradera eller ändra regeluppsättningsversion.
Standardregeluppsättning 2.1
Standardregeluppsättningen (DRS) 2.1 har baslinje från Open Web Application Security Project (OWASP) Core Rule Set (CRS) 3.3.2 och innehåller ytterligare proprietära skyddsregler som utvecklats av Microsoft Threat Intelligence-teamet och uppdateringar av signaturer för att minska falska positiva identifieringar. Den stöder även transformeringar utöver bara URL-avkodning.
DRS 2.1 erbjuder en ny motor och nya regeluppsättningar som skyddar mot Java-inmatningar, en första uppsättning filuppladdningskontroller och färre falska positiva identifieringar jämfört med CRS-versioner. Du kan också anpassa regler efter dina behov. Läs mer om den nya Azure WAF-motorn.
DRS 2.1 innehåller 17 regelgrupper, enligt följande tabell. Varje grupp innehåller flera regler och du kan anpassa beteendet för enskilda regler, regelgrupper eller hela regeluppsättningar.
| Hottyp | Namn på regelgrupp |
|---|---|
| Allmänt | Allmänt |
| Låsningsmetoder (PUT, PATCH) | METODFRAMTVINGANDE |
| Problem med protokoll och kodning | PROTOKOLLTILLÄMPNING |
| Rubrikinmatning, smuggling av begäranden och delning av svar | PROTOKOLL-ATTACK |
| Fil- och sökvägsattacker | LFI |
| Attacker genom fjärrinlämning av filer (RFI) | RFI |
| Attacker med fjärrexekvering av kod | RCE |
| PHP-injektionsattacker | PHP |
| Node JS-attacker | NodeJS |
| Skriptattacker mellan webbplatser | XSS |
| SQL-inmatningsattacker | SQLI |
| Sessionskorrigeringsattacker | SESSION FIXERING |
| JAVA-attacker | SESSION-JAVA |
| Webbskalattack (MS) | MS-ThreatIntel-WebShells |
| AppSec-attacker (MS) | MS-ThreatIntel-AppSec |
| SQL-injektionsattacker (MS) | MS-ThreatIntel-SQLI |
| CVE-attacker (MS) | MS-ThreatIntel-CVEs |
Finjusteringsvägledning för DRS 2.1
Använd följande vägledning för att finjustera WAF när du kommer igång med DRS 2.1 på Application Gateway WAF:
| Regel-ID | Regelgrupp | beskrivning | Rekommendation |
|---|---|---|---|
| 942110 | SQLI (SQLI) | SQL-inmatningsattack: Vanliga inmatningstester har identifierats | Inaktivera regel 942110, ersatt av MSTIC-regel 99031001 |
| 942150 | SQLI (SQLI) | SQL-injektionsattack | Inaktivera regel 942150, ersatt av MSTIC-regel 99031003 |
| 942260 | SQLI (SQLI) | Identifierar grundläggande försök att kringgå SQL-autentisering 2/3 | Inaktivera regel 942260, ersatt av MSTIC-regel 99031004 |
| 942430 | SQLI (SQLI) | Begränsad SQL-teckenavvikelseidentifiering (args): antal specialtecken som överskridits (12) | Inaktivera regel 942430 eftersom den utlöser för många falska positiva. |
| 942440 | SQLI (SQLI) | SQL-kommentarssekvens identifierad | Inaktivera regel 942440, ersatt av MSTIC-regel 99031002 |
| 99005006 | MS-ThreatIntel-WebShells | Spring4Shell-interaktionsförsök | Behåll regeln aktiverad för att förhindra SpringShell-sårbarhet |
| 99001014 | MS-ThreatIntel-CVEs | Försök till Spring Cloud routing-expression injection CVE-2022-22963 | Behåll regeln aktiverad för att förhindra SpringShell-sårbarhet |
| 99001015 | MS-ThreatIntel-CVEs | Försök till osäker klassobjektsexploatering i Spring Framework CVE-2022-22965 | Behåll regeln aktiverad för att förhindra SpringShell-sårbarhet |
| 99001016 | MS-ThreatIntel-CVEs | Försökt injektion av Spring Cloud Gateway-aktuator CVE-2022-22947 | Behåll regeln aktiverad för att förhindra SpringShell-sårbarhet |
| 99001017 | MS-ThreatIntel-CVEs | Försök till Apache Struts-filuppladdningsexploatering CVE-2023-50164 | Ställ in åtgärden på Blockera för att förhindra säkerhetsproblem med Apache Struts. Avvikelsepoäng stöds inte för den här regeln |
Grundläggande regeluppsättningar (CRS) – äldre
Den rekommenderade hanterade regeluppsättningen är standardregeluppsättningen 2.1, som är baserad på Open Web Application Security Project (OWASP) Core Rule Set (CRS) 3.3.2 och innehåller ytterligare skyddsregler som utvecklats av Microsoft Threat Intelligence-teamet och uppdateringar av signaturer för att minska falska positiva resultat. När du skapar en ny WAF-princip bör du använda den senaste rekommenderade regeluppsättningsversionen DRS 2.1. Om du har en befintlig WAF-princip med CRS 3.2 eller CRS 3.1 rekommenderar vi att du uppgraderar till DRS 2.1. Mer information finns i Uppgradera versionen av CRS- eller DRS-regeluppsättningen.
Kommentar
CRS 3.2 är endast tillgängligt på WAF_v2 SKU. Du kan inte nedgradera från CRS 3.2 till CRS 3.1 eller tidigare eftersom CRS 3.2 körs på den nya Azure WAF-motorn. Vi rekommenderar att du uppgraderar till den senaste DRS 2.1 direkt och verifierar nya regler på ett säkert sätt genom att ändra de nya reglernas åtgärd till loggläge. Mer information finns i Verifiera nya regler på ett säkert sätt.
Webbapplikationsbrandvägg (WAF) som körs på applikationsgateway för containers stöder inte CRS (Core Ruleset).
Justering av hanterade regeluppsättningar
Både DRS och CRS är aktiverade som standard i identifieringsläge i dina WAF-principer. Du kan inaktivera eller aktivera enskilda regler i den hanterade regeluppsättningen för att uppfylla dina programkrav. Du kan också ange specifika åtgärder per regel. DRS/CRS stöder block-, logg- och avvikelsepoängsåtgärder. Bot Manager-regeluppsättningen stöder åtgärderna tillåt, blockera och logga.
Ibland kan du behöva utelämna vissa begärandeattribut från en WAF-utvärdering. Ett vanligt exempel är Active Directory-infogade token som används för autentisering. Du kan konfigurera undantag som ska tillämpas när specifika WAF-regler utvärderas eller för att tillämpas globalt på utvärderingen av alla WAF-regler. Undantagsregler gäller för hela webbapplikationen. Mer information finns i Brandvägg för webbaserade program (WAF) med Undantagslistor för Application Gateway.
Som standard använder Azure WAF avvikelsebedömning när en begäran matchar en regel. Dessutom kan du konfigurera anpassade regler i samma WAF-princip om du vill kringgå någon av de förkonfigurerade reglerna i Core Rule Set.
Anpassade regler tillämpas alltid innan regler i Core Rule Set utvärderas. Om en begäran matchar en anpassad regel tillämpas motsvarande regelåtgärd. Begäran blockeras eller skickas till serverdelen. Inga andra anpassade regler eller reglerna i kärnregeluppsättningen bearbetas.
Avvikelsebedömning
När du använder CRS eller DRS 2.1 och senare är din WAF konfigurerad att använda avvikelsebedömning som standard. Trafik som matchar alla regler blockeras inte omedelbart, även när din WAF är i förebyggande läge. I stället definierar OWASP-regeluppsättningarna en allvarlighetsgrad för varje regel: Kritisk, Fel, Varning eller Meddelande. Allvarlighetsgraden påverkar ett numeriskt värde för begäran, som kallas avvikelsepoäng:
| Allvarlighetsgrad för regel | Värde som har bidragit till avvikelsepoäng |
|---|---|
| Kritiskt | 5 |
| Fel | 4 |
| Varning | 3 |
| Meddelande | 2 |
Om avvikelsepoängen är 5 eller högre och WAF är i förebyggande läge blockeras begäran. Om avvikelsepoängen är 5 eller högre och WAF är i identifieringsläge loggas begäran men blockeras inte.
En enda kritisk regelmatchning räcker till exempel för att WAF ska blockera en begäran när den är i förebyggande läge, eftersom den övergripande avvikelsepoängen är 5. En varningsregelmatchning ökar dock bara avvikelsepoängen med 3, vilket inte räcker för att blockera trafiken. När en avvikelseregel utlöses visas en "matchad" åtgärd i loggarna. Om avvikelsepoängen är 5 eller högre utlöses en separat regel med åtgärden Blockerad eller Identifierad, beroende på om WAF-principen är i förebyggande eller identifieringsläge. Mer information finns i Läge för avvikelsebedömning.
Paranoianivå
Varje regel tilldelas en specifik Paranoia-nivå (PL). Regler som konfigurerats i Paranoia Level 1 (PL1) är mindre aggressiva och utlöser nästan aldrig en falsk positiv identifiering. De ger baslinjesäkerhet med minimalt behov av finjustering. Regler i PL2 identifierar fler attacker, men de förväntas utlösa falskt positiva larm som bör finjusteras.
Som standard är DRS 2.1- och CRS 3.2-regelversioner förkonfigurerade i Paranoia-nivå 2, inklusive regler som tilldelats i både PL1 och PL2. Om du vill använda WAF exklusivt med PL1 kan du inaktivera alla PL2-regler eller ändra deras åtgärd till "log". PL3 och PL4 stöds för närvarande inte i Azure WAF.
Kommentar
CRS 3.2-regeluppsättningen innehåller regler i PL3 och PL4, men dessa regler är alltid inaktiva och kan inte aktiveras, oavsett deras konfigurerade tillstånd eller åtgärd.
Uppgradera eller ändra regelversion
Om du uppgraderar eller tilldelar en ny regeluppsättningsversion och vill bevara befintliga regel åsidosättningar och undantag rekommenderar vi att du använder PowerShell, CLI, REST API eller en mall för att göra regeluppsättningsversionsändringar. En ny version av en regeluppsättning kan ha nyare regler eller ytterligare regelgrupper, som du kanske vill verifiera på ett säkert sätt. Vi rekommenderar att du verifierar ändringar i en testmiljö, finjusterar om det behövs och sedan distribuerar i en produktionsmiljö. Mer information finns i Uppgradera versionen av CRS- eller DRS-regeluppsättningen
Om du använder Azure-portalen för att tilldela en ny hanterad regeluppsättning till en WAF-princip återställs alla tidigare anpassningar från den befintliga hanterade regeluppsättningen, till exempel regeltillstånd, regelåtgärder och undantag på regelnivå till standardinställningarna för den nya hanterade regeluppsättningen. Anpassade regler, principinställningar och globala undantag påverkas dock inte under tilldelningen av den nya regeluppsättningen. Du måste omdefiniera överskrivningar av regler och validera ändringar innan du distribuerar i en produktionsmiljö.
Bot Manager 1,0
Bot Manager 1.0-regeluppsättningen ger skydd mot skadliga robotar och identifiering av bra robotar. Reglerna ger detaljerad kontroll över robotar som identifierats av WAF genom att kategorisera robottrafik som bra, dåliga eller okända robotar.
| Regelgrupp | beskrivning |
|---|---|
| BadBots | Skydda mot dåliga robotar |
| GoodBots | Identifiera bra robotar |
| UnknownBots | Identifiera okända robotar |
Bot Manager 1,1
Bot Manager 1.1-regeluppsättningen är en förbättring av Bot Manager 1.0-regeluppsättningen. Det ger förbättrat skydd mot skadliga robotar och ökar bra robotidentifiering.
| Regelgrupp | beskrivning |
|---|---|
| BadBots | Skydda mot dåliga robotar |
| GoodBots | Identifiera bra robotar |
| UnknownBots | Identifiera okända robotar |
Följande regelgrupper och regler är tillgängliga när du använder Brandvägg för webbprogram på Application Gateway.
2.1-regeluppsättningar
Allmänt
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 200002 | Kritisk – 5 | PL1 | Det gick inte att parsa begärandetexten |
| 200003 | Kritisk – 5 | PL1 | Den flerdelade begärandetexten klarade inte strikt validering. |
METODFRAMTVINGANDE
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 911100 | Kritisk – 5 | PL1 | Metoden tillåts inte av policyn |
PROTOKOLL-TILLÄMPNING
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 920100 | Meddelande - 2 | PL1 | Ogiltig HTTP-begäranderad |
| 920120 | Kritisk – 5 | PL1 | Försök att kringgå flera delar/formulärdata |
| 920121 | Kritisk – 5 | PL2 | Försök att kringgå flera delar/formulärdata |
| 920160 | Kritisk – 5 | PL1 | HTTP-huvudet för innehållslängd är inte numeriskt |
| 920170 | Kritisk – 5 | PL1 | GET- eller HEAD-begäran med brödtextinnehåll |
| 920171 | Kritisk – 5 | PL1 | GET- eller HEAD-begäran med Transfer-Encoding |
| 920180 | Meddelande - 2 | PL1 | POST-begäran saknar rubrik för innehållslängd |
| 920181 | Varning - 3 | PL1 | Innehållslängds- och överföringskodningsrubriker är angivna 99001003 |
| 920190 | Varning - 3 | PL1 | Intervall: Ogiltigt värde för senaste byte |
| 920200 | Varning - 3 | PL2 | Intervall: För många fält (6 eller fler) |
| 920201 | Varning - 3 | PL2 | Intervall: För många fält för pdf-begäran (35 eller fler) |
| 920210 | Kritisk – 5 | PL1 | Flera/motstridiga anslutningshuvuddata hittades |
| 920220 | Varning - 3 | PL1 | Försök till missbruk av URL-kodning |
| 920230 | Varning - 3 | PL2 | Flera URL-kodning har identifierats |
| 920240 | Varning - 3 | PL1 | Försök till missbruk av URL-kodning |
| 920260 | Varning - 3 | PL1 | Försök till angrepp med Unicode full-/halvbredds missbruk |
| 920270 | Fel – 4 | PL1 | Ogiltigt tecken i begäran (nulltecken) |
| 920271 | Kritisk – 5 | PL2 | Ogiltigt tecken i begäran (icke utskrivbara tecken) |
| 920280 | Varning - 3 | PL1 | Begäran saknar ett värdhuvud |
| 920290 | Varning - 3 | PL1 | Tomt värdhuvud |
| 920300 | Meddelande - 2 | PL2 | Begäran saknar en Accept-header |
| 920310 | Meddelande - 2 | PL1 | Begäran har ett tomt accepthuvud |
| 920311 | Meddelande - 2 | PL1 | Begäran har ett tomt accepthuvud |
| 920320 | Meddelande - 2 | PL2 | Sidhuvud för användaragent saknas |
| 920330 | Meddelande - 2 | PL1 | Tomt användaragenthuvud |
| 920340 | Meddelande - 2 | PL1 | Begäran som innehåller innehåll, men innehållstypsrubrik saknas |
| 920341 | Kritisk – 5 | PL1 | Begäran som innehåller innehåll kräver innehållstyprubrik |
| 920350 | Varning - 3 | PL1 | Värdrubriken är en numerisk IP-adress |
| 920420 | Kritisk – 5 | PL1 | Innehållstyp för begäran tillåts inte av principen |
| 920430 | Kritisk – 5 | PL1 | HTTP-protokollversion tillåts inte av principen |
| 920440 | Kritisk – 5 | PL1 | URL-filnamnstillägget begränsas av principen |
| 920450 | Kritisk – 5 | PL1 | HTTP-huvudet begränsas av principen |
| 920470 | Kritisk – 5 | PL1 | Ogiltigt innehållstypshuvud |
| 920480 | Kritisk – 5 | PL1 | Charset för begärandeinnehållstyp tillåts inte av principen |
| 920500 | Kritisk – 5 | PL1 | Försök att komma åt en säkerhetskopia eller arbetsfil |
PROTOKOLL–ATTACK
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 921110 | Kritisk – 5 | PL1 | HTTP-begärande-smugglingsangrepp |
| 921120 | Kritisk – 5 | PL1 | HTTP-svarsdelningsattack |
| 921130 | Kritisk – 5 | PL1 | HTTP-svarsdelningsattack |
| 921140 | Kritisk – 5 | PL1 | HTTP-rubrikinmatningsattack via rubriker |
| 921150 | Kritisk – 5 | PL1 | HTTP-rubrikinmatningsattack via nyttolast (CR/LF har identifierats) |
| 921151 | Kritisk – 5 | PL2 | HTTP-rubrikinmatningsattack via nyttolast (CR/LF har identifierats) |
| 921160 | Kritisk – 5 | PL1 | HTTP-rubrikinmatningsattack via nyttolast (CR/LF och rubriknamn har identifierats) |
| 921190 | Kritisk – 5 | PL1 | HTTP-delning (CR/LF i filnamnet för begäran har identifierats) |
| 921200 | Kritisk – 5 | PL1 | LDAP-injektionsattack |
LFI – Lokal fil inkludering
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 930100 | Kritisk – 5 | PL1 | Väg bläddringsattack (/.. /) |
| 930110 | Kritisk – 5 | PL1 | Väg bläddringsattack (/.. /) |
| 930120 | Kritisk – 5 | PL1 | Försök att komma åt operativsystemets fil |
| 930130 | Kritisk – 5 | PL1 | Försök till begränsad filåtkomst |
RFI – Fjärrfilinkludering
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 931100 | Kritisk – 5 | PL1 | Möjlig RFI-attack (Remote File Inclusion): URL-parameter med IP-adress |
| 931110 | Kritisk – 5 | PL1 | Möjlig attack för fjärrfilsinkludering (RFI): Vanligt RFI-sårbart parameternamn använt med URL-payload |
| 931120 | Kritisk – 5 | PL1 | Möjlig fjärrfilinkluderingsattack: URL-payload använd med ett frågetecken (?) på slutet. |
| 931130 | Kritisk – 5 | PL2 | Möjlig RFI-attack (Remote File Inclusion): Referens/länk utanför domänen |
RCE – Fjärrkommandokörning
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 932100 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Unix-kommandoinmatning |
| 932105 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Unix-kommandoinmatning |
| 932110 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Windows-kommandoinmatning |
| 932115 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Windows-kommandoinmatning |
| 932120 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Windows PowerShell-kommandot hittades |
| 932130 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Unix Shell-uttryck eller Confluence-sårbarhet (CVE-2022-26134) har hittats |
| 932140 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Windows FOR/IF-kommandot hittades |
| 932150 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Direkt Unix-kommandokörning |
| 932160 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Unix Shell-kod hittades |
| 932170 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Shellshock (CVE-2014-6271) |
| 932171 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Shellshock (CVE-2014-6271) |
| 932180 | Kritisk – 5 | PL1 | Försök att ladda upp begränsad fil |
PHP-attacker
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 933100 | Kritisk – 5 | PL1 | PHP-injektionsattack: Öppnings-/stängningstagg hittad |
| 933110 | Kritisk – 5 | PL1 | PHP-inmatningsattack: PHP-skriptfiluppladdning hittades |
| 933120 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Konfigurationsdirektivet hittades |
| 933130 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Variabler hittades |
| 933140 | Kritisk – 5 | PL1 | PHP-injektionsattack: I/O Stream hittades |
| 933150 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Php-funktionsnamn med hög risk hittades |
| 933151 | Kritisk – 5 | PL2 | PHP-inmatningsattack: Php-funktionsnamn med medelhög risk hittades |
| 933160 | Kritisk – 5 | PL1 | PHP-injektionsattack: PHP-funktionsanrop med hög risk hittades |
| 933170 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Serialiserad objektinmatning |
| 933180 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Variabelfunktionsanrop hittades |
| 933200 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Wrapper-schema har identifierats |
| 933210 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Variabelfunktionsanrop hittades |
Node JS-angrepp
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 934100 | Kritisk – 5 | PL1 | Node.js-injektionsattack |
XSS – Skriptkörning över flera webbplatser
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 941100 | Kritisk – 5 | PL1 | XSS-attack identifierad via libinjection |
| 941101 | Kritisk – 5 | PL2 | XSS-attack identifierad via libinjection. Den här regeln identifierar begäranden med ett referenshuvud |
| 941110 | Kritisk – 5 | PL1 | XSS-filter – kategori 1: Skripttaggvektor |
| 941120 | Kritisk – 5 | PL1 | XSS-filter – kategori 2: Händelsehanteringsvektor |
| 941130 | Kritisk – 5 | PL1 | XSS-filter – Kategori 3: Attributvektor |
| 941140 | Kritisk – 5 | PL1 | XSS-filter – kategori 4: JavaScript URI-vektor |
| 941150 | Kritisk – 5 | PL2 | XSS-filter – kategori 5: Otillåtna HTML-attribut |
| 941160 | Kritisk – 5 | PL1 | NoScript XSS InjectionChecker: HTML-injektion |
| 941170 | Kritisk – 5 | PL1 | NoScript XSS InjectionChecker: Attributinjektion |
| 941180 | Kritisk – 5 | PL1 | Nyckelord för blocklista för nodverifierare |
| 941190 | Kritisk – 5 | PL1 | XSS med formatmallar |
| 941200 | Kritisk – 5 | PL1 | XSS med VML-ramar |
| 941210 | Kritisk – 5 | PL1 | XSS med användning av fördold JavaScript |
| 941220 | Kritisk – 5 | PL1 | XSS med maskerade VB-skript |
| 941230 | Kritisk – 5 | PL1 | XSS med taggen "embed" |
| 941240 | Kritisk – 5 | PL1 | XSS med attributet "import" eller "implementation" |
| 941250 | Kritisk – 5 | PL1 | IE XSS-filter – Angrepp upptäckt |
| 941260 | Kritisk – 5 | PL1 | XSS med taggen "meta" |
| 941270 | Kritisk – 5 | PL1 | XSS med hjälp av "link" href |
| 941280 | Kritisk – 5 | PL1 | XSS med taggen "base" |
| 941290 | Kritisk – 5 | PL1 | XSS med taggen "applet" |
| 941300 | Kritisk – 5 | PL1 | XSS med taggen "object" |
| 941310 | Kritisk – 5 | PL1 | XSS-filter för felaktig kodning i US-ASCII – attack identifierad |
| 941320 | Kritisk – 5 | PL2 | Möjlig XSS-attack identifierad – HTML-tagghanterare |
| 941330 | Kritisk – 5 | PL2 | IE XSS-filter – Angrepp upptäckt |
| 941340 | Kritisk – 5 | PL2 | IE XSS-filter – Angrepp upptäckt |
| 941350 | Kritisk – 5 | PL1 | UTF-7-kodnings-IE XSS – Attack identifierad |
| 941360 | Kritisk – 5 | PL1 | JavaScript-fördunkling har identifierats |
| 941370 | Kritisk – 5 | PL1 | JavaScript global variabel hittades |
| 941380 | Kritisk – 5 | PL2 | AngularJS-mallinmatning på klientsidan har identifierats |
SQLI – SQL-injektion
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 942100 | Kritisk – 5 | PL1 | SQL-inmatningsattack identifierad via libinjection |
| 942110 | Varning - 3 | PL2 | SQL-inmatningsattack: Vanliga inmatningstester har identifierats |
| 942120 | Kritisk – 5 | PL2 | SQL-inmatningsattack: SQL-operatorn har identifierats |
| 942130 | Kritisk – 5 | PL2 | SQL-inmatningsattack: SQL-tautologi har identifierats |
| 942140 | Kritisk – 5 | PL1 | SQL-inmatningsattack: Vanliga DB-namn har identifierats |
| 942150 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942160 | Kritisk – 5 | PL1 | Identifierar blinda sqli-tester med hjälp av sleep() eller benchmark() |
| 942170 | Kritisk – 5 | PL1 | Identifierar SQL-benchmark- och vilolägesinmatningsförsök, inklusive villkorsfrågor |
| 942180 | Kritisk – 5 | PL2 | Identifierar grundläggande försök att kringgå SQL-autentisering 1/3 |
| 942190 | Kritisk – 5 | PL1 | Identifierar MSSQL-kodkörning och informationsinsamlingsförsök |
| 942200 | Kritisk – 5 | PL2 | Identifierar MySQL-kommentar-/mellanrumsobfuskering och backtick-avslutning |
| 942210 | Kritisk – 5 | PL2 | Identifierar länkade SQL-inmatningsförsök 1/2 |
| 942220 | Kritisk – 5 | PL1 | När du letar efter attacker med heltalsöverflöd tas dessa från skipfish, förutom 3.0.00738585072007e-308 är det "magiska numret" som orsakar kraschen |
| 942230 | Kritisk – 5 | PL1 | Identifierar försök till villkorlig SQL-inmatning |
| 942240 | Kritisk – 5 | PL1 | Identifierar MySQL-teckenuppsättningsväxel och MSSQL DoS-försök |
| 942250 | Kritisk – 5 | PL1 | Identifierar MATCH AGAINST-, MERGE- och EXECUTE IMMEDIATE-injektioner |
| 942260 | Kritisk – 5 | PL2 | Identifierar grundläggande försök att kringgå SQL-autentisering 2/3 |
| 942270 | Kritisk – 5 | PL1 | Letar du efter grundläggande SQL-injektion. Vanliga attacksträngar för mysql, orakel och andra |
| 942280 | Kritisk – 5 | PL1 | Identifierar Postgres pg_sleep inmatning, väntefördröjningsattacker och försök till databasavstängning |
| 942290 | Kritisk – 5 | PL1 | Hittar grundläggande MongoDB SQL-inmatningsförsök |
| 942300 | Kritisk – 5 | PL2 | Identifierar MySQL-kommentarer, villkor och ch(a)r-injektioner |
| 942310 | Kritisk – 5 | PL2 | Identifierar länkade SQL-inmatningsförsök 2/2 |
| 942320 | Kritisk – 5 | PL1 | Identifierar MySQL- och PostgreSQL-lagrade procedurer/funktionsinmatningar |
| 942330 | Kritisk – 5 | PL2 | Identifierar klassiska SQL-inmatningssökningar 1/2 |
| 942340 | Kritisk – 5 | PL2 | Identifierar grundläggande SQL-autentisering vid förbikopplingsförsök 3/3 |
| 942350 | Kritisk – 5 | PL1 | Identifierar MySQL UDF-inmatning och andra försök till data-/strukturmanipulering |
| 942360 | Kritisk – 5 | PL1 | Identifierar sammanfogade grundläggande SQL-inmatnings- och SQLLFI-försök |
| 942361 | Kritisk – 5 | PL2 | Identifierar grundläggande SQL-inmatning baserat på nyckelordsförändrande eller union |
| 942370 | Kritisk – 5 | PL2 | Identifierar klassiska SQL-inmatningssökningar 2/2 |
| 942380 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942390 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942400 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942410 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942430 | Varning - 3 | PL2 | Begränsad SQL-teckenavvikelseidentifiering (args): antal specialtecken som överskridits (12) |
| 942440 | Kritisk – 5 | PL2 | SQL-kommentarssekvens identifierad |
| 942450 | Kritisk – 5 | PL2 | SQL Hex-kodning identifierad |
| 942470 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942480 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942500 | Kritisk – 5 | PL1 | Kommentar i MySQL-koden har identifierats |
| 942510 | Kritisk – 5 | PL2 | SQLi-förbikopplingsförsök av fästingar eller backticks har identifierats |
SESSION-FIXERING
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 943100 | Kritisk – 5 | PL1 | Möjlig sessionskorrigeringsattack: Ange cookievärden i HTML |
| 943110 | Kritisk – 5 | PL1 | Möjlig sessionsfixeringsattack: sessions-ID-parameternamn med hänvisare från en extern domän |
| 943120 | Kritisk – 5 | PL1 | Möjlig sessionskorrigeringsattack: Sessions-ID-parameternamn utan referens |
JAVA-angrepp
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 944100 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Apache Struts, Oracle WebLogic |
| 944110 | Kritisk – 5 | PL1 | Identifierar potentiell nyttolastkörning |
| 944120 | Kritisk – 5 | PL1 | Möjlig körning av nyttolast och fjärrkommandokörning |
| 944130 | Kritisk – 5 | PL1 | Misstänkta Java-klasser |
| 944200 | Kritisk – 5 | PL2 | Utnyttjande av Java-deserialisering Apache Commons |
| 944210 | Kritisk – 5 | PL2 | Möjlig användning av Java-serialisering |
| 944240 | Kritisk – 5 | PL2 | Fjärrkommandokörning: Java-serialisering och Log4j-sårbarhet (CVE-2021-44228, CVE-2021-45046) |
| 944250 | Kritisk – 5 | PL2 | Fjärrkommandokörning: Misstänkt Java-metod har identifierats |
MS-ThreatIntel-WebShells
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 99005002 | Kritisk – 5 | PL2 | Interaktionsförsök med webbshell (POST) |
| 99005003 | Kritisk – 5 | PL2 | Web Shell Upload Attempt (POST) – CHOPPER PHP |
| 99005004 | Kritisk – 5 | PL2 | Web Shell Upload Attempt (POST) – CHOPPER ASPX |
| 99005005 | Kritisk – 5 | PL2 | Interaktionsförsök för Web Shell |
| 99005006 | Kritisk – 5 | PL2 | Spring4Shell-interaktionsförsök |
MS-ThreatIntel-AppSec
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 99030001 | Kritisk – 5 | PL2 | Path Traversal Evasion i Rubriker (/.././../) |
| 99030002 | Kritisk – 5 | PL2 | Path Traversal-undvikande i förfrågningens kropp (/.././../) |
MS-ThreatIntel-SQLI
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 99031001 | Varning - 3 | PL2 | SQL-inmatningsattack: Vanliga inmatningstester har identifierats |
| 99031002 | Kritisk – 5 | PL2 | SQL-kommentarssekvens identifierad |
| 99031003 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 99031004 | Kritisk – 5 | PL2 | Identifierar grundläggande försök att kringgå SQL-autentisering 2/3 |
MS-ThreatIntel-CVEs
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 99001001 | Kritisk – 5 | PL2 | Försök till F5 tmui (CVE-2020-5902) REST API-utnyttjande med kända autentiseringsuppgifter |
| 99001002 | Kritisk – 5 | PL2 | Försök till Citrix NSC_USER katalogtraversering CVE-2019-19781 |
| 99001003 | Kritisk – 5 | PL2 | Försök till exploatering av Atlassian Confluence Widget Connector CVE-2019-3396 |
| 99001004 | Kritisk – 5 | PL2 | Försök till exploatering av anpassad Pulse Secure-mall CVE-2020-8243 |
| 99001005 | Kritisk – 5 | PL2 | Försök till exploatering av SharePoint-typkonverterare CVE-2020-0932 |
| 99001006 | Kritisk – 5 | PL2 | Försök till Pulse Connect katalogtraversering CVE-2019-11510 |
| 99001007 | Kritisk – 5 | PL2 | Försök till lokalt filinkluderingsförsök i Junos OS J-Web CVE-2020-1631 |
| 99001008 | Kritisk – 5 | PL2 | Försök till stigtraversering i Fortinet CVE-2018-13379 |
| 99001009 | Kritisk – 5 | PL2 | Försök till Apache Struts OGNL-injektion CVE-2017-5638 |
| 99001010 | Kritisk – 5 | PL2 | Försök till Apache struts ognl injektion CVE-2017-12611 |
| 99001011 | Kritisk – 5 | PL2 | Försök till Oracle WebLogic sökvägsöverträdelse CVE-2020-14882 |
| 99001012 | Kritisk – 5 | PL2 | Försökte utnyttjande av osäker deserialisering i Telerik WebUI CVE-2019-18935 |
| 99001013 | Kritisk – 5 | PL2 | Försök till osäker XML-deserialisering i SharePoint CVE-2019-0604 |
| 99001014 | Kritisk – 5 | PL2 | Försök till Spring Cloud routing-expression injection CVE-2022-22963 |
| 99001015 | Kritisk – 5 | PL2 | Försök till osäker klassobjektsexploatering i Spring Framework CVE-2022-22965 |
| 99001016 | Kritisk – 5 | PL2 | Försökt injektion av Spring Cloud Gateway-aktuator CVE-2022-22947 |
| 99001017* | Ej tillämpligt | Ej tillämpligt | Försök till Apache Struts-filuppladdningsexploatering CVE-2023-50164 |
* Den här regelns åtgärd är inställd på att loggas som standard. Ställ in åtgärden på Blockera för att förhindra säkerhetsproblem med Apache Struts. Avvikelsepoäng stöds inte för den här regeln.
Kommentar
När du granskar waf-loggarna kan du se regel-ID 949110. Beskrivningen av regeln kan innehålla Inkommande Avvikelsepoäng Överskriden.
Den här regeln anger att den totala avvikelsepoängen för begäran överskred den högsta tillåtna poängen. Mer information finns i Avvikelsebedömning.
Nedan visas tidigare Core Rule Set-versioner. Om du använder CRS 3.2, CRS 3.1, CRS 3.0 eller CRS 2.2.9 rekommenderar vi att du uppgraderar till den senaste regeluppsättningsversionen av DRS 2.1. Mer information finns i Uppgradera eller ändra regeluppsättningsversion.
3.2-regeluppsättningar
Allmänt
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 200002 | Kritisk – 5 | PL1 | Det gick inte att parsa begärandetexten |
| 200003 | Kritisk – 5 | PL1 | Strikt validering av begärandetext för flera delar |
| 200004 | Kritisk – 5 | PL1 | Möjlig omatchad gräns för flera delar |
Kända CVE
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 800100 | Kritisk – 5 | PL2 | Regel för att identifiera och mildra log4j-sårbarheten CVE-2021-44228, CVE-2021-45046 |
| 800110 | Kritisk – 5 | PL2 | Spring4Shell-interaktionsförsök |
| 800111 | Kritisk – 5 | PL2 | Försök till Spring Cloud routing-expression-inmatning – CVE-2022-22963 |
| 800112 | Kritisk – 5 | PL2 | Försök till användning av osäkra klassobjekt i Spring Framework – CVE-2022-22965 |
| 800113 | Kritisk – 5 | PL2 | Försök till Spring Cloud Gateway-ställdoninmatning – CVE-2022-22947 |
| 800114* | Kritisk – 5 | PL2 | Försök till exploatering av Apache Struts-filuppladdning – CVE-2023-50164 |
* Den här regelns åtgärd är inställd på att loggas som standard. Ställ in åtgärden på Blockera för att förhindra säkerhetsproblem med Apache Struts. Avvikelsepoäng stöds inte för den här regeln.
REQUEST-911-METOD-TILLSYN
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 911100 | Kritisk – 5 | PL1 | Metoden tillåts inte av policyn |
REQUEST-913-SCANNER-DETECTION
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 913100 | Kritisk – 5 | PL1 | Användaragent som är associerad med säkerhetsskanner hittades |
| 913101 | Kritisk – 5 | PL2 | Användaragent som är associerad med skript/allmän HTTP-klient hittades |
| 913102 | Kritisk – 5 | PL2 | Hittade användaragent associerad med webbspindel/robot |
| 913110 | Kritisk – 5 | PL1 | Begäranhuvud associerat med säkerhetsskanner hittat |
| 913120 | Kritisk – 5 | PL1 | Hittade filnamn/argument för begäran som är associerat med säkerhetsskanner |
REQUEST-920-PROTOCOL-ENFORCEMENT
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 920100 | Varning - 3 | PL1 | Ogiltig HTTP-begäranderad |
| 920120 | Kritisk – 5 | PL1 | Försök att kringgå flera delar/formulärdata |
| 920121 | Kritisk – 5 | PL2 | Försök att kringgå flera delar/formulärdata |
| 920160 | Kritisk – 5 | PL1 | HTTP-huvudet för innehållslängd är inte numeriskt |
| 920170 | Kritisk – 5 | PL1 | GET- eller HEAD-begäran med brödtextinnehåll |
| 920171 | Kritisk – 5 | PL1 | GET- eller HEAD-begäran med Transfer-Encoding |
| 920180 | Varning - 3 | PL1 | POST-begäran saknar rubrik för innehållslängd |
| 920190 | Varning - 3 | PL1 | Intervall: Ogiltigt värde för senaste byte |
| 920200 | Varning - 3 | PL2 | Intervall: För många fält (6 eller fler) |
| 920201 | Varning - 3 | PL2 | Intervall: För många fält för pdf-begäran (35 eller fler) |
| 920210 | Varning - 3 | PL1 | Flera/motstridiga anslutningshuvuddata hittades |
| 920220 | Varning - 3 | PL1 | Försök till missbruk av URL-kodning |
| 920230 | Varning - 3 | PL2 | Flera URL-kodning har identifierats |
| 920240 | Varning - 3 | PL1 | Försök till missbruk av URL-kodning |
| 920250 | Varning - 3 | PL1 | UTF8-kodningsattackförsök |
| 920260 | Varning - 3 | PL1 | Försök till angrepp med Unicode full-/halvbredds missbruk |
| 920270 | Kritisk – 5 | PL1 | Ogiltigt tecken i begäran (nulltecken) |
| 920271 | Kritisk – 5 | PL2 | Ogiltigt tecken i begäran (icke utskrivbara tecken) |
| 920280 | Varning - 3 | PL1 | Begäran saknar ett värdhuvud |
| 920290 | Varning - 3 | PL1 | Tomt värdhuvud |
| 920300 | Meddelande - 2 | PL2 | Begäran saknar en Accept-header |
| 920310 | Meddelande - 2 | PL1 | Begäran har ett tomt accepthuvud |
| 920311 | Meddelande - 2 | PL1 | Begäran har ett tomt accepthuvud |
| 920320 | Meddelande - 2 | PL2 | Sidhuvud för användaragent saknas |
| 920330 | Meddelande - 2 | PL1 | Tomt användaragenthuvud |
| 920340 | Meddelande - 2 | PL1 | Begäran som innehåller innehåll, men innehållstypsrubrik saknas |
| 920341 | Kritisk – 5 | PL2 | Begäran som innehåller innehåll kräver innehållstyprubrik |
| 920350 | Varning - 3 | PL1 | Värdrubriken är en numerisk IP-adress |
| 920420 | Kritisk – 5 | PL1 | Innehållstyp för begäran tillåts inte av principen |
| 920430 | Kritisk – 5 | PL1 | HTTP-protokollversion tillåts inte av principen |
| 920440 | Kritisk – 5 | PL1 | URL-filnamnstillägget begränsas av principen |
| 920450 | Kritisk – 5 | PL1 | HTTP-huvudet begränsas av principen (%{MATCHED_VAR}) |
| 920470 | Kritisk – 5 | PL1 | Ogiltigt innehållstypshuvud |
| 920480 | Kritisk – 5 | PL1 | Begränsa teckenuppsättningsparametern i innehållstyprubriken |
BEGÄRAN-921-PROTOKOLL-ANGREPP
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 921110 | Kritisk – 5 | PL1 | HTTP-begärande-smugglingsangrepp |
| 921120 | Kritisk – 5 | PL1 | HTTP-svarsdelningsattack |
| 921130 | Kritisk – 5 | PL1 | HTTP-svarsdelningsattack |
| 921140 | Kritisk – 5 | PL1 | HTTP-rubrikinmatningsattack via rubriker |
| 921150 | Kritisk – 5 | PL1 | HTTP-rubrikinmatningsattack via nyttolast (CR/LF har identifierats) |
| 921151 | Kritisk – 5 | PL2 | HTTP-rubrikinmatningsattack via nyttolast (CR/LF har identifierats) |
| 921160 | Kritisk – 5 | PL1 | HTTP-rubrikinmatningsattack via nyttolast (CR/LF och rubriknamn har identifierats) |
REQUEST-930-APPLICATION-ATTACK-LFI
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 930100 | Kritisk – 5 | PL1 | Väg bläddringsattack (/.. /) |
| 930110 | Kritisk – 5 | PL1 | Väg bläddringsattack (/.. /) |
| 930120 | Kritisk – 5 | PL1 | Försök att komma åt operativsystemets fil |
| 930130 | Kritisk – 5 | PL1 | Försök till begränsad filåtkomst |
REQUEST-931-APPLICATION-ATTACK-RFI
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 931100 | Kritisk – 5 | PL1 | Möjlig RFI-attack (Remote File Inclusion): URL-parameter med IP-adress |
| 931110 | Kritisk – 5 | PL1 | Möjlig attack för fjärrfilsinkludering (RFI): Vanligt RFI-sårbart parameternamn använt med URL-payload |
| 931120 | Kritisk – 5 | PL1 | Möjlig fjärrfilinkluderingsattack: URL-payload använd med ett frågetecken (?) på slutet. |
| 931130 | Kritisk – 5 | PL2 | Möjlig RFI-attack (Remote File Inclusion): Referens/länk utanför domänen |
REQUEST-932-APPLICATION-ATTACK-RCE
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 932100 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Unix-kommandoinmatning |
| 932105 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Unix-kommandoinmatning |
| 932110 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Windows-kommandoinmatning |
| 932115 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Windows-kommandoinmatning |
| 932120 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Windows PowerShell-kommandot hittades |
| 932130 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Unix Shell-uttryck eller sårbarhet i Confluence (CVE-2022-26134) eller Text4Shell (CVE-2022-42889) hittades |
| 932140 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Windows FOR/IF-kommandot hittades |
| 932150 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Direkt Unix-kommandokörning |
| 932160 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Unix Shell-kod hittades |
| 932170 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Shellshock (CVE-2014-6271) |
| 932171 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Shellshock (CVE-2014-6271) |
| 932180 | Kritisk – 5 | PL1 | Försök att ladda upp begränsad fil |
REQUEST-933-APPLICATION-ATTACK-PHP
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 933100 | Kritisk – 5 | PL1 | PHP-injektionsattack: Öppnings-/stängningstagg hittad |
| 933110 | Kritisk – 5 | PL1 | PHP-inmatningsattack: PHP-skriptfiluppladdning hittades |
| 933120 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Konfigurationsdirektivet hittades |
| 933130 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Variabler hittades |
| 933140 | Kritisk – 5 | PL1 | PHP-injektionsattack: I/O Stream hittades |
| 933150 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Php-funktionsnamn med hög risk hittades |
| 933151 | Kritisk – 5 | PL2 | PHP-inmatningsattack: Php-funktionsnamn med medelhög risk hittades |
| 933160 | Kritisk – 5 | PL1 | PHP-injektionsattack: PHP-funktionsanrop med hög risk hittades |
| 933170 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Serialiserad objektinmatning |
| 933180 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Variabelfunktionsanrop hittades |
| 933200 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Wrapper-schema har identifierats |
| 933210 | Kritisk – 5 | PL1 | PHP-inmatningsattack: Variabelfunktionsanrop hittades |
REQUEST-941-APPLICATION-ATTACK-XSS
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 941100 | Kritisk – 5 | PL1 | XSS-attack identifierad via libinjection |
| 941101 | Kritisk – 5 | PL2 | XSS-attack identifierad via libinjection Den här regeln identifierar begäranden med ett referenshuvud |
| 941110 | Kritisk – 5 | PL1 | XSS-filter – kategori 1: Skripttaggvektor |
| 941120 | Kritisk – 5 | PL1 | XSS-filter – kategori 2: Händelsehanteringsvektor |
| 941130 | Kritisk – 5 | PL1 | XSS-filter – Kategori 3: Attributvektor |
| 941140 | Kritisk – 5 | PL1 | XSS-filter – kategori 4: JavaScript URI-vektor |
| 941150 | Kritisk – 5 | PL2 | XSS-filter – kategori 5: Otillåtna HTML-attribut |
| 941160 | Kritisk – 5 | PL1 | NoScript XSS InjectionChecker: HTML-injektion |
| 941170 | Kritisk – 5 | PL1 | NoScript XSS InjectionChecker: Attributinjektion |
| 941180 | Kritisk – 5 | PL1 | Nyckelord för nodverifierarens svarta lista |
| 941190 | Kritisk – 5 | PL1 | XSS med formatmallar |
| 941200 | Kritisk – 5 | PL1 | XSS med VML-ramar |
| 941210 | Kritisk – 5 | PL1 | XSS med fördunklade JavaScript eller Text4Shell (CVE-2022-42889) |
| 941220 | Kritisk – 5 | PL1 | XSS med maskerade VB-skript |
| 941230 | Kritisk – 5 | PL1 | XSS med taggen "embed" |
| 941240 | Kritisk – 5 | PL1 | XSS med attributet "import" eller "implementation" |
| 941250 | Kritisk – 5 | PL1 | IE XSS-filter – Angrepp upptäckt |
| 941260 | Kritisk – 5 | PL1 | XSS med taggen "meta" |
| 941270 | Kritisk – 5 | PL1 | XSS med hjälp av "link" href |
| 941280 | Kritisk – 5 | PL1 | XSS med taggen "base" |
| 941290 | Kritisk – 5 | PL1 | XSS med taggen "applet" |
| 941300 | Kritisk – 5 | PL1 | XSS med taggen "object" |
| 941310 | Kritisk – 5 | PL1 | XSS-filter för felaktig kodning i US-ASCII – attack identifierad |
| 941320 | Kritisk – 5 | PL2 | Möjlig XSS-attack identifierad – HTML-tagghanterare |
| 941330 | Kritisk – 5 | PL2 | IE XSS-filter – Angrepp upptäckt |
| 941340 | Kritisk – 5 | PL2 | IE XSS-filter – Angrepp upptäckt |
| 941350 | Kritisk – 5 | PL1 | UTF-7-kodnings-IE XSS – Attack identifierad |
| 941360 | Kritisk – 5 | PL1 | JavaScript-fördunkling har identifierats |
REQUEST-942-APPLICATION-ATTACK-SQLI
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 942100 | Kritisk – 5 | PL1 | SQL-inmatningsattack identifierad via libinjection |
| 942110 | Varning - 3 | PL2 | SQL-inmatningsattack: Vanliga inmatningstester har identifierats |
| 942120 | Kritisk – 5 | PL2 | SQL-inmatningsattack: SQL-operatorn har identifierats |
| 942130 | Kritisk – 5 | PL2 | SQL-inmatningsattack: SQL-tautologi har identifierats |
| 942140 | Kritisk – 5 | PL1 | SQL-inmatningsattack: Vanliga DB-namn har identifierats |
| 942150 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942160 | Kritisk – 5 | PL1 | Identifierar blinda sqli-tester med hjälp av sleep() eller benchmark() |
| 942170 | Kritisk – 5 | PL1 | Identifierar SQL-benchmark- och vilolägesinmatningsförsök, inklusive villkorsfrågor |
| 942180 | Kritisk – 5 | PL2 | Identifierar grundläggande försök att kringgå SQL-autentisering 1/3 |
| 942190 | Kritisk – 5 | PL1 | Identifierar MSSQL-kodkörning och informationsinsamlingsförsök |
| 942200 | Kritisk – 5 | PL2 | Identifierar MySQL-kommentar-/mellanrumsobfuskering och backtick-avslutning |
| 942210 | Kritisk – 5 | PL2 | Identifierar länkade SQL-inmatningsförsök 1/2 |
| 942220 | Kritisk – 5 | PL1 | När du letar efter attacker med heltalsöverflöd tas dessa från skipfish, förutom 3.0.00738585072007e-308 är det "magiska numret" som orsakar kraschen |
| 942230 | Kritisk – 5 | PL1 | Identifierar försök till villkorlig SQL-inmatning |
| 942240 | Kritisk – 5 | PL1 | Identifierar MySQL-teckenuppsättningsväxel och MSSQL DoS-försök |
| 942250 | Kritisk – 5 | PL1 | Identifierar MATCH AGAINST-, MERGE- och EXECUTE IMMEDIATE-injektioner |
| 942260 | Kritisk – 5 | PL2 | Identifierar grundläggande försök att kringgå SQL-autentisering 2/3 |
| 942270 | Kritisk – 5 | PL1 | Letar du efter grundläggande SQL-injektion. Vanliga attacksträngar för mysql, orakel och andra |
| 942280 | Kritisk – 5 | PL1 | Identifierar Postgres pg_sleep inmatning, väntefördröjningsattacker och försök till databasavstängning |
| 942290 | Kritisk – 5 | PL1 | Hittar grundläggande MongoDB SQL-inmatningsförsök |
| 942300 | Kritisk – 5 | PL2 | Identifierar MySQL-kommentarer, villkor och ch(a)r-injektioner |
| 942310 | Kritisk – 5 | PL2 | Identifierar länkade SQL-inmatningsförsök 2/2 |
| 942320 | Kritisk – 5 | PL1 | Identifierar MySQL- och PostgreSQL-lagrade procedurer/funktionsinmatningar |
| 942330 | Kritisk – 5 | PL2 | Identifierar klassiska SQL-inmatningssökningar 1/2 |
| 942340 | Kritisk – 5 | PL2 | Identifierar grundläggande SQL-autentisering vid förbikopplingsförsök 3/3 |
| 942350 | Kritisk – 5 | PL1 | Identifierar MySQL UDF-inmatning och andra försök till data-/strukturmanipulering |
| 942360 | Kritisk – 5 | PL1 | Identifierar sammanfogade grundläggande SQL-inmatnings- och SQLLFI-försök |
| 942361 | Kritisk – 5 | PL2 | Identifierar grundläggande SQL-inmatning baserat på nyckelordsförändrande eller union |
| 942370 | Kritisk – 5 | PL2 | Identifierar klassiska SQL-inmatningssökningar 2/2 |
| 942380 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942390 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942400 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942410 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942430 | Varning - 3 | PL2 | Begränsad SQL-teckenavvikelseidentifiering (args): antal specialtecken som överskridits (12) |
| 942440 | Kritisk – 5 | PL2 | SQL-kommentarssekvens identifierad |
| 942450 | Kritisk – 5 | PL2 | SQL Hex-kodning identifierad |
| 942470 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942480 | Kritisk – 5 | PL2 | SQL-injektionsattack |
| 942500 | Kritisk – 5 | PL1 | Kommentar i MySQL-koden har identifierats |
REQUEST-943-APPLIKATIONSATTACK-SESSIONSFIXERING
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 943100 | Kritisk – 5 | PL1 | Möjlig sessionskorrigeringsattack: Ange cookievärden i HTML |
| 943110 | Kritisk – 5 | PL1 | Möjlig sessionskorrigeringsattack: Sessions-ID-parameternamn med referens utanför domän |
| 943120 | Kritisk – 5 | PL1 | Möjlig sessionskorrigeringsattack: Sessions-ID-parameternamn utan referens |
FÖRFRÅGAN-944-APPLIKATION-ATTACK-JAVA
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 944100 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Apache Struts, Oracle WebLogic |
| 944110 | Kritisk – 5 | PL1 | Identifierar potentiell nyttolastkörning |
| 944120 | Kritisk – 5 | PL1 | Möjlig körning av nyttolast och fjärrkommandokörning |
| 944130 | Kritisk – 5 | PL1 | Misstänkta Java-klasser |
| 944200 | Kritisk – 5 | PL2 | Utnyttjande av Java-deserialisering Apache Commons |
| 944210 | Kritisk – 5 | PL2 | Möjlig användning av Java-serialisering |
| 944240 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Java-serialisering |
| 944250 | Kritisk – 5 | PL1 | Fjärrkommandokörning: Misstänkt Java-metod har identifierats |
Inaktiva regler
| Regel-ID | Allvarlighetsgrad för avvikelsepoäng | Paranoianivå | beskrivning |
|---|---|---|---|
| 920202 | Varning - 3 | PL4 | (Inaktiv regel bör ignoreras) Intervall: För många fält för pdf-begäran (6 eller fler) |
| 920272 | Kritisk – 5 | PL3 | (Inaktiv regel bör ignoreras) Ogiltigt tecken i begäran (utanför utskrivbara tecken under ascii 127) |
| 920273 | Kritisk – 5 | PL4 | (Inaktiv regel bör ignoreras) Ogiltigt tecken i begäran (utanför en mycket strikt uppsättning tecken) |
| 920274 | Kritisk – 5 | PL4 | (Inaktiv regel bör ignoreras) Ogiltigt tecken i begärandehuvuden (utanför mycket strikt uppsättning) |
| 920460 | Kritisk – 5 | PL4 | (Inaktiv regel bör ignoreras) Onormala escape-tecken |
| 921170 | Ej tillämpligt | PL3 | (Inaktiv regel bör ignoreras) HTTP-parameterförorening |
| 921180 | Kritisk – 5 | PL3 | (Inaktiv regel bör ignoreras) HTTP-parameterförorening (%{TX.1}) |
| 932106 | Kritisk – 5 | PL3 | (Inaktiv regel bör ignoreras) Fjärrkommandokörning: Unix-kommandoinmatning |
| 932190 | Kritisk – 5 | PL3 | (Inaktiv regel bör ignoreras) Fjärrkommandokörning: Försök att kringgå jokerteckenteknik |
| 933111 | Kritisk – 5 | PL3 | (Inaktiv regel bör ignoreras) PHP-inmatningsattack: PHP-skriptfiluppladdning hittades |
| 933131 | Kritisk – 5 | PL3 | (Inaktiv regel bör ignoreras) PHP-inmatningsattack: Variabler hittades |
| 933161 | Kritisk – 5 | PL3 | (Inaktiv regel bör ignoreras) PHP-inmatningsattack: Low-Value PHP-funktionsanrop hittades |
| 933190 | Kritisk – 5 | PL3 | (Inaktiv regel bör ignoreras) PHP-inmatningsattack: PHP-stängningstagg hittades |
| 942251 | Kritisk – 5 | PL3 | (Inaktiv regel bör ignoreras) Identifierar ATT HA injektioner |
| 942420 | Varning - 3 | PL3 | (Inaktiv regel bör ignoreras) Begränsad SQL-teckenavvikelseidentifiering (cookies): antal specialtecken som överskridits (8) |
| 942421 | Varning - 3 | PL4 | (Inaktiv regel bör ignoreras) Begränsad SQL-teckenavvikelseidentifiering (cookies): antal specialtecken som överskridits (3) |
| 942431 | Varning - 3 | PL3 | (Inaktiv regel bör ignoreras) Begränsad SQL-teckenavvikelseidentifiering (args): antal specialtecken som överskridits (6) |
| 942432 | Varning - 3 | PL4 | (Inaktiv regel bör ignoreras) Begränsad SQL-teckenavvikelseidentifiering (args): antal specialtecken som överskridits (2) |
| 942460 | Varning - 3 | PL3 | (Inaktiv regel bör ignoreras) Meta-Character avisering om avvikelseidentifiering – repetitiva tecken som inte är ord |
| 942490 | Kritisk – 5 | PL3 | (Inaktiv regel bör ignoreras) Identifierar klassiska SQL-inmatningssökningar 3/3 |