CRS または DRS ルールセットのバージョンをアップグレードする

Azure Application Gateway Web Application Firewall (WAF) の Azure で管理 される既定の規則セット (DRS) は、OWASP の上位 10 種類の攻撃など、一般的な脆弱性や悪用から Web アプリケーションを保護します。また、既定のルールセットには、Microsoft 脅威インテリジェンスコレクションのルールも組み込まれています。最新のセキュリティ更新プログラム、ルールの機能強化、修正プログラムを含む最新のルール セットバージョンを常に実行することをお勧めします。

Azure で管理される既定の規則セット (DRS) は、以前のすべてのコアルールセット (CRS) バージョンを置き換える、Azure WAF の最新世代のルールセットです。 DRS リリースでは、常に使用可能な最も高いバージョン (リリース時に DRS 2.2 など) を使用して、最も up-to-date 保護を確保します。

この記事では、Azure WAF ポリシーを DRS 2.1 にアップグレードするための PowerShell の例を示します。この例では DRS 2.1 を具体的に参照していますが、最大限の保護を確保するには、常に利用可能な最新の DRS バージョンにアップグレードする必要があります。

注

PowerShell スニペットは例にすぎません。すべてのプレースホルダーを環境の値に置き換えます。

[前提条件]

アクティブなサブスクリプションを持つ Azure アカウント。無料でアカウントを作成できます。
コアルールセット (CRS) または既定の規則セット (DRS) が適用されている既存の Azure WAF ポリシー。 WAF ポリシーがまだない場合は、「 Application Gateway の Web アプリケーションファイアウォールポリシーを作成する」を参照してください。
最新バージョンの Azure PowerShell がローカルにインストールされています。この記事では、 Az.Network モジュールが必要です。

アップグレード時の主な考慮事項

Azure WAF ルールセットのバージョンをアップグレードするときは、次のことを確認してください。

既存のカスタマイズを保持する: ルールアクションのオーバーライド、ルールの状態 (有効/無効) のオーバーライド、除外を引き継ぐ。
新しいルールを安全に検証する: 新しく追加されたルールが最初に ログモードに設定されていることを確認して、ブロックを有効にする前に影響を監視し、微調整できるようにします。

環境と変数を準備する

選択したサブスクリプション、リソースグループ、Azure WAF ポリシーのコンテキストを設定します。

Import-Module Az.Network
Set-AzContext -SubscriptionId "<subscription_id>"
$resourceGroupName = "<resource_group>"
$wafPolicyName = "<policy_name>"

WAF ポリシーオブジェクトを取得し、その定義を取得します。

$wafPolicy = Get-AzApplicationGatewayFirewallPolicy ` 
-Name $wafPolicyName ` 
-ResourceGroupName $resourceGroupName 
$currentExclusions = $wafPolicy.ManagedRules.Exclusions 
$currentManagedRuleset = $wafPolicy.ManagedRules.ManagedRuleSets 
| Where-Object { $_.RuleSetType -eq "OWASP" } 
$currentVersion = $currentManagedRuleset.RuleSetVersion

既存のカスタマイズを保持する

DRS 2.1 で削除されたルールに適用されるオーバーライドや除外はコピーしないでください。次の関数は、ルールが削除されているかどうかを確認します。

function Test-RuleIsRemovedFromDRS21 { 
    param ( 
        [string]$RuleId, 
        [string]$CurrentRulesetVersion 
    ) 
    $removedRulesByCrsVersion = @{ 
        "3.0" = @( "200004", "913100", "913101", "913102", "913110", "913120", "920130", "920140", "920250", "921100", "800100", "800110", "800111", "800112", "800113" ) 
        "3.1" = @( "200004", "913100", "913101", "913102", "913110", "913120", "920130", "920140", "920250", "800100", "800110", "800111", "800112", "800113", "800114" ) 
        "3.2" = @( "200004", "913100", "913101", "913102", "913110", "913120", "920250", "800100", "800110", "800111", "800112", "800113", "800114" ) 
        } 
    # If the version isn't known, assume rule has not been removed 
    if (-not $removedRulesByCrsVersion.ContainsKey($CurrentRulesetVersion)) { 
        return $false 
        } 
    return $removedRulesByCrsVersion[$CurrentRulesetVersion] -contains $RuleId }

新しいオーバーライドオブジェクトを作成するときは、 DRS 2.1 グループ名を使用します。次の関数は、従来の CRS グループ名を DRS 2.1 グループにマップします。

function Get-DrsRuleGroupName {
    param ( 
        [Parameter(Mandatory = $true)]
        [string]$SourceGroupName )
    $groupMap = @{ 
    "REQUEST-930-APPLICATION-ATTACK-LFI" = "LFI" 
    "REQUEST-931-APPLICATION-ATTACK-RFI" = "RFI" 
    "REQUEST-932-APPLICATION-ATTACK-RCE" = "RCE" 
    "REQUEST-933-APPLICATION-ATTACK-PHP" = "PHP" 
    "REQUEST-941-APPLICATION-ATTACK-XSS" = "XSS" 
    "REQUEST-942-APPLICATION-ATTACK-SQLI" = "SQLI" 
    "REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION" = "FIX" 
    "REQUEST-944-APPLICATION-ATTACK-JAVA" = "JAVA" 
    "REQUEST-921-PROTOCOL-ATTACK" = "PROTOCOL-ATTACK" 
    "REQUEST-911-METHOD-ENFORCEMENT" = "METHOD-ENFORCEMENT" 
    "REQUEST-920-PROTOCOL-ENFORCEMENT" = "PROTOCOL-ENFORCEMENT" 
    "REQUEST-913-SCANNER-DETECTION" = $null # No direct mapping 
    "Known-CVEs" = "MS-ThreatIntel-CVEs" 
    "General" = "General" 
    } 
    if ($groupMap.ContainsKey($SourceGroupName)) { 
        return $groupMap[$SourceGroupName] 
    } else { 
        return $SourceGroupName # No known mapping 
        } 
    }

次の PowerShell コードを使用して、ルールのオーバーライドを定義し、既存のルールセットバージョンからのオーバーライドを複製します。

$groupOverrides = @() 
foreach ($group in $currentManagedRuleset.RuleGroupOverrides) {
  $mappedGroupName = Get-DrsRuleGroupName $group.RuleGroupName 
    foreach ($existingRule in $group.Rules) { 
if (-not (Test-RuleIsRemovedFromDRS21 $existingRule.RuleId $currentVersion)) 
  { 
   `$existingGroup = $groupOverrides | 
Where-Object { $_.RuleGroupName -eq $mappedGroupName } 
if ($existingGroup) { 
if (-not ($existingGroup.Rules | 
Where-Object { $_.RuleId -eq $existingRule.RuleId })) { 
$existingGroup.Rules.Add($existingRule) } } 
else { 
  $newGroup = New-AzApplicationGatewayFirewallPolicyManagedRuleGroupOverride ` -RuleGroupName $mappedGroupName ` -Rule @($existingRule) $groupOverrides += $newGroup } } } }

次の PowerShell コードを使用して既存の除外を複製し、DRS 2.1 に適用します。

# Create new exclusion objects
$newRuleSetExclusions = @()

if ($currentExclusions -ne $null -and $currentExclusions.Count -gt 0)
{
	foreach ($exclusion in $currentExclusions) {
		$newExclusion = New-AzApplicationGatewayFirewallPolicyExclusion `
			-MatchVariable $exclusion.MatchVariable `
			-SelectorMatchOperator $exclusion.SelectorMatchOperator `
			-Selector $exclusion.Selector

		# Migrate scopes: RuleSet, RuleGroup, or individual Rules
		if ($exclusion.ExclusionManagedRuleSets) {
			foreach ($scope in $exclusion.ExclusionManagedRuleSets) {
				# Create RuleGroup objects from existing RuleGroups
				$ruleGroups = @()
				foreach ($group in $scope.RuleGroups) {
					$drsGroupName = Get-DrsRuleGroupName $group.RuleGroupName
					if ($drsGroupName)
					{
							$exclusionRules = @()
							foreach ($rule in $group.Rules) 
							{
								if (-not (Test-RuleIsRemovedFromDRS21 $rule.RuleId "3.2"))
								{
								$exclusionRules += New-AzApplicationGatewayFirewallPolicyExclusionManagedRule `
									-RuleId $rule.RuleId
								}
							}
						if ($exclusionRules -ne $null -and $exclusionRules.Count -gt 0)
						{
							$ruleGroups += New-AzApplicationGatewayFirewallPolicyExclusionManagedRuleGroup `
							-Name $drsGroupName `
							-Rule $exclusionRules
						} else {
							$ruleGroups += New-AzApplicationGatewayFirewallPolicyExclusionManagedRuleGroup `
							-Name $drsGroupName
						}
					}
				}

				# Create the ManagedRuleSet scope object with the updated RuleGroups
				if ($ruleGroups.Count -gt 0) {
					$newRuleSetScope = New-AzApplicationGatewayFirewallPolicyExclusionManagedRuleSet `
						-Type "Microsoft_DefaultRuleSet" `
						-Version "2.1" `
						-RuleGroup $ruleGroups
				}

				# Add to the new exclusion object
				$newExclusion.ExclusionManagedRuleSets += $newRuleSetScope
			}
		}

		if (-not $newExclusion.ExclusionManagedRuleSets)
		{
			$newExclusion.ExclusionManagedRuleSets = @()
		}

		$newRuleSetExclusions += $newExclusion
	}
}

新しいルールを安全に検証する

アップグレードすると、新しい DRS 2.1 ルールが既定でアクティブになります。 WAF が防止モードの場合は、最初に新しいルールをログモードに設定します。ログモードでは、ブロックを有効にする前にログを確認できます。

次の PowerShell 定義は、各 CRS バージョンと比較して DRS 2.1 で導入されたルール用です。

# Added in DRS 2.1 compared to CRS 3.0 
$rulesAddedInThisVersionByGroup = @{ 
    "General" = @("200002", "200003") 
    "PROTOCOL-ENFORCEMENT" = @("920121", "920171", "920181", "920341", "920470", "920480", "920500") 
    "PROTOCOL-ATTACK" = @("921190", "921200") 
    "RCE" = @("932180") 
    "PHP" = @("933200", "933210") 
    "NODEJS" = @("934100") 
    "XSS" = @("941101", "941360", "941370", "941380") 
    "SQLI" = @("942361", "942470", "942480", "942500", "942510") 
    "JAVA" = @("944100", "944110", "944120", "944130", "944200", "944210", "944240", "944250") 
    "MS-ThreatIntel-WebShells" = @("99005002", "99005003", "99005004", "99005005", "99005006") 
    "MS-ThreatIntel-AppSec" = @("99030001", "99030002") 
    "MS-ThreatIntel-SQLI" = @("99031001", "99031002", "99031003", "99031004") 
    "MS-ThreatIntel-CVEs" = @( "99001001","99001002","99001003","99001004","99001005","99001006", "99001007","99001008","99001009","99001010","99001011","99001012", "99001013","99001014","99001015","99001016","99001017" ) 
}

# Added in DRS 2.1 compared to CRS 3.1 
    $rulesAddedInThisVersionByGroup = @{ 
    "General" = @("200002", "200003") 
    "PROTOCOL-ENFORCEMENT" = @("920181", "920500") 
    "PROTOCOL-ATTACK" = @("921190", "921200") 
    "PHP" = @("933200", "933210") 
    "NODEJS" = @("934100") 
    "XSS" = @("941360", "941370", "941380") 
    "SQLI" = @("942500", "942510") 
    "MS-ThreatIntel-WebShells" = @("99005002", "99005003", "99005004", "99005005", "99005006") 
    "MS-ThreatIntel-AppSec" = @("99030001", "99030002") 
    "MS-ThreatIntel-SQLI" = @("99031001", "99031002", "99031003", "99031004") "MS-ThreatIntel-CVEs" = @( "99001001","99001002","99001003","99001004","99001005","99001006", "99001007","99001008","99001009","99001010","99001011","99001012", "99001013","99001014","99001015","99001016","99001017" ) 
}

# Added in DRS 2.1 compared to CRS 3.2 
$rulesAddedInThisVersionByGroup = @{ 
    "General" = @("200002", "200003") 
    "PROTOCOL-ENFORCEMENT" = @("920181", "920500") 
    "PROTOCOL-ATTACK" = @("921190", "921200") 
    "PHP" = @("933200", "933210") 
    "NODEJS" = @("934100") 
    "XSS" = @("941360", "941370", "941380") 
    "SQLI" = @("942100", "942500", "942510") 
    "MS-ThreatIntel-WebShells" = @("99005002", "99005003", "99005004", "99005005", "99005006") 
    "MS-ThreatIntel-AppSec" = @("99030001", "99030002") 
    "MS-ThreatIntel-SQLI" = @("99031001", "99031002", "99031003", "99031004") 
    "MS-ThreatIntel-CVEs" = @( "99001001","99001002","99001003","99001004","99001005","99001006", "99001007","99001008","99001009","99001010","99001011","99001012", "99001013","99001014","99001015","99001016","99001017" ) 
}

次の PowerShell コードを使用して、前に定義した既存の $groupOverrides オブジェクトに新しい規則のオーバーライドを追加します。

foreach ($groupName in $rulesAddedInDRS21.Keys) { 
    $ruleOverrides = @() 
    foreach ($ruleId in $rulesAddedInDRS21[$groupName]) { 
        $alreadyExists = $existingOverrides | 
            Where-Object { $_.RuleId -eq $ruleId } 
        if (-not $alreadyExists) { 
            $ruleOverrides += New-AzApplicationGatewayFirewallPolicyManagedRuleOverride ` 
            -RuleId $ruleId ` 
            -Action "Log" ` 
            -State "Enabled" 
            } 
        } # Only create group override if we added rules to it 
    if ($ruleOverrides.Count -gt 0) { 
        $groupOverrides += New-AzApplicationGatewayFirewallPolicyManagedRuleGroupOverride ` 
            -RuleGroupName $groupName ` 
            -Rule $ruleOverrides } 
            }

カスタマイズとアップグレードを適用する

重複した規則と更新された規則のオーバーライドと除外を組み込んで、更新された Azure WAF ポリシーオブジェクトを定義します。

$managedRuleSet = New-AzApplicationGatewayFirewallPolicyManagedRuleSet ` 
    -RuleSetType "Microsoft_DefaultRuleSet" ` 
    -RuleSetVersion "2.1" ` 
    -RuleGroupOverride $groupOverrides 
for ($i = 0; $i -lt $wafPolicy.ManagedRules.ManagedRuleSets.Count; $i++) { 
    if ($wafPolicy.ManagedRules.ManagedRuleSets[$i].RuleSetType -eq "OWASP") { 
    $wafPolicy.ManagedRules.ManagedRuleSets[$i] = $managedRuleSet 
    break 
    } 
} 
# Assign to policy
if ($newRuleSetExclusions) {
    $wafPolicy.ManagedRules.Exclusions = $currentExclusions + $newRuleSetExclusions 
}
# Apply the updated WAF policy 
Set-AzApplicationGatewayFirewallPolicy -InputObject $wafPolicy

フィードバック

このページはお役に立ちましたか?

Last updated on 2025-08-28