Udostępnij przez

Zapora aplikacji internetowej DRS i grupy reguł CRS i reguły

Domyślny zestaw reguł zarządzanych przez platformę Azure (DRS) w zaporze aplikacji internetowej Application Gateway (WAF) aktywnie chroni aplikacje internetowe przed typowymi lukami w zabezpieczeniach i programami wykorzystującymi luki w zabezpieczeniach. Te zestawy reguł zarządzane przez platformę Azure otrzymują aktualizacje w razie potrzeby w celu ochrony przed nowymi sygnaturami ataków. Domyślny zestaw reguł zawiera również reguły zbierania danych analizy zagrożeń firmy Microsoft. Zespół ds. analizy firmy Microsoft współpracuje w pisaniu tych reguł, zapewniając ulepszone pokrycie, konkretne poprawki luk w zabezpieczeniach i ulepszoną fałszywie dodatnią redukcję.

Reguły można wyłączyć indywidualnie lub ustawić określone akcje dla każdej reguły. W tym artykule wymieniono dostępne bieżące reguły i zestawy reguł. Jeśli opublikowany zestaw reguł wymaga aktualizacji, udokumentowamy ją tutaj.

Uwaga

Po zmianie wersji zestawu reguł w zasadach zapory aplikacji sieciowej należy przenieść i zastosować istniejące akcje reguł oraz modyfikacje stanu i wykluczenia do nowej wersji zestawu reguł. Aby uzyskać więcej informacji, zobacz Uaktualnianie lub zmienianie wersji zestawu reguł.

Domyślny zestaw reguł 2.1

Domyślny zestaw reguł (DRS) 2.1 jest oparty na podstawowym zestawie reguł (CRS) 3.3.2 Open Web Application Security Project (OWASP) i obejmuje dodatkowe zastrzeżone reguły zabezpieczeń opracowane przez zespół Microsoft Threat Intelligence oraz aktualizacje sygnatur w celu zmniejszenia liczby wyników fałszywie dodatnich. Obsługuje również przekształcenia wykraczające poza dekodowanie adresów URL.

DRS 2.1 oferuje nowy silnik i nowe zestawy reguł chroniących przed wstrzyknięciami oprogramowania Java, początkowy zestaw kontroli przesyłania plików i mniej fałszywych alarmów w porównaniu z wersjami CRS. Możesz również dostosować reguły zgodnie z twoimi potrzebami. Dowiedz się więcej na temat nowego aparatu zapory aplikacji internetowej platformy Azure.

Usługa DRS 2.1 zawiera 17 grup reguł, jak pokazano w poniższej tabeli. Każda grupa zawiera wiele reguł i można dostosować zachowanie poszczególnych reguł, grup reguł lub całego zestawu reguł.

Typ zagrożenia Nazwa grupy reguł
Ogólne Ogólne
Metody blokady (PUT, PATCH) WYMUSZANIE METODY
Problemy z protokołem i kodowaniem WYMUSZANIE PROTOKOŁU
Wstrzykiwanie nagłówków, przemycanie żądań i dzielenie odpowiedzi ATAK PROTOKOŁU
Ataki na pliki i ścieżki LFI
Ataki zdalnego dołączania plików (RFI) RFI
Ataki polegające na zdalnym wykonywaniu kodu RCE
Ataki polegające na wstrzyknięciu kodu PHP Język PHP
Ataki js węzła NodeJS
Ataki skryptowe obejmujące wiele witryn XSS
Ataki polegających na wstrzyknięciu kodu SQL SQLI
Ataki polegające na fiksacji sesji Fiksacja sesji
Ataki JAVA SESJA-JAVA
Ataki przy użyciu webshella (MS) MS-ThreatIntel-WebShells
Ataki AppSec (MS) MS-ThreatIntel-AppSec
Ataki polegające na wstrzyknięciu kodu SQL (MS) MS-ZagrożenieIntel-SQLI
Ataki CVE (MS) MS-ThreatIntel-CVEs

Wskazówki dotyczące dostrajania dla DRS 2.1

Skorzystaj z poniższych wskazówek, aby dostroić WAF przy rozpoczęciu pracy z DRS 2.1 na Application Gateway WAF.

Identyfikator zasady Grupa reguł opis Rekomendacja
942110 SQL Injection (SQLI) Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe testy iniekcji Wyłącz regułę 942110, zastąpioną regułą MSTIC 99031001
942150 SQL Injection (SQLI) Atak polegający na wstrzyknięciu kodu SQL Wyłącz regułę 942150, zastąpioną regułą MSTIC 99031003
942260 SQL Injection (SQLI) Wykrywa podstawowe próby obejścia uwierzytelniania SQL 2/3 Wyłącz regułę 942260, zastąpioną regułą MSTIC 99031004
942430 SQL Injection (SQLI) Wykrywanie anomalii ograniczonego znaku SQL (args): liczba znaków specjalnych przekroczyła (12) Wyłącz regułę 942430, powoduje ona zbyt wiele fałszywych alarmów
942440 SQL Injection (SQLI) Wykryto sekwencję komentarzy SQL Wyłącz regułę 942440, zastąpioną regułą MSTIC 99031002
99005006 MS-ThreatIntel-WebShells Próba interakcji z programem Spring4Shell Zachowaj włączoną regułę, aby zapobiec lukom w zabezpieczeniach programu SpringShell
99001014 MS-ThreatIntel-CVEs Podjęto próbę wstrzyknięcia wyrażenia routingu Spring Cloud CVE-2022-22963 Zachowaj włączoną regułę, aby zapobiec lukom w zabezpieczeniach programu SpringShell
99001015 MS-ThreatIntel-CVEs Podjęto próbę wykorzystania niebezpiecznych obiektów klasy Spring Framework CVE-2022-22965 Zachowaj włączoną regułę, aby zapobiec lukom w zabezpieczeniach programu SpringShell
99001016 MS-ThreatIntel-CVEs Podjęto próbę wstrzyknięcia siłownika spring Cloud Gateway CVE-2022-22947 Zachowaj włączoną regułę, aby zapobiec lukom w zabezpieczeniach programu SpringShell
99001017 MS-ThreatIntel-CVEs Podjęto próbę przekazania pliku Apache Struts cve-2023-50164 Ustaw akcję na Blokuj, aby zapobiec lukom w zabezpieczeniach apache Struts. Ocena anomalii nie jest obsługiwana dla tej reguły

Podstawowe zestawy reguł (CRS) — wersja dziedziczna

Zalecanym zarządzanym zestawem reguł jest Domyślny Zestaw Reguł 2.1, który bazuje na Zestawie Reguł Podstawowych Open Web Application Security Project (OWASP) 3.3.2 i zawiera dodatkowe zastrzeżone reguły ochrony opracowane przez zespół Microsoft Threat Intelligence oraz aktualizacje sygnatur w celu zmniejszenia liczby wyników fałszywie dodatnich. Podczas tworzenia nowej polityki zapory aplikacji internetowej należy użyć najnowszej, zalecanej wersji zestawu reguł DRS 2.1. Jeśli masz istniejącą politykę WAF korzystającą z CRS 3.2 lub CRS 3.1, zaleca się aktualizację do DRS 2.1. Aby uzyskać więcej informacji, zobacz Uaktualnianie wersji zestawu reguł CRS lub DRS.

Uwaga

  • CrS 3.2 jest dostępny tylko w jednostce SKU WAF_v2. Nie można obniżyć wersji z CRS 3.2 do CRS 3.1 lub starszej, ponieważ CRS 3.2 działa na nowym silniku zapory aplikacji internetowych (WAF) platformy Azure. Zaleca się uaktualnienie do najnowszej wersji DRS 2.1 bezpośrednio i bezpieczne zweryfikowanie nowych reguł poprzez zmianę ich akcji na tryb dziennika. Aby uzyskać więcej informacji, zobacz Bezpieczne weryfikowanie nowych reguł.

  • Zapora aplikacji internetowej działająca w usłudze Application Gateway dla kontenerów nie obsługuje podstawowego zestawu reguł (CRS).

Dostrajanie zarządzanych zestawów reguł

Zarówno drS, jak i CRS są domyślnie włączone w trybie wykrywania w zasadach zapory aplikacji internetowej. Możesz wyłączyć lub włączyć poszczególne reguły w zestawie reguł zarządzanych, aby spełnić wymagania aplikacji. Można również ustawić określone akcje na regułę. Usługa DRS/CRS obsługuje działania dotyczące bloków, dzienników oraz oceny anomalii. Zestaw reguł Bot Manager obsługuje akcje zezwalania, blokowania i rejestrowania.

Czasami może być konieczne pominięcie niektórych atrybutów żądania z oceny zapory aplikacji internetowej. Typowym przykładem są wstawiane tokeny usługi Active Directory, które są używane do uwierzytelniania. Wykluczenia można skonfigurować do zastosowania, gdy są oceniane określone reguły zapory aplikacji internetowej, lub stosować globalnie do oceny wszystkich reguł zapory aplikacji internetowej. Reguły wykluczania mają zastosowanie do całej aplikacji internetowej. Aby uzyskać więcej informacji, zobacz Web Application Firewall (WAF) with Application Gateway exclusion lists (Zapora aplikacji internetowej) z listami wykluczeń usługi Application Gateway.

Domyślnie zapora aplikacji internetowej platformy Azure używa oceniania anomalii, gdy żądanie jest zgodne z regułą. Ponadto możesz skonfigurować reguły niestandardowe w tej samej polityce WAF, jeśli chcesz ominąć dowolną ze wstępnie skonfigurowanych reguł w Core Rule Set.

Reguły niestandardowe są zawsze stosowane przed obliczeniu reguł w zestawie reguł podstawowych. Jeśli żądanie pasuje do reguły niestandardowej, zostanie zastosowana odpowiednia akcja reguły. Żądanie jest zablokowane lub przekazywane do zaplecza. Żadne inne reguły niestandardowe ani reguły w zestawie reguł podstawowych nie są przetwarzane.

Ocenianie anomalii

W przypadku korzystania z usług CRS lub DRS 2.1 lub nowszych zapora aplikacji internetowej jest domyślnie skonfigurowana do używania oceniania anomalii. Ruch zgodny z dowolną regułą nie jest natychmiast blokowany, nawet jeśli zapora aplikacji internetowej jest w trybie zapobiegania. Zamiast tego zestawy reguł OWASP definiują ważność dla każdej reguły: Krytyczne, Błąd, Ostrzeżenie lub Powiadomienie. Ważność ma wpływ na wartość liczbową żądania, która jest nazywana wynikiem anomalii:

Ważność reguły Wartość przyczyniła się do wyniku anomalii
Krytyczne 5
Błąd 100
Ostrzeżenie 3
Uwaga 2

Jeśli wynik anomalii wynosi 5 lub większy, a zapora aplikacji internetowej jest w trybie zapobiegania, żądanie zostanie zablokowane. Jeśli wynik anomalii wynosi 5 lub większy, a zapora aplikacji internetowej jest w trybie wykrywania, żądanie jest rejestrowane, ale nie jest blokowane.

Na przykład pojedyncze dopasowanie reguły krytycznej wystarczy, aby zapora aplikacji internetowej zablokowała żądanie w trybie zapobiegania, ponieważ ogólny wynik anomalii wynosi 5. Jednak jedno dopasowanie reguły ostrzeżenia zwiększa tylko wynik anomalii o 3, co nie wystarczy, aby zablokować ruch. Po wyzwoleniu reguły anomalii w dziennikach zostanie wyświetlona akcja "Dopasowane". Jeśli wynik anomalii wynosi 5 lub więcej, jest uruchamiana osobna reguła z akcją "Zablokowane" lub "Wykryte", w zależności od tego, czy polityka WAF jest w trybie zapobiegania, czy wykrywania. Aby uzyskać więcej informacji, sprawdź Tryb oceniania anomalii.

Poziom paranoi

Każda reguła jest przypisana do określonego poziomu paranoi (PL). Reguły skonfigurowane w Paranoia Level 1 (PL1) są mniej agresywne i prawie nigdy nie wywołują fałszywego alarmu. Zapewniają one podstawowe zabezpieczenia przy minimalnej potrzebie dostrajania. Reguły w PL2 wykrywają więcej ataków, ale oczekuje się, że mogą wywoływać fałszywe alarmy, które należy dostosować.

Domyślnie wersje reguł DRS 2.1 i CRS 3.2 są wstępnie skonfigurowane w Paranoia Level 2, w tym reguły przypisane zarówno w PL1, jak i w PL2. Jeśli chcesz używać WAF wyłącznie z PL1, możesz wyłączyć dowolną lub wszystkie reguły PL2 lub zmienić ich działanie na "log". Interfejsy PL3 i PL4 nie są obecnie obsługiwane w zaporze aplikacji internetowej Azure (WAF).

Uwaga

Zestaw reguł CRS 3.2 zawiera reguły w PL3 i PL4, ale te reguły są zawsze nieaktywne i nie można ich włączyć, niezależnie od ich skonfigurowanego stanu lub akcji.

Uaktualnianie lub zmienianie wersji zestawu reguł

Jeśli uaktualniasz lub przypisujesz nową wersję zestawu reguł i chcesz zachować istniejące przesłonięcia i wykluczenia reguł, zaleca się użycie programu PowerShell, interfejsu wiersza polecenia, interfejsu API REST lub szablonu w celu wprowadzenia zmian w wersji zestawu reguł. Nowa wersja zestawu reguł może mieć nowsze reguły lub dodatkowe grupy reguł, które można bezpiecznie zweryfikować. Zaleca się zweryfikowanie zmian w środowisku testowym, dostosowanie w razie potrzeby, a następnie wdrożenie w środowisku produkcyjnym. Aby uzyskać więcej informacji, zobacz Uaktualnianie wersji zestawu reguł CRS lub DRS

Jeśli używasz portalu Azure do przypisania nowego zarządzanego zestawu reguł do zasad WAF, wszystkie wcześniejsze dostosowania z istniejącego zarządzanego zestawu reguł, takie jak stan reguły, akcje reguł i wykluczenia na poziomie reguły, zostaną zresetowane do wartości domyślnych nowego zarządzanego zestawu reguł. Jednak wszystkie niestandardowe reguły, ustawienia zasad i wykluczenia globalne pozostaną nienaruszone podczas nowego przypisania zestawu reguł. Przed wdrożeniem w środowisku produkcyjnym należy ponownie zdefiniować przesłonięcia reguł i zweryfikować zmiany.

Menedżer botów 1.0

Zestaw reguł usługi Bot Manager 1.0 zapewnia ochronę przed złośliwymi botami i wykrywaniem dobrych botów. Reguły zapewniają szczegółową kontrolę nad botami wykrytymi przez zaporę aplikacji internetowej przez kategoryzowanie ruchu bota jako Dobre, Złe lub Nieznane boty.

Grupa reguł opis
BadBots Ochrona przed złymi botami
Dobre Boty Identyfikowanie dobrych botów
Nieznane Boty Identyfikowanie nieznanych botów

Menedżer botów 1.1

Zestaw reguł usługi Bot Manager 1.1 to ulepszenie zestawu reguł usługi Bot Manager 1.0. Zapewnia on rozszerzoną ochronę przed złośliwymi botami i zwiększa dobre wykrywanie botów.

Grupa reguł opis
BadBots Ochrona przed złymi botami
Dobre Boty Identyfikowanie dobrych botów
Nieznane Boty Identyfikowanie nieznanych botów

Następujące grupy reguł i reguły są dostępne w przypadku korzystania z zapory aplikacji internetowej w usłudze Application Gateway.

Zestawy reguł 2.1

Ogólne

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
200002 Krytyczne - 5 PL1 Nie można przeanalizować treści żądania
200003 Krytyczne - 5 PL1 Treść żądania wieloczęściowego nie powiodła się ścisłej walidacji

WYMUSZANIE METODY

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
911100 Krytyczne - 5 PL1 Metoda nie jest dozwolona przez zasady

PROTOKUŁ-WYMUSZENIE

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
920100 Uwaga - 2 PL1 Nieprawidłowy wiersz żądania HTTP
920120 Krytyczne - 5 PL1 Podjęto próbę obejścia danych wieloczęściowych/formularzy
920121 Krytyczne - 5 Płyta PL2 Podjęto próbę obejścia danych wieloczęściowych/formularzy
920160 Krytyczne - 5 PL1 Nagłówek HTTP Content-Length nie jest numeryczny
920170 Krytyczne - 5 PL1 Żądanie GET lub HEAD z treścią
920171 Krytyczne - 5 PL1 Żądanie typu GET lub typu HEAD z elementem Transfer-Encoding
920180 Uwaga - 2 PL1 Nagłówek Content-Length jest brakujący w żądaniu POST.
920181 Ostrzeżenie - 3 PL1 Nagłówki Content-Length i Transfer-Encoding są obecne 99001003
920190 Ostrzeżenie - 3 PL1 Zakres: Nieprawidłowa ostatnia wartość bajtu
920200 Ostrzeżenie - 3 Płyta PL2 Zakres: zbyt wiele pól (co najmniej 6)
920201 Ostrzeżenie - 3 Płyta PL2 Zakres: zbyt wiele pól dla żądania pdf (co najmniej 35)
920210 Krytyczne - 5 PL1 Znaleziono wiele/sprzeczne dane nagłówka połączenia
920220 Ostrzeżenie - 3 PL1 Próba ataku na nadużycie kodowania adresów URL
920230 Ostrzeżenie - 3 Płyta PL2 Wykryto kodowanie wielu adresów URL
920240 Ostrzeżenie - 3 PL1 Próba ataku na nadużycie kodowania adresów URL
920260 Ostrzeżenie - 3 PL1 Próba ataku na ataki typu Full/Half Width Unicode
920270 Błąd - 4 PL1 Nieprawidłowy znak w żądaniu (znak null)
920271 Krytyczne - 5 Płyta PL2 Nieprawidłowy znak w żądaniu (znaki niedrukowalne)
920280 Ostrzeżenie - 3 PL1 Żądanie braku nagłówka hosta
920290 Ostrzeżenie - 3 PL1 Pusty nagłówek hosta
920300 Uwaga - 2 Płyta PL2 Żądanie braku nagłówka accept
920310 Uwaga - 2 PL1 Żądanie ma pusty nagłówek Accept
920311 Uwaga - 2 PL1 Żądanie ma pusty nagłówek Accept
920320 Uwaga - 2 Płyta PL2 Brak nagłówka agenta użytkownika
920330 Uwaga - 2 PL1 Pusty nagłówek agenta użytkownika
920340 Uwaga - 2 PL1 Żądanie zawierające zawartość, ale brak nagłówka Content-Type
920341 Krytyczne - 5 PL1 Żądanie zawierające zawartość wymaga nagłówka Content-Type
920350 Ostrzeżenie - 3 PL1 Nagłówek hosta jest numerycznym adresem IP
920420 Krytyczne - 5 PL1 Typ zawartości żądania nie jest dozwolony przez zasady
920430 Krytyczne - 5 PL1 Wersja protokołu HTTP nie jest dozwolona przez zasady
920440 Krytyczne - 5 PL1 Rozszerzenie pliku adresu URL jest ograniczone przez zasady
920450 Krytyczne - 5 PL1 Nagłówek HTTP jest ograniczony przez zasady
920470 Krytyczne - 5 PL1 Nagłówek niedozwolonego typu zawartości
920480 Krytyczne - 5 PL1 Żądanie typu zawartości charset nie jest dozwolone przez zasady
920500 Krytyczne - 5 PL1 Próba uzyskania dostępu do kopii zapasowej lub działającego pliku

PROTOKÓŁ-ATAK

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
921110 Krytyczne - 5 PL1 Atak przemytu żądań HTTP
921120 Krytyczne - 5 PL1 Atak dzielenia odpowiedzi HTTP
921130 Krytyczne - 5 PL1 Atak dzielenia odpowiedzi HTTP
921140 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem nagłówków
921150 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem ładunku (wykryto cr/LF)
921151 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem ładunku (wykryto cr/LF)
921160 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem ładunku (wykryto wartość CR/LF i nazwę nagłówka)
921190 Krytyczne - 5 PL1 Dzielenie HTTP (CR/LF w wykrytej nazwie żądania)
921 200 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu protokołu LDAP

LFI — włączenie plików lokalnych

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
930100 Krytyczne - 5 PL1 Atak przechodzenia ścieżki (/.. /)
930110 Krytyczne - 5 PL1 Atak przechodzenia ścieżki (/.. /)
930120 Krytyczne - 5 PL1 Próba uzyskania dostępu do pliku systemu operacyjnego
930130 Krytyczne - 5 PL1 Próba dostępu do plików z ograniczeniami

RFI — włączenie plików zdalnych

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
931100 Krytyczne - 5 PL1 Możliwy atak zdalnego dołączania plików (RFI): parametr adresu URL przy użyciu adresu IP
931110 Krytyczne - 5 PL1 Możliwy atak zdalnego dołączania plików (RFI): typowa nazwa parametru podatnego na ataki RFI używana w/URL ładunku
931120 Krytyczne - 5 PL1 Możliwy zdalny atak dołączania plików (RFI): ładunek adresu URL używany w/końcowy znak znaku zapytania (?)
931130 Krytyczne - 5 Płyta PL2 Możliwy atak zdalnego dołączania plików (RFI): odwołanie poza domeną/łącze

RCE — zdalne wykonywanie poleceń

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
932100 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Wstrzykiwanie poleceń w systemie Unix
932105 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Wstrzykiwanie poleceń w systemie Unix
932110 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: iniekcja poleceń systemu Windows
932115 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: iniekcja poleceń systemu Windows
932120 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono polecenie programu Windows PowerShell
932130 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono lukę w zabezpieczeniach wyrażeniu powłoki unix lub confluence (CVE-2022-26134)
932140 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono polecenie Windows FOR/IF
932150 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: bezpośrednie wykonywanie poleceń systemu Unix
932160 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono kod powłoki systemu Unix
932170 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Shellshock (CVE-2014-6271)
932171 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Shellshock (CVE-2014-6271)
932180 Krytyczne - 5 PL1 Próba przekazania pliku z ograniczeniami

Ataki PHP

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
933100 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono znacznik otwierający/zamykający
933110 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono plik skryptu PHP
933120 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono dyrektywę konfiguracji
933130 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znalezione zmienne
933140 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: Znaleziono strumień we/wy
933150 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono nazwę funkcji PHP o wysokim ryzyku
933151 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu PHP: znaleziona nazwa funkcji PHP o średnim ryzyku
933160 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono wywołanie funkcji PHP o wysokim ryzyku
933170 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: wstrzyknięcie obiektu serializowanego
933180 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono wywołanie funkcji zmiennej
933200 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: wykryto schemat otoki
933210 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono wywołanie funkcji zmiennej

Ataki js węzła

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
934100 Krytyczne - 5 PL1 atak polegający na wstrzyknięciu Node.js

XSS — skrypty między witrynami

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
941100 Krytyczne - 5 PL1 Wykryto atak XSS za pośrednictwem libinjection
941101 Krytyczne - 5 Płyta PL2 Wykryto atak XSS za pośrednictwem libinjection.
Ta reguła wykrywa żądania z nagłówkiem Referer
941110 Krytyczne - 5 PL1 Filtr XSS — kategoria 1: wektor tagu skryptu
941120 Krytyczne - 5 PL1 Filtr XSS — kategoria 2: wektor obsługi zdarzeń
941130 Krytyczne - 5 PL1 Filtr XSS — kategoria 3: wektor atrybutu
941140 Krytyczne - 5 PL1 Filtr XSS — kategoria 4: wektor identyfikatora URI języka JavaScript
941150 Krytyczne - 5 Płyta PL2 Filtr XSS — kategoria 5: niedozwolone atrybuty HTML
941160 Krytyczne - 5 PL1 NoScript XSS InjectionChecker: wstrzykiwanie kodu HTML
941170 Krytyczne - 5 PL1 NoScript XSS InjectionChecker: Iniekcja atrybutów
941180 Krytyczne - 5 PL1 Słowa kluczowe listy bloków modułu sprawdzania poprawności węzła
941190 Krytyczne - 5 PL1 XSS korzystające z arkuszy stylów
941200 Krytyczne - 5 PL1 XSS z ramkami VML
941210 Krytyczne - 5 PL1 Usługa XSS korzystająca z zaciemnionego kodu JavaScript
941220 Krytyczne - 5 PL1 XSS używający zaciemnionego skryptu VB
941230 Krytyczne - 5 PL1 XSS przy użyciu tagu "embed"
941240 Krytyczne - 5 PL1 XSS używający atrybutu "import" lub "implementation"
941250 Krytyczne - 5 PL1 Filtry XSS IE — wykryto atak
941260 Krytyczne - 5 PL1 XSS używający tagu "meta"
941270 Krytyczne - 5 PL1 XSS przy użyciu elementu href "link"
941280 Krytyczne - 5 PL1 XSS używający tagu "base"
941290 Krytyczne - 5 PL1 XSS przy użyciu tagu "apletu"
941300 Krytyczne - 5 PL1 XSS przy użyciu tagu "object"
941310 Krytyczne - 5 PL1 Źle sformułowany filtr XSS kodowania US-ASCII — wykryto atak
941320 Krytyczne - 5 Płyta PL2 Wykryto możliwy atak XSS — procedura obsługi tagów HTML
941330 Krytyczne - 5 Płyta PL2 Filtry XSS IE — wykryto atak
941340 Krytyczne - 5 Płyta PL2 Filtry XSS IE — wykryto atak
941350 Krytyczne - 5 PL1 Kodowanie UTF-7 IE XSS — wykryto atak
941360 Krytyczne - 5 PL1 Wykryto zaciemnianie kodu JavaScript
941370 Krytyczne - 5 PL1 Znaleziono zmienną globalną języka JavaScript
941380 Krytyczne - 5 Płyta PL2 Wykryto wstrzyknięcie szablonu po stronie klienta AngularJS

SQLI — iniekcja SQL

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
942100 Krytyczne - 5 PL1 Wykryto atak polegający na wstrzyknięciu kodu SQL za pośrednictwem libinjection
942110 Ostrzeżenie - 3 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe testy iniekcji
942120 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL: wykryto operator SQL
942130 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL: wykryto tautologię SQL
942140 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe nazwy baz danych
942150 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942160 Krytyczne - 5 PL1 Wykrywa ślepe testy sqli za pomocą sleep() lub benchmark()
942170 Krytyczne - 5 PL1 Wykrywa próby testu porównawczego SQL i iniekcji snu, w tym zapytania warunkowe
942180 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 1/3
942190 Krytyczne - 5 PL1 Wykrywa wykonywanie kodu MSSQL i próby zbierania informacji
942200 Krytyczne - 5 Płyta PL2 Wykrywa wstrzyknięcia komentarza MySQL/zaciemnione miejsca i zakończenie backtick
942210 Krytyczne - 5 Płyta PL2 Wykrywa łańcuchowe próby wstrzyknięcia kodu SQL 1/2
942220 Krytyczne - 5 PL1 Szukasz ataków przepełnienia liczb całkowitych, pochodzą one z skipfish, z wyjątkiem 3.0.00738585072007e-308 jest "liczbą magiczną" awarii
942230 Krytyczne - 5 PL1 Wykrywa próby wstrzyknięcia warunkowego kodu SQL
942240 Krytyczne - 5 PL1 Wykrywa przełącznik znaków MySQL i próby msSQL DoS
942250 Krytyczne - 5 PL1 Wykrywa iniekcje MATCH AGAINST, MERGE i EXECUTE IMMEDIATE
942260 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 2/3
942270 Krytyczne - 5 PL1 Szukasz podstawowego iniekcji sql. Typowy ciąg ataku dla mysql, oracle i innych
942280 Krytyczne - 5 PL1 Wykrywa wstrzyknięcie pg_sleep Postgres, oczekiwanie na ataki opóźnione i próby zamknięcia bazy danych
942290 Krytyczne - 5 PL1 Znajduje podstawowe próby wstrzyknięcia kodu SQL bazy danych MongoDB
942300 Krytyczne - 5 Płyta PL2 Wykrywa komentarze, warunki i wstrzyknięcia bazy danych MySQL (a)r
942310 Krytyczne - 5 Płyta PL2 Wykrywa łańcuchowe próby wstrzyknięcia kodu SQL 2/2
942320 Krytyczne - 5 PL1 Wykrywa procedury składowane/iniekcje funkcji MySQL i PostgreSQL
942330 Krytyczne - 5 Płyta PL2 Wykrywa klasyczne sondowania iniekcji SQL 1/2
942340 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 3/3
942350 Krytyczne - 5 PL1 Wykrywa iniekcję funkcji zdefiniowanej przez użytkownika mySQL i inne próby manipulowania danymi/strukturą
942360 Krytyczne - 5 PL1 Wykrywa połączoną podstawową iniekcję SQL i próby SQLLFI
942361 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe wstrzyknięcie kodu SQL na podstawie zmiany słowa kluczowego lub unii
942370 Krytyczne - 5 Płyta PL2 Wykrywa klasyczne sondowania iniekcji SQL 2/2
942380 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942390 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942400 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942410 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942430 Ostrzeżenie - 3 Płyta PL2 Wykrywanie anomalii ograniczonego znaku SQL (args): liczba znaków specjalnych przekroczyła (12)
942440 Krytyczne - 5 Płyta PL2 Wykryto sekwencję komentarzy SQL
942450 Krytyczne - 5 Płyta PL2 Zidentyfikowano kodowanie szesnastkowy SQL
942470 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942480 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942500 Krytyczne - 5 PL1 Wykryto komentarz w wierszu MySQL
942510 Krytyczne - 5 Płyta PL2 Próba obejścia programu SQLi przez wykrycie znaczników lub odwrotnych znaczników

SESJA-FIKSACJA

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
943100 Krytyczne - 5 PL1 Możliwy atak naprawy sesji: ustawianie wartości plików cookie w kodzie HTML
943110 Krytyczne - 5 PL1 Możliwy atak naprawy sesji: nazwa parametru SessionID z odwołaniem poza domeną
943120 Krytyczne - 5 PL1 Możliwy atak naprawy sesji: nazwa parametru SessionID bez odwołania

Ataki java

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
944100 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Apache Struts, Oracle WebLogic
944110 Krytyczne - 5 PL1 Wykrywa potencjalne wykonanie ładunku
944120 Krytyczne - 5 PL1 Możliwe wykonywanie ładunku i zdalne wykonywanie poleceń
944130 Krytyczne - 5 PL1 Podejrzane klasy języka Java
944200 Krytyczne - 5 Płyta PL2 Wykorzystanie deserializacji języka Java Apache Commons
944210 Krytyczne - 5 Płyta PL2 Możliwe użycie serializacji języka Java
944240 Krytyczne - 5 Płyta PL2 Zdalne wykonywanie poleceń: luka w zabezpieczeniach dotycząca serializacji Java i log4j (CVE-2021-44228, CVE-2021-45046)
944250 Krytyczne - 5 Płyta PL2 Zdalne wykonywanie poleceń: wykryto podejrzaną metodę Java

MS-ThreatIntel-WebShells

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
99005002 Krytyczne - 5 Płyta PL2 Próba interakcji z powłoką internetową (POST)
99005003 Krytyczne - 5 Płyta PL2 Próba przekazania powłoki internetowej (POST) — CHOPPER PHP
99005004 Krytyczne - 5 Płyta PL2 Próba przekazania powłoki internetowej (POST) — CHOPPER ASPX
99005005 Krytyczne - 5 Płyta PL2 Próba interakcji z powłoką internetową
99005006 Krytyczne - 5 Płyta PL2 Próba interakcji z programem Spring4Shell

MS-ThreatIntel-AppSec

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
99030001 Krytyczne - 5 Płyta PL2 Uchylanie się od przechodzenia ścieżki w nagłówkach (/.. /./.. /)
99030002 Krytyczne - 5 Płyta PL2 Uchylanie się od przechodzenia ścieżki w treści żądania (/.. /./.. /)

MS-ThreatIntel-SQLI

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
99031001 Ostrzeżenie - 3 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe testy iniekcji
99031002 Krytyczne - 5 Płyta PL2 Wykryto sekwencję komentarzy SQL
99031003 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
99031004 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 2/3

MS-ThreatIntel-CVEs

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
99001001 Krytyczne - 5 Płyta PL2 Podjęto próbę użycia interfejsu API REST W języku F5 tmui (CVE-2020-5902) Ze znanymi poświadczeniami
99001002 Krytyczne - 5 Płyta PL2 Podjęto próbę przejścia katalogu Citrix NSC_USER CVE-2019-19781
99001003 Krytyczne - 5 Płyta PL2 Podjęto próbę wykorzystania łącznika widżetu Confluence Atlassian CVE-2019-3396
99001004 Krytyczne - 5 Płyta PL2 Próba wykorzystania szablonu niestandardowego Pulse Secure CVE-2020-8243
99001005 Krytyczne - 5 Płyta PL2 Próba wykorzystania konwertera typów programu SharePoint CVE-2020-0932
99001006 Krytyczne - 5 Płyta PL2 Próba przejścia katalogu Pulse Connect CVE-2019-11510
99001007 Krytyczne - 5 Płyta PL2 Podjęto próbę dołączenia lokalnego pliku junos J-Web CVE-2020-1631
99001008 Krytyczne - 5 Płyta PL2 Podjęto próbę przejścia ścieżki fortinet CVE-2018-13379
99001009 Krytyczne - 5 Płyta PL2 Podjęto próbę wstrzyknięcia struts apache ognl CVE-2017-5638
99001010 Krytyczne - 5 Płyta PL2 Podjęto próbę wstrzyknięcia struts platformy Apache CVE-2017-12611
99001011 Krytyczne - 5 Płyta PL2 Podjęto próbę przejścia ścieżki Oracle WebLogic CVE-2020-14882
99001012 Krytyczne - 5 Płyta PL2 Podjęto próbę wykorzystania niezabezpieczonego deserializacji telerik WebUI CVE-2019-18935
99001013 Krytyczne - 5 Płyta PL2 Podjęto próbę deserializacji XML niezabezpieczonego programu SharePoint CVE-2019-0604
99001014 Krytyczne - 5 Płyta PL2 Podjęto próbę wstrzyknięcia wyrażenia routingu Spring Cloud CVE-2022-22963
99001015 Krytyczne - 5 Płyta PL2 Podjęto próbę wykorzystania niebezpiecznych obiektów klasy Spring Framework CVE-2022-22965
99001016 Krytyczne - 5 Płyta PL2 Podjęto próbę wstrzyknięcia siłownika spring Cloud Gateway CVE-2022-22947
99001017* N/A N/A Podjęto próbę przekazania pliku Apache Struts cve-2023-50164
99001018 Krytyczne - 5 PL1 Podjęto próbę zdalnego wykonywania kodu programu React2Shell CVE-2025-55182

* Ta reguła jest domyślnie ustawiona na rejestrowanie. Ustaw akcję na Blokuj, aby zapobiec lukom w zabezpieczeniach apache Struts. Wynik anomalii nie jest obsługiwany dla tej reguły.

Uwaga

Podczas przeglądania dzienników zapory aplikacji internetowej może zostać wyświetlony identyfikator reguły 949110. Opis reguły może zawierać wynik anomalii dla ruchu przychodzącego przekroczony.

Ta reguła wskazuje, że łączny wynik anomalii dla żądania przekroczył maksymalny dozwolony wynik. Aby uzyskać więcej informacji, zobacz Anomaly scoring (Ocenianie anomalii).

Poniżej przedstawiono poprzednie wersje zestawu reguł podstawowych. Jeśli używasz crS 3.2, CRS 3.1, CRS 3.0 lub CRS 2.2.9, zaleca się uaktualnienie do najnowszej wersji zestawu reguł DRS 2.1. Aby uzyskać więcej informacji, zobacz Uaktualnianie lub zmienianie wersji zestawu reguł.

Zestawy reguł 3.2

Ogólne

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
200002 Krytyczne - 5 PL1 Nie można przeanalizować treści żądania
200003 Krytyczne - 5 PL1 Ścisła walidacja wieloczęściowej treści żądania
200004 Krytyczne - 5 PL1 Możliwa wieloczęściowa niedopasowana granica

ZNANE CVES

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
800100 Krytyczne - 5 Płyta PL2 Reguła ułatwiając wykrywanie i eliminowanie luki w zabezpieczeniach log4j CVE-2021-44228, CVE-2021-45046
800110 Krytyczne - 5 Płyta PL2 Próba interakcji z programem Spring4Shell
800111 Krytyczne - 5 Płyta PL2 Podjęto próbę wstrzyknięcia wyrażenia routingu spring Cloud — CVE-2022-22963
800112 Krytyczne - 5 Płyta PL2 Próba wykorzystania niebezpiecznych obiektów klas platformy Spring Framework — CVE-2022-22965
800113 Krytyczne - 5 Płyta PL2 Podjęto próbę wstrzyknięcia siłownika spring Cloud Gateway — CVE-2022-22947
800114* Krytyczne - 5 Płyta PL2 Próba przekazania pliku Apache Struts — CVE-2023-50164

* Ta reguła jest domyślnie ustawiona na rejestrowanie. Ustaw akcję na Blokuj, aby zapobiec lukom w zabezpieczeniach apache Struts. Wynik anomalii nie jest obsługiwany dla tej reguły.

ŻĄDANIE-911-METHOD-ENFORCEMENT

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
911100 Krytyczne - 5 PL1 Metoda nie jest dozwolona przez zasady

ŻĄDANIE-913-SCANNER-DETECTION

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
913100 Krytyczne - 5 PL1 Znaleziono agenta użytkownika skojarzonego ze skanerem zabezpieczeń
913101 Krytyczne - 5 Płyta PL2 Znaleziono agenta użytkownika skojarzonego ze skryptami/ogólnym klientem HTTP
913102 Krytyczne - 5 Płyta PL2 Znaleziono agenta użytkownika skojarzonego z przeszukiwarką sieci Web/botem
913110 Krytyczne - 5 PL1 Znaleziono nagłówek żądania skojarzony ze skanerem zabezpieczeń
913120 Krytyczne - 5 PL1 Znaleziono nazwę pliku/argument żądania skojarzony ze skanerem zabezpieczeń

ŻĄDANIE-920-PROTOCOL-ENFORCEMENT

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
920100 Ostrzeżenie - 3 PL1 Nieprawidłowy wiersz żądania HTTP
920120 Krytyczne - 5 PL1 Podjęto próbę obejścia danych wieloczęściowych/formularzy
920121 Krytyczne - 5 Płyta PL2 Podjęto próbę obejścia danych wieloczęściowych/formularzy
920160 Krytyczne - 5 PL1 Nagłówek HTTP Content-Length nie jest numeryczny
920170 Krytyczne - 5 PL1 Żądanie GET lub HEAD z treścią
920171 Krytyczne - 5 PL1 Żądanie typu GET lub typu HEAD z elementem Transfer-Encoding
920180 Ostrzeżenie - 3 PL1 Nagłówek Content-Length jest brakujący w żądaniu POST.
920190 Ostrzeżenie - 3 PL1 Zakres: Nieprawidłowa ostatnia wartość bajtu
920200 Ostrzeżenie - 3 Płyta PL2 Zakres: zbyt wiele pól (co najmniej 6)
920201 Ostrzeżenie - 3 Płyta PL2 Zakres: zbyt wiele pól dla żądania pdf (co najmniej 35)
920210 Ostrzeżenie - 3 PL1 Znaleziono wiele/sprzeczne dane nagłówka połączenia
920220 Ostrzeżenie - 3 PL1 Próba ataku na nadużycie kodowania adresów URL
920230 Ostrzeżenie - 3 Płyta PL2 Wykryto kodowanie wielu adresów URL
920240 Ostrzeżenie - 3 PL1 Próba ataku na nadużycie kodowania adresów URL
920250 Ostrzeżenie - 3 PL1 Próba ataku na nadużycie kodowania UTF8
920260 Ostrzeżenie - 3 PL1 Próba ataku na ataki typu Full/Half Width Unicode
920270 Krytyczne - 5 PL1 Nieprawidłowy znak w żądaniu (znak null)
920271 Krytyczne - 5 Płyta PL2 Nieprawidłowy znak w żądaniu (znaki niedrukowalne)
920280 Ostrzeżenie - 3 PL1 Żądanie braku nagłówka hosta
920290 Ostrzeżenie - 3 PL1 Pusty nagłówek hosta
920300 Uwaga - 2 Płyta PL2 Żądanie braku nagłówka accept
920310 Uwaga - 2 PL1 Żądanie ma pusty nagłówek Accept
920311 Uwaga - 2 PL1 Żądanie ma pusty nagłówek Accept
920320 Uwaga - 2 Płyta PL2 Brak nagłówka agenta użytkownika
920330 Uwaga - 2 PL1 Pusty nagłówek agenta użytkownika
920340 Uwaga - 2 PL1 Żądanie zawierające zawartość, ale brak nagłówka Content-Type
920341 Krytyczne - 5 Płyta PL2 Żądanie zawierające zawartość wymaga nagłówka Content-Type
920350 Ostrzeżenie - 3 PL1 Nagłówek hosta jest numerycznym adresem IP
920420 Krytyczne - 5 PL1 Typ zawartości żądania nie jest dozwolony przez zasady
920430 Krytyczne - 5 PL1 Wersja protokołu HTTP nie jest dozwolona przez zasady
920440 Krytyczne - 5 PL1 Rozszerzenie pliku adresu URL jest ograniczone przez zasady
920450 Krytyczne - 5 PL1 Nagłówek HTTP jest ograniczony przez zasady (%{MATCHED_VAR})
920470 Krytyczne - 5 PL1 Nagłówek niedozwolonego typu zawartości
920480 Krytyczne - 5 PL1 Ograniczanie parametru charset w nagłówku typu zawartości

ŻĄDANIE-921-PROTOCOL-ATTACK

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
921110 Krytyczne - 5 PL1 Atak przemytu żądań HTTP
921120 Krytyczne - 5 PL1 Atak dzielenia odpowiedzi HTTP
921130 Krytyczne - 5 PL1 Atak dzielenia odpowiedzi HTTP
921140 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem nagłówków
921150 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem ładunku (wykryto cr/LF)
921151 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem ładunku (wykryto cr/LF)
921160 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu nagłówka HTTP za pośrednictwem ładunku (wykryto wartość CR/LF i nazwę nagłówka)

WNIOSEK-930-APLIKACJA-ATTACK-LFI

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
930100 Krytyczne - 5 PL1 Atak przechodzenia ścieżki (/.. /)
930110 Krytyczne - 5 PL1 Atak przechodzenia ścieżki (/.. /)
930120 Krytyczne - 5 PL1 Próba uzyskania dostępu do pliku systemu operacyjnego
930130 Krytyczne - 5 PL1 Próba dostępu do plików z ograniczeniami

WNIOSEK-931-APLIKACJA-ATTACK-RFI

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
931100 Krytyczne - 5 PL1 Możliwy atak zdalnego dołączania plików (RFI): parametr adresu URL przy użyciu adresu IP
931110 Krytyczne - 5 PL1 Możliwy atak zdalnego dołączania plików (RFI): typowa nazwa parametru podatnego na ataki RFI używana w/URL ładunku
931120 Krytyczne - 5 PL1 Możliwy zdalny atak dołączania plików (RFI): ładunek adresu URL używany w/końcowy znak znaku zapytania (?)
931130 Krytyczne - 5 Płyta PL2 Możliwy atak zdalnego dołączania plików (RFI): odwołanie poza domeną/łącze

WNIOSEK-932-APLIKACJA-ATTACK-RCE

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
932100 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Wstrzykiwanie poleceń w systemie Unix
932105 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Wstrzykiwanie poleceń w systemie Unix
932110 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: iniekcja poleceń systemu Windows
932115 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: iniekcja poleceń systemu Windows
932120 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono polecenie programu Windows PowerShell
932130 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono lukę w zabezpieczeniach wyrażeniu powłoki unix lub confluence (CVE-2022-26134) lub text4Shell (CVE-2022-42889)
932140 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono polecenie Windows FOR/IF
932150 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: bezpośrednie wykonywanie poleceń systemu Unix
932160 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: znaleziono kod powłoki systemu Unix
932170 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Shellshock (CVE-2014-6271)
932171 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Shellshock (CVE-2014-6271)
932180 Krytyczne - 5 PL1 Próba przekazania pliku z ograniczeniami

WNIOSEK-933-APLIKACJA-ATTACK-PHP

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
933100 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono znacznik otwierający/zamykający
933110 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono plik skryptu PHP
933120 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono dyrektywę konfiguracji
933130 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znalezione zmienne
933140 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: Znaleziono strumień we/wy
933150 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono nazwę funkcji PHP o wysokim ryzyku
933151 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu PHP: znaleziona nazwa funkcji PHP o średnim ryzyku
933160 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono wywołanie funkcji PHP o wysokim ryzyku
933170 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: wstrzyknięcie obiektu serializowanego
933180 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono wywołanie funkcji zmiennej
933200 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: wykryto schemat otoki
933210 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu PHP: znaleziono wywołanie funkcji zmiennej

WNIOSEK-941-APLIKACJA-ATTACK-XSS

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
941100 Krytyczne - 5 PL1 Wykryto atak XSS za pośrednictwem libinjection
941101 Krytyczne - 5 Płyta PL2 Atak XSS wykryty za pośrednictwem libinjection
Ta reguła wykrywa żądania z nagłówkiem Referer
941110 Krytyczne - 5 PL1 Filtr XSS — kategoria 1: wektor tagu skryptu
941120 Krytyczne - 5 PL1 Filtr XSS — kategoria 2: wektor obsługi zdarzeń
941130 Krytyczne - 5 PL1 Filtr XSS — kategoria 3: wektor atrybutu
941140 Krytyczne - 5 PL1 Filtr XSS — kategoria 4: wektor identyfikatora URI języka JavaScript
941150 Krytyczne - 5 Płyta PL2 Filtr XSS — kategoria 5: niedozwolone atrybuty HTML
941160 Krytyczne - 5 PL1 NoScript XSS InjectionChecker: wstrzykiwanie kodu HTML
941170 Krytyczne - 5 PL1 NoScript XSS InjectionChecker: Iniekcja atrybutów
941180 Krytyczne - 5 PL1 Słowa kluczowe blacklist modułu sprawdzania poprawności węzła
941190 Krytyczne - 5 PL1 XSS korzystające z arkuszy stylów
941200 Krytyczne - 5 PL1 XSS z ramkami VML
941210 Krytyczne - 5 PL1 XSS używający zaciemnionego kodu JavaScript lub text4Shell (CVE-2022-42889)
941220 Krytyczne - 5 PL1 XSS używający zaciemnionego skryptu VB
941230 Krytyczne - 5 PL1 XSS przy użyciu tagu "embed"
941240 Krytyczne - 5 PL1 XSS używający atrybutu "import" lub "implementation"
941250 Krytyczne - 5 PL1 Filtry XSS IE — wykryto atak
941260 Krytyczne - 5 PL1 XSS używający tagu "meta"
941270 Krytyczne - 5 PL1 XSS przy użyciu elementu href "link"
941280 Krytyczne - 5 PL1 XSS używający tagu "base"
941290 Krytyczne - 5 PL1 XSS przy użyciu tagu "apletu"
941300 Krytyczne - 5 PL1 XSS przy użyciu tagu "object"
941310 Krytyczne - 5 PL1 Źle sformułowany filtr XSS kodowania US-ASCII — wykryto atak
941320 Krytyczne - 5 Płyta PL2 Wykryto możliwy atak XSS — procedura obsługi tagów HTML
941330 Krytyczne - 5 Płyta PL2 Filtry XSS IE — wykryto atak
941340 Krytyczne - 5 Płyta PL2 Filtry XSS IE — wykryto atak
941350 Krytyczne - 5 PL1 Kodowanie UTF-7 IE XSS — wykryto atak
941360 Krytyczne - 5 PL1 Wykryto zaciemnianie kodu JavaScript

WNIOSEK-942-APLIKACJA-ATTACK-SQLI

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
942100 Krytyczne - 5 PL1 Wykryto atak polegający na wstrzyknięciu kodu SQL za pośrednictwem libinjection
942110 Ostrzeżenie - 3 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe testy iniekcji
942120 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL: wykryto operator SQL
942130 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL: wykryto tautologię SQL
942140 Krytyczne - 5 PL1 Atak polegający na wstrzyknięciu kodu SQL: wykryto typowe nazwy baz danych
942150 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942160 Krytyczne - 5 PL1 Wykrywa ślepe testy sqli za pomocą sleep() lub benchmark()
942170 Krytyczne - 5 PL1 Wykrywa próby testu porównawczego SQL i iniekcji snu, w tym zapytania warunkowe
942180 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 1/3
942190 Krytyczne - 5 PL1 Wykrywa wykonywanie kodu MSSQL i próby zbierania informacji
942200 Krytyczne - 5 Płyta PL2 Wykrywa wstrzyknięcia komentarza MySQL/zaciemnione miejsca i zakończenie backtick
942210 Krytyczne - 5 Płyta PL2 Wykrywa łańcuchowe próby wstrzyknięcia kodu SQL 1/2
942220 Krytyczne - 5 PL1 Szukasz ataków przepełnienia liczb całkowitych, pochodzą one z skipfish, z wyjątkiem 3.0.00738585072007e-308 jest "liczbą magiczną" awarii
942230 Krytyczne - 5 PL1 Wykrywa próby wstrzyknięcia warunkowego kodu SQL
942240 Krytyczne - 5 PL1 Wykrywa przełącznik znaków MySQL i próby msSQL DoS
942250 Krytyczne - 5 PL1 Wykrywa wstrzyknięcia MATCH AGAINST, MERGE i EXECUTE IMMEDIATE
942260 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 2/3
942270 Krytyczne - 5 PL1 Szukasz podstawowego iniekcji sql. Typowy ciąg ataku dla mysql, oracle i innych
942280 Krytyczne - 5 PL1 Wykrywa wstrzyknięcie pg_sleep Postgres, oczekiwanie na ataki opóźnione i próby zamknięcia bazy danych
942290 Krytyczne - 5 PL1 Znajduje podstawowe próby wstrzyknięcia kodu SQL bazy danych MongoDB
942300 Krytyczne - 5 Płyta PL2 Wykrywa komentarze, warunki i wstrzyknięcia bazy danych MySQL (a)r
942310 Krytyczne - 5 Płyta PL2 Wykrywa łańcuchowe próby wstrzyknięcia kodu SQL 2/2
942320 Krytyczne - 5 PL1 Wykrywa procedury składowane/iniekcje funkcji MySQL i PostgreSQL
942330 Krytyczne - 5 Płyta PL2 Wykrywa klasyczne sondowania iniekcji SQL 1/2
942340 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe próby obejścia uwierzytelniania SQL 3/3
942350 Krytyczne - 5 PL1 Wykrywa iniekcję funkcji zdefiniowanej przez użytkownika mySQL i inne próby manipulowania danymi/strukturą
942360 Krytyczne - 5 PL1 Wykrywa połączoną podstawową iniekcję SQL i próby SQLLFI
942361 Krytyczne - 5 Płyta PL2 Wykrywa podstawowe wstrzyknięcie kodu SQL na podstawie zmiany słowa kluczowego lub unii
942370 Krytyczne - 5 Płyta PL2 Wykrywa klasyczne sondowania iniekcji SQL 2/2
942380 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942390 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942400 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942410 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942430 Ostrzeżenie - 3 Płyta PL2 Wykrywanie anomalii ograniczonego znaku SQL (args): liczba znaków specjalnych przekroczyła (12)
942440 Krytyczne - 5 Płyta PL2 Wykryto sekwencję komentarzy SQL
942450 Krytyczne - 5 Płyta PL2 Zidentyfikowano kodowanie szesnastkowy SQL
942470 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942480 Krytyczne - 5 Płyta PL2 Atak polegający na wstrzyknięciu kodu SQL
942500 Krytyczne - 5 PL1 Wykryto komentarz w wierszu MySQL

żądanie-943-atak-na aplikację-SESSION-FIXATION

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
943100 Krytyczne - 5 PL1 Możliwy atak naprawy sesji: ustawianie wartości plików cookie w kodzie HTML
943110 Krytyczne - 5 PL1 Możliwy atak naprawy sesji: nazwa parametru SessionID z odwołaniem poza domeną
943120 Krytyczne - 5 PL1 Możliwy atak naprawy sesji: nazwa parametru SessionID bez odwołania

WNIOSEK-944-APLIKACJA-ATTACK-JAVA

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
944100 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: Apache Struts, Oracle WebLogic
944110 Krytyczne - 5 PL1 Wykrywa potencjalne wykonanie ładunku
944120 Krytyczne - 5 PL1 Możliwe wykonywanie ładunku i zdalne wykonywanie poleceń
944130 Krytyczne - 5 PL1 Podejrzane klasy języka Java
944200 Krytyczne - 5 Płyta PL2 Wykorzystanie deserializacji języka Java Apache Commons
944210 Krytyczne - 5 Płyta PL2 Możliwe użycie serializacji języka Java
944240 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: serializacja w języku Java
944250 Krytyczne - 5 PL1 Zdalne wykonywanie poleceń: wykryto podejrzaną metodę Java

Nieaktywne reguły

Identyfikator zasady Ważność oceny anomalii Poziom paranoi opis
920202 Ostrzeżenie - 3 PL4 (Nieaktywna reguła, powinna być ignorowana) Zakres: Zbyt wiele pól do żądania pdf (6 lub więcej)
920272 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Nieprawidłowy znak w żądaniu (poza znakami drukowalnymi poniżej ascii 127)
920273 Krytyczne - 5 PL4 (Nieaktywna reguła, powinna być ignorowana) Nieprawidłowy znak w żądaniu (poza bardzo ścisłym zestawem)
920274 Krytyczne - 5 PL4 (Nieaktywna reguła, powinna być ignorowana) Nieprawidłowy znak w nagłówkach żądań (poza bardzo ścisłym zestawem)
920460 Krytyczne - 5 PL4 (Nieaktywna reguła, powinna być ignorowana) Nietypowe znaki ucieczki
921170 N/A Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Zanieczyszczenie parametrem HTTP
921180 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Zanieczyszczenie parametrem HTTP (%{TX.1})
932106 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Zdalne wykonywanie poleceń: wstrzykiwanie poleceń systemu Unix
932190 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Zdalne wykonywanie poleceń: próba obejścia techniki symboli wieloznacznych
933111 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Atak polegający na wstrzyknięciu kodu PHP: znaleziono plik skryptu PHP
933131 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Atak polegający na wstrzyknięciu PHP: znaleziono zmienne
933161 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Atak polegający na wstrzyknięciu PHP: znaleziono wywołanie funkcji PHP Low-Value
933190 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Atak polegający na wstrzyknięciu PHP: znaleziono tag zamykający PHP
942251 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Wykrywa wstrzyknięcia
942420 Ostrzeżenie - 3 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Ograniczone wykrywanie anomalii znaków SQL (pliki cookie): przekroczono # znaków specjalnych (8)
942421 Ostrzeżenie - 3 PL4 (Nieaktywna reguła, powinna być ignorowana) Ograniczone wykrywanie anomalii znaków SQL (pliki cookie): przekroczono # znaków specjalnych (3)
942431 Ostrzeżenie - 3 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Ograniczone wykrywanie anomalii znaków SQL (args): przekroczono # znaków specjalnych (6)
942432 Ostrzeżenie - 3 PL4 (Nieaktywna reguła, powinna być ignorowana) Ograniczone wykrywanie anomalii znaków SQL (args): przekroczono # znaków specjalnych (2)
942460 Ostrzeżenie - 3 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Meta-Character Alert wykrywania anomalii — powtarzające się znaki inne niż wyrazy
942490 Krytyczne - 5 Płyta PL3 (Nieaktywna reguła, powinna być ignorowana) Wykrywa klasyczną iniekcję SQL 3/3

Treści powiązane

  • Last updated on