Web Application Firewall DRS-Regelgruppen und -Regeln
Azure Web Application Firewall in Azure Front Door schützt Webanwendungen vor gängigen Sicherheitsrisiken und Exploits. Von Azure verwaltete Regelsätze bieten eine einfache Möglichkeit zum Bereitstellen von Schutz vor allgemeinen Sicherheitsbedrohungen. Da Azure diese Regelsätze verwaltet, werden die Regeln bei Bedarf aktualisiert, um vor neuen Angriffssignaturen zu schützen.
Der Standardregelsatz (Default Rule Set, DRS) enthält auch die Microsoft Threat Intelligence Collection-Regeln, die in Zusammenarbeit mit dem Microsoft Intelligence-Team entwickelt wurden, um eine größere Abdeckung, Patches für bestimmte Sicherheitsrisiken und eine Reduzierung von False Positive-Ergebnissen zu gewährleisten.
Hinweis
Wenn eine Regelsatzversion in einer WAF-Richtlinie geändert wird, werden alle vorhandenen Anpassungen, die Sie an Ihrem Regelsatz vorgenommen haben, auf die Standardwerte für den neuen Regelsatz zurückgesetzt. Siehe: Aktualisieren oder Ändern der Regelsatzversion.
Standardregelsätze
Das von Azure verwaltete DRS enthält Regeln für die folgenden Bedrohungskategorien:
- Cross-Site-Scripting
- Java-Angriffe
- Local File Inclusion
- PHP Code-Injection
- Remotebefehlsausführung
- Remote File Inclusion
- Session Fixation
- Schutz vor Einschleusung von SQL-Befehlen
- Protokollangreifer
Die Versionsnummer des Standardregelsatzes wird erhöht, wenn dem Regelsatz neue Angriffssignaturen hinzugefügt werden.
Der Standardregelsatz wird standardmäßig im Erkennungsmodus in den WAF-Richtlinien aktiviert. Sie können einzelne Regeln im DRS deaktivieren bzw. aktivieren, um die Anforderungen Ihrer Anwendungen zu erfüllen. Sie können pro Regel auch bestimmte Aktionen festlegen. Die verfügbaren Aktionen lauten Allow, Block, Log und Redirect (Zulassen, Blockieren, Protokollieren und Umleiten).
Manchmal ist es erforderlich, bestimmte Anforderungsattribute in einer WAF-Auswertung (Web Application Firewall) wegzulassen. Ein gängiges Beispiel sind von Active Directory eingefügte Token, die für die Authentifizierung verwendet werden. Sie können eine Ausschlussliste für eine verwaltete Regel, eine Regelgruppe oder den gesamten Regelsatz konfigurieren. Weitere Informationen finden Sie unter Ausschlusslisten von Azure Web Application Firewall in Azure Front Door.
Standardmäßig verwenden DRS-Versionen ab Version 2.0 und höher die Anomaliebewertung, wenn eine Anforderung mit einer Regel übereinstimmt. DRS-Versionen vor Version 2.0 blockieren Anforderungen, welche die Regeln auslösen. Darüber hinaus können in derselben WAF-Richtlinie auch benutzerdefinierte Regeln konfiguriert werden, wenn Sie eine der vorkonfigurierten Regeln im DRS umgehen möchten.
Benutzerdefinierte Regeln werden immer angewendet, bevor die Regeln im DRS ausgewertet werden. Wenn eine Anforderung einer benutzerdefinierten Regel entspricht, wird die entsprechende Regelaktion angewendet. Die Anforderung wird entweder gesperrt oder an das Back-End weitergeleitet. Es werden keine weiteren benutzerdefinierten Regeln oder Regeln im DRS verarbeitet. Das DRS kann auch aus Ihren WAF-Richtlinien entfernt werden.
Regeln der Microsoft Threat Intelligence-Sammlung
Die Regeln der Microsoft Threat Intelligence-Sammlung werden in Zusammenarbeit mit dem Microsoft Threat Intelligence-Team verfasst, um eine bessere Abdeckung, Patches für bestimmte Sicherheitsrisiken und eine stärkere Reduzierung falsch positiver Ergebnisse zu bieten.
Standardmäßig ersetzen die Regeln der Microsoft Threat Intelligence Collection einige der integrierten DRS-Regeln, wodurch sie deaktiviert werden. So wurde etwa Regel-ID 942440, SQL Comment Sequence Detected., deaktiviert und durch die Microsoft Threat Intelligence Collection-Regel 99031002 ersetzt. Die ersetzte Regel reduziert das Risiko, bei legitimen Anforderungen False Positives zu erkennen.
Anomaliebewertung
Wenn Sie DRS 2.0 oder höher verwenden, verwendet Ihre WAF Anomaliebewertung. Datenverkehr, der einer Regel entspricht, wird nicht sofort blockiert, auch nicht, wenn sich Ihr WAF im Schutzmodus befindet. Stattdessen definieren die OWASP-Regelsätze einen Schweregrad für jede Regel: Kritisch, Fehler, Warnung oder Hinweis. Der Schweregrad wirkt sich auf einen numerischen Wert für die Anforderung aus, der als Anomaliebewertung bezeichnet wird. Wenn eine Anforderung eine Anomaliebewertung von mindestens 5 erreicht, ergreift WAF Maßnahmen gegen diese Anforderung.
| Regelschweregrad | Wert, der in die Anomaliebewertung einfließt |
|---|---|
| Kritisch | 5 |
| Fehler | 4 |
| Warnung | 3 |
| Hinweis | 2 |
Wenn Sie Ihre WAF-Instanz konfigurieren, können Sie entscheiden, wie diese Anforderungen verarbeitet, die den Schwellenwert 5 bei der Anomaliebewertung überschreiten. Die drei Optionen für Anomaliebewertungsaktion sind „Blockieren“, „Protokollieren“ und „Umleiten“. Die Anomaliebewertungsaktion, die Sie zum Zeitpunkt der Konfiguration auswählen, gilt für alle Anforderungen, die den Schwellenwert der Anomaliebewertung überschreiten.
Wenn die Anomaliebewertung einer Anforderung beispielsweise mindestens 5 beträgt, WAF im Präventionsmodus arbeitet und die Anomaliebewertungsaktion auf „Blockieren“ festgelegt ist, wird die Anforderung blockiert. Wenn die Anomaliebewertung mindestens 5 ist und für WAF der Erkennungsmodus festgelegt ist, wird die Anforderung protokolliert, aber nicht blockiert.
Eine Übereinstimmung mit der Regel Kritisch reicht aus, damit WAF eine Anforderung blockiert, wenn der Präventionsmodus aktiv ist und die Anomaliebewertungsaktion auf „Blockieren“ festgelegt ist, da die Anomaliebewertung insgesamt 5 beträgt. Eine Übereinstimmung mit einer Warnungsregel erhöht die Anomaliebewertung jedoch nur um 3, was alleine nicht ausreicht, um den Datenverkehr zu blockieren. Wenn eine Anomalieregel ausgelöst wird, wird in den Protokollen eine Aktion vom Typ „Übereinstimmung“ angezeigt. Wenn die Anomaliewertung 5 oder höher ist, wird eine separate Regel mit der für den Regelsatz konfigurierten Anomaliewertungsaktion ausgelöst. Die standardmäßig festgelegte Anomaliebewertungsaktion ist „Blockieren“, was zu einem Protokolleintrag mit der Aktion blocked führt.
Wenn Ihre WAF eine ältere Version des Standardregelsatzes (vor DRS 2.0) verwendet, wird Ihre WAF im herkömmlichen Modus ausgeführt. Datenverkehr, der einer Regel entspricht, wird unabhängig davon berücksichtigt, ob er mit einer anderen Regel übereinstimmt. Im herkömmlichen Modus haben Sie keinen Einblick in den vollständigen Regelsatz, dem eine bestimmte Anforderung entsprochen hat.
Die Version des von Ihnen verwendeten DRS bestimmt auch, welche Inhaltstypen für die Untersuchung des Anforderungstexts unterstützt werden. Weitere Informationen finden Sie in den „Häufig gestellten Fragen“ (FAQ) unter Welche Inhaltstypen unterstützt WAF?.
Aktualisieren oder Ändern der Regelsatzversion
Wenn Sie ein Upgrade durchführen oder eine neue Regelsatzversion zuweisen und vorhandene Regelüberschreibungen und Ausschlüsse beibehalten möchten, empfiehlt es sich, PowerShell, CLI, REST-API oder Vorlagen zu verwenden, um Versionsänderungen am Regelsatz vorzunehmen. Eine neue Version eines Regelsatzes kann neuere Regeln, zusätzliche Regelgruppen und möglicherweise Aktualisierungen vorhandener Signaturen aufweisen, um eine bessere Sicherheit zu erzwingen und falsch positive Ergebnisse zu reduzieren. Es wird empfohlen, Änderungen in einer Testumgebung zu überprüfen, bei Bedarf zu optimieren und dann in einer Produktionsumgebung bereitzustellen.
Hinweis
Wenn Sie das Azure-Portal verwenden, um einer WAF-Richtlinie einen neuen verwalteten Regelsatz zuzuweisen, werden alle vorherigen Anpassungen aus dem vorhandenen verwalteten Regelsatz wie Regelstatus, Regelaktionen und Ausschlüsse auf Regelebene auf die Standardwerte des neuen verwalteten Regelsatzes zurückgesetzt. Alle benutzerdefinierten Regeln oder Richtlinieneinstellungen bleiben jedoch während der Zuweisung des neuen Regelsatzes unberührt. Vor der Bereitstellung in einer Produktionsumgebung müssen Sie Regelüberschreibungen neu definieren und Änderungen überprüfen.
DRS 2.1
DRS 2.1-Regeln bieten besseren Schutz als frühere Versionen von DRS. DRS 2.1 enthält weitere Regeln, die vom Microsoft Threat Intelligence-Team entwickelt wurden, sowie Updates für Signaturen, um falsch positive Ergebnisse zu reduzieren. Außerdem werden Transformationen über die URL-Decodierung hinaus unterstützt.
DRS 2.1 umfasst 17 Regelgruppen, wie in der folgenden Tabelle gezeigt. Jede Gruppe enthält mehrere Regeln, und Sie können das Verhalten für einzelne Regeln, Regelgruppen oder den gesamten Regelsatz anpassen. DRS 2.1 basiert auf Open Web Application Security Project (OWASP) Core Rule Set (CRS) 3.3.2 und enthält zusätzliche proprietäre Schutzregeln, die vom Microsoft Threat Intelligence-Team entwickelt wurden.
Weitere Informationen finden Sie unter Tuning Web Application Firewall (WAF) for Azure Front Door.
Hinweis
DRS 2.1 ist nur in Azure Front Door Premium verfügbar.
| Regelgruppe | ruleGroupName | Beschreibung |
|---|---|---|
| Allgemein | Allgemein | Allgemeine Gruppe |
| METHOD-ENFORCEMENT | METHOD-ENFORCEMENT | Sperren von Methoden (PUT, PATCH) |
| PROTOCOL-ENFORCEMENT | PROTOCOL-ENFORCEMENT | Schutz vor Protokoll- und Codierungsproblemen |
| PROTOCOL-ATTACK | PROTOCOL-ATTACK | Schutz vor Header Injection, Request Smuggling und Response Splitting |
| APPLICATION-ATTACK-LFI | LFI | Schutz vor Datei- und Pfadangriffen |
| APPLICATION-ATTACK-RFI | RFI | Schutz vor RFI-Angriffen (Remote File Inclusion) |
| APPLICATION-ATTACK-RCE | RCE | Schutz vor der Remoteausführung von Code |
| APPLICATION-ATTACK-PHP | PHP | Schutz vor Angriffen mit Einschleusung von PHP-Befehlen |
| APPLICATION-ATTACK-NodeJS | NODEJS | Schutz vor Node.js-Angriffen |
| APPLICATION-ATTACK-XSS | XSS | Schutz vor Angriffen durch websiteübergreifendes Skripting |
| APPLICATION-ATTACK-SQLI | SQLI | Schutz vor Angriffen mit Einschleusung von SQL-Befehlen |
| APPLICATION-ATTACK-SESSION-FIXATION | FIX | Schutz vor Session Fixation-Angriffen |
| APPLICATION-ATTACK-SESSION-JAVA | Java | Schutz vor Java-Angriffen |
| MS-ThreatIntel-WebShells | MS-ThreatIntel-WebShells | Schutz vor Webshell-Angriffen |
| MS-ThreatIntel-AppSec | MS-ThreatIntel-AppSec | Schutz vor Angriffen auf die Anwendungssicherheit |
| MS-ThreatIntel-SQLI | MS-ThreatIntel-SQLI | Schutz vor Angriffen mit Einschleusung von SQL-Befehlen |
| MS-ThreatIntel-CVEs | MS-ThreatIntel-CVEs | Schutz vor CVE-Angriffen |
Deaktivierte Regeln
Die folgenden Regeln sind für DRS 2.1 standardmäßig deaktiviert.
| Regel-ID | Regelgruppe | BESCHREIBUNG | Details |
|---|---|---|---|
| 942110 | SQLI | Angriff mit Einschleusung von SQL-Befehlen: Allgemeine Tests auf Einschleusung von SQL-Befehlen erkannt | Ersetzt durch MSTIC-Regel 99031001 |
| 942150 | SQLI | Angriff mit Einschleusung von SQL-Befehlen | Ersetzt durch MSTIC-Regel 99031003 |
| 942260 | SQLI | Erkennt Versuche der Umgehung der einfachen SQL-Authentifizierung, 2/3 | Ersetzt durch MSTIC-Regel 99031004 |
| 942430 | SQLI | Eingeschränkte Anomalieerkennung für SQL-Zeichen (Argumente): Anzahl von Sonderzeichen überschritten (12) | Zu viele False Positives |
| 942440 | SQLI | SQL-Kommentarsequenz erkannt | Ersetzt durch MSTIC-Regel 99031002 |
| 99005006 | MS-ThreatIntel-WebShells | Spring4Shell-Interaktionsversuch | Aktivieren einer Regel zur Verhinderung von SpringShell-Sicherheitsrisiken |
| 99001014 | MS-ThreatIntel-CVEs | Versucht der Einschleusung von Spring Cloud-Routingausdrücken CVE-2022-22963 | Aktivieren einer Regel zur Verhinderung von SpringShell-Sicherheitsrisiken |
| 99001015 | MS-ThreatIntel-WebShells | Versuch der Ausnutzung der nicht sicherer Klassenobjekte von Spring Framework CVE-2022-22965 | Aktivieren einer Regel zur Verhinderung von SpringShell-Sicherheitsrisiken |
| 99001016 | MS-ThreatIntel-WebShells | Versuch der Einschleusung eins Spring Cloud Gateway-Aktuators CVE-2022-22947 | Aktivieren einer Regel zur Verhinderung von SpringShell-Sicherheitsrisiken |
| 99001017 | MS-ThreatIntel-CVEs | Versuchter Apache Struts-Dateiupload CVE-2023-50164. | Regel aktivieren, um das Sicherheitsrisiko von Apache Struts zu verhindern |
DRS 2.0
DRS 2.0-Regeln bieten besseren Schutz als frühere Versionen von DRS. Außerdem unterstützt DRS 2.0 Transformationen über die URL-Decodierung hinaus.
DRS 2.0 umfasst 17 Regelgruppen, wie in der folgenden Tabelle gezeigt. Jede Gruppe enthält mehrere Regeln. Sie können einzelne Regeln und ganze Regelgruppen deaktivieren.
Hinweis
DRS 2.0 ist nur in Azure Front Door Premium verfügbar.
| Regelgruppe | ruleGroupName | Beschreibung |
|---|---|---|
| Allgemein | Allgemein | Allgemeine Gruppe |
| METHOD-ENFORCEMENT | METHOD-ENFORCEMENT | Sperren von Methoden (PUT, PATCH) |
| PROTOCOL-ENFORCEMENT | PROTOCOL-ENFORCEMENT | Schutz vor Protokoll- und Codierungsproblemen |
| PROTOCOL-ATTACK | PROTOCOL-ATTACK | Schutz vor Header Injection, Request Smuggling und Response Splitting |
| APPLICATION-ATTACK-LFI | LFI | Schutz vor Datei- und Pfadangriffen |
| APPLICATION-ATTACK-RFI | RFI | Schutz vor RFI-Angriffen (Remote File Inclusion) |
| APPLICATION-ATTACK-RCE | RCE | Schutz vor der Remoteausführung von Code |
| APPLICATION-ATTACK-PHP | PHP | Schutz vor Angriffen mit Einschleusung von PHP-Befehlen |
| APPLICATION-ATTACK-NodeJS | NODEJS | Schutz vor Node.js-Angriffen |
| APPLICATION-ATTACK-XSS | XSS | Schutz vor Angriffen durch websiteübergreifendes Skripting |
| APPLICATION-ATTACK-SQLI | SQLI | Schutz vor Angriffen mit Einschleusung von SQL-Befehlen |
| APPLICATION-ATTACK-SESSION-FIXATION | FIX | Schutz vor Session Fixation-Angriffen |
| APPLICATION-ATTACK-SESSION-JAVA | Java | Schutz vor Java-Angriffen |
| MS-ThreatIntel-WebShells | MS-ThreatIntel-WebShells | Schutz vor Webshell-Angriffen |
| MS-ThreatIntel-AppSec | MS-ThreatIntel-AppSec | Schutz vor Angriffen auf die Anwendungssicherheit |
| MS-ThreatIntel-SQLI | MS-ThreatIntel-SQLI | Schutz vor Angriffen mit Einschleusung von SQL-Befehlen |
| MS-ThreatIntel-CVEs | MS-ThreatIntel-CVEs | Schutz vor CVE-Angriffen |
DRS 1.1
| Regelgruppe | ruleGroupName | Beschreibung |
|---|---|---|
| PROTOCOL-ATTACK | PROTOCOL-ATTACK | Schutz vor Header Injection, Request Smuggling und Response Splitting |
| APPLICATION-ATTACK-LFI | LFI | Schutz vor Datei- und Pfadangriffen |
| APPLICATION-ATTACK-RFI | RFI | Schutz vor Remote File Inclusion-Angriffen |
| APPLICATION-ATTACK-RCE | RCE | Schutz vor Remotebefehlsausführung |
| APPLICATION-ATTACK-PHP | PHP | Schutz vor Angriffen mit Einschleusung von PHP-Befehlen |
| APPLICATION-ATTACK-XSS | XSS | Schutz vor Angriffen durch websiteübergreifendes Skripting |
| APPLICATION-ATTACK-SQLI | SQLI | Schutz vor Angriffen mit Einschleusung von SQL-Befehlen |
| APPLICATION-ATTACK-SESSION-FIXATION | FIX | Schutz vor Session Fixation-Angriffen |
| APPLICATION-ATTACK-SESSION-JAVA | Java | Schutz vor Java-Angriffen |
| MS-ThreatIntel-WebShells | MS-ThreatIntel-WebShells | Schutz vor Webshell-Angriffen |
| MS-ThreatIntel-AppSec | MS-ThreatIntel-AppSec | Schutz vor Angriffen auf die Anwendungssicherheit |
| MS-ThreatIntel-SQLI | MS-ThreatIntel-SQLI | Schutz vor Angriffen mit Einschleusung von SQL-Befehlen |
| MS-ThreatIntel-CVEs | MS-ThreatIntel-CVEs | Schutz vor CVE-Angriffen |
DRS 1.0
| Regelgruppe | ruleGroupName | Beschreibung |
|---|---|---|
| PROTOCOL-ATTACK | PROTOCOL-ATTACK | Schutz vor Header Injection, Request Smuggling und Response Splitting |
| APPLICATION-ATTACK-LFI | LFI | Schutz vor Datei- und Pfadangriffen |
| APPLICATION-ATTACK-RFI | RFI | Schutz vor Remote File Inclusion-Angriffen |
| APPLICATION-ATTACK-RCE | RCE | Schutz vor Remotebefehlsausführung |
| APPLICATION-ATTACK-PHP | PHP | Schutz vor Angriffen mit Einschleusung von PHP-Befehlen |
| APPLICATION-ATTACK-XSS | XSS | Schutz vor Angriffen durch websiteübergreifendes Skripting |
| APPLICATION-ATTACK-SQLI | SQLI | Schutz vor Angriffen mit Einschleusung von SQL-Befehlen |
| APPLICATION-ATTACK-SESSION-FIXATION | FIX | Schutz vor Session Fixation-Angriffen |
| APPLICATION-ATTACK-SESSION-JAVA | Java | Schutz vor Java-Angriffen |
| MS-ThreatIntel-WebShells | MS-ThreatIntel-WebShells | Schutz vor Webshell-Angriffen |
| MS-ThreatIntel-CVEs | MS-ThreatIntel-CVEs | Schutz vor CVE-Angriffen |
Bot Manager 1.0
Der Bot Manager 1.0-Regelsatz bietet Schutz vor schädlichen Bots und erkennt gute Bots. Die Regeln bieten präzise Kontrolle über Bots, die von WAF erkannt werden, indem Bot-Datenverkehr als Datenverkehr von guten, ungültigen oder unbekannten Bots kategorisiert wird.
| Regelgruppe | BESCHREIBUNG |
|---|---|
| BadBots | Schutz vor bösartigen Bots |
| GoodBots | Identifizieren von gültigen Bots |
| UnknownBots | Identifizieren von unbekannten Bots |
Bot Manager 1.1
Der Bot Manager 1.1-Regelsatz stellt eine Erweiterung des Bot Manager 1.0-Regelsatzes dar. er bietet höheren Schutz vor schädlichen Bots und verbessert die Erkennung guter Bots.
| Regelgruppe | BESCHREIBUNG |
|---|---|
| BadBots | Schutz vor bösartigen Bots |
| GoodBots | Identifizieren von gültigen Bots |
| UnknownBots | Identifizieren von unbekannten Bots |
Die folgenden Regelgruppen und Regeln sind bei Verwendung von Azure Web Application Firewall für Azure Front Door verfügbar.
2.1-Regelsätze
Allgemein
| RuleId | BESCHREIBUNG |
|---|---|
| 200002 | Fehler beim Analysieren des Anforderungstexts |
| 200003 | Fehler bei der strengen Überprüfung des mehrteiligen Anforderungstexts |
Methodenerzwingung
| RuleId | BESCHREIBUNG |
|---|---|
| 911100 | Methode ist gemäß Richtlinie nicht zulässig |
Protokolldurchsetzung
| RuleId | BESCHREIBUNG |
|---|---|
| 920100 | Ungültige HTTP-Anforderungszeile. |
| 920120 | Versuchte „multipart/form-data“-Umgehung. |
| 920121 | Versuchte „multipart/form-data“-Umgehung. |
| 920160 | Content-Length-HTTP-Header ist nicht numerisch. |
| 920170 | GET- oder HEAD-Anforderung mit Textinhalt |
| 920171 | GET- oder HEAD-Anforderung mit Transfer-Encoding. |
| 920180 | POST-Anforderung mit fehlendem Content-Length-Header |
| 920181 | Content-Length- und Transfer-Encoding-Header vorhanden 99001003. |
| 920190 | Bereich: Ungültiger Wert für letztes Byte |
| 920200 | Bereich: zu viele Felder (6 oder mehr). |
| 920201 | Bereich: zu viele Felder für PDF-Anforderung (35 oder mehr). |
| 920210 | Mehrere bzw. in Konflikt stehende Verbindungsheaderdaten gefunden |
| 920220 | Versuchter Missbrauch der URL-Codierung. |
| 920230 | Mehrere URL-Codierungen erkannt. |
| 920240 | Versuchter Missbrauch der URL-Codierung. |
| 920260 | Versuchter Missbrauch: Unicode (volle/halbe Breite). |
| 920270 | Ungültiges Zeichen in der Anforderung (Zeichen NULL). |
| 920271 | Ungültiges Zeichen in der Anforderung (nicht druckbare Zeichen). |
| 920280 | Fehlender Hostheader in Anforderung. |
| 920290 | Leerer Hostheader. |
| 920300 | Fehlender Accept-Header in Anforderung. |
| 920310 | Anforderung hat leeren Accept-Header. |
| 920311 | Anforderung hat leeren Accept-Header. |
| 920320 | User-Agent-Header fehlt. |
| 920330 | Leerer User-Agent-Header. |
| 920340 | Anforderung hat Inhalt, aber keinen Content-Type-Header. |
| 920341 | Anforderung mit Inhalt erfordert Content-Type-Header. |
| 920350 | Der Hostheader ist eine numerische IP-Adresse. |
| 920420 | Der Anforderungsinhaltstyp ist gemäß Richtlinie nicht zulässig. |
| 920430 | Die HTTP-Protokollversion ist gemäß Richtlinie nicht zulässig. |
| 920440 | Die URL-Dateierweiterung wird durch die Richtlinie eingeschränkt. |
| 920450 | Der HTTP-Header ist durch Richtlinie eingeschränkt. |
| 920470 | Illegaler Content-Type-Header. |
| 920480 | Zeichensatz für Anforderungsinhaltstyp ist gemäß Richtlinie nicht zulässig. |
| 920500 | Versuch, auf eine Sicherungs- oder Arbeitsdatei zuzugreifen. |
Protokollangriff
| RuleId | BESCHREIBUNG |
|---|---|
| 921110 | HTTP Request Smuggling-Angriff |
| 921120 | HTTP Response Splitting-Angriff |
| 921130 | HTTP Response Splitting-Angriff |
| 921140 | HTTP Header Injection-Angriff über Header |
| 921150 | HTTP Header Injection-Angriff über Nutzlast (CR/LF erkannt) |
| 921151 | HTTP Header Injection-Angriff über Nutzlast (CR/LF erkannt) |
| 921160 | HTTP Header Injection-Angriff über Nutzlast (CR/LF und Headername erkannt) |
| 921190 | HTTP Splitting (CR/LF im Anforderungsdateinamen erkannt) |
| 921200 | Angriff mit LDAP-Einschleusung |
LFI: Lokaler Dateieinschluss
| RuleId | BESCHREIBUNG |
|---|---|
| 930100 | Path Traversal-Angriff (/../) |
| 930110 | Path Traversal-Angriff (/../) |
| 930120 | Zugriffsversuch auf Betriebssystemdatei |
| 930130 | Zugriffsversuch auf Datei mit eingeschränktem Zugriff |
RFI: Remote-Dateieinschluss
| RuleId | BESCHREIBUNG |
|---|---|
| 931100 | Möglicher RFI-Angriff (Remote-Dateieinschluss): Verwendung von IP-Adresse für URL-Parameter |
| 931110 | Möglicher RFI-Angriff (Remote File Inclusion): Verwendung eines häufigen und für RFI anfälligen Parameternamens mit URL-Nutzlast |
| 931120 | Möglicher RFI-Angriff (Remote File Inclusion): Verwendung von URL-Nutzlast mit nachgestelltem Fragezeichen (?) |
| 931130 | Möglicher RFI-Angriff (Remote File Inclusion): Domänenexterner Verweis/Link |
RCE: Remote Command Execution (Remotebefehlsausführung)
| RuleId | BESCHREIBUNG |
|---|---|
| 932100 | Remotebefehlsausführung: Einschleusung von Unix-Befehl |
| 932105 | Remotebefehlsausführung: Einschleusung von Unix-Befehl |
| 932110 | Remotebefehlsausführung: Einschleusung von Windows-Befehl |
| 932115 | Remotebefehlsausführung: Einschleusung von Windows-Befehl |
| 932120 | Remotebefehlsausführung: Windows PowerShell-Befehl gefunden |
| 932130 | Remotebefehlsausführung: Unix-Shell-Ausdruck oder Confluence-Sicherheitsanfälligkeit (CVE-2022-26134) gefunden. |
| 932140 | Remotebefehlsausführung: Windows-FOR/IF-Befehl gefunden |
| 932150 | Remotebefehlsausführung: Direkte Ausführung von UNIX-Befehlen |
| 932160 | Remotebefehlsausführung: Unix Shell-Code gefunden |
| 932170 | Remotebefehlsausführung: Shellshock (CVE-2014-6271) |
| 932171 | Remotebefehlsausführung: Shellshock (CVE-2014-6271) |
| 932180 | Eingeschränkter Dateiuploadversuch |
PHP-Angriffe
| RuleId | BESCHREIBUNG |
|---|---|
| 933100 | Angriff mit PHP-Einschleusung: Öffnendes/schließendes Tag gefunden |
| 933110 | Angriff mit PHP-Einschleusung: PHP-Skriptdateiupload gefunden |
| 933120 | PHP Injection-Angriff: Konfigurationsanweisung gefunden |
| 933130 | Angriff mit PHP-Einschleusung: Variable gefunden |
| 933140 | Angriff mit PHP-Einschleusung: E/A-Datenstrom gefunden |
| 933150 | Angriff mit PHP-Einschleusung: PHP-Funktionsname mit hohem Risikofaktor gefunden |
| 933151 | Angriff mit PHP-Einschleusung: PHP-Funktionsname mit mittlerem Risikofaktor gefunden |
| 933160 | Angriff mit PHP-Einschleusung: PHP-Funktionsaufruf mit hohem Risikofaktor gefunden |
| 933170 | Angriff mit PHP-Einschleusung: Einschleusung von serialisiertem Objekt |
| 933180 | Angriff mit PHP-Einschleusung: Aufruf einer Variablenfunktion gefunden |
| 933200 | Angriff mit PHP-Einschleusung: Wrapperschema erkannt |
| 933210 | Angriff mit PHP-Einschleusung: Aufruf einer Variablenfunktion gefunden |
Node JS-Angriffe
| RuleId | BESCHREIBUNG |
|---|---|
| 934100 | Angriff mit Einschleusung von Node.js-Befehlen |
XSS: Cross-Site-Scripting
| RuleId | BESCHREIBUNG |
|---|---|
| 941100 | XSS-Angriff per libinjection erkannt |
| 941101 | XSS-Angriff per libinjection erkannt Regel erkennt Anforderungen mit einem Referer-Header |
| 941110 | XSS-Filter – Kategorie 1: Skripttagvektor |
| 941120 | XSS-Filter – Kategorie 2: Ereignishandlervektor |
| 941130 | XSS-Filter – Kategorie 3: Attributvektor |
| 941140 | XSS-Filter – Kategorie 4: JavaScript-URI-Vektor |
| 941150 | XSS-Filter – Kategorie 5: Unzulässige HTML-Attribute |
| 941160 | NoScript XSS InjectionChecker: HTML-Einschleusung |
| 941170 | NoScript XSS InjectionChecker: Attributeinschleusung |
| 941180 | Schlüsselwörter von Sperrliste für Knotenvalidierung |
| 941190 | XSS mit Stylesheets |
| 941200 | XSS mit VML-Frames |
| 941210 | XSS mit verschleiertem JavaScript |
| 941220 | XSS mit verschleiertem VBScript |
| 941230 | XSS mit embed-Tag |
| 941240 | XSS mit import- oder implementation-Attribut |
| 941250 | IE-XSS-Filter – Angriff erkannt |
| 941260 | XSS mit meta-Tag |
| 941270 | XSS mit link-href |
| 941280 | XSS mit base-Tag |
| 941290 | XSS mit applet-Tag |
| 941300 | XSS mit object-Tag |
| 941310 | Falsch formatierte US-ASCII-Codierung für XSS-Filter – Angriff erkannt |
| 941320 | Möglicher XSS-Angriff erkannt – HTML-Taghandler |
| 941330 | IE-XSS-Filter – Angriff erkannt |
| 941340 | IE-XSS-Filter – Angriff erkannt |
| 941350 | UTF-7-Codierung – IE XSS – Angriff erkannt |
| 941360 | JavaScript-Obfuskation erkannt |
| 941370 | Globale JavaScript-Variable gefunden |
| 941380 | Einschleusung clientseitiger AngularJS-Vorlagen erkannt |
SQLI: Einschleusung von SQL-Befehlen
| RuleId | BESCHREIBUNG |
|---|---|
| 942100 | Angriff mit Einschleusung von SQL-Befehlen per libinjection erkannt. |
| 942110 | Angriff mit Einschleusung von SQL-Befehlen: Gängige Tests für Einschleusung von SQL-Befehlen erkannt. |
| 942120 | Angriff mit Einschleusung von SQL-Befehlen: SQL-Operator ermittelt. |
| 942140 | Angriff mit Einschleusung von SQL-Befehlen: Häufige Datenbanknamen erkannt. |
| 942150 | Angriff mit Einschleusung von SQL-Befehlen |
| 942160 | Erkennt SQLI-Blindtests per sleep() oder Benchmark(). |
| 942170 | Erkennt versuchte SQL-Einschleusungen per Benchmark() und sleep(), einschließlich bedingter Abfragen. |
| 942180 | Erkennt versuchte Umgehung der grundlegenden SQL-Authentifizierung 1/3. |
| 942190 | Erkennt die Ausführung von MSSQL-Code und Versuche, Informationen auszulesen. |
| 942200 | Erkennt durch MySQL-Kommentare oder -Leerzeichen verschleierte Einschleusungen und die Terminierung per Backtick. |
| 942210 | Erkennt verkettete Versuche der SQL-Einschleusung 1/2. |
| 942220 | Suche nach Angriffen per Ganzzahlüberlauf, diese werden von Skipfish übernommen, mit Ausnahme von 3.0.00738585072007e-308 (Absturz wegen ungültiger „magischer Zahl“). |
| 942230 | Erkennt Angriffsversuche mit bedingter SQL-Einschleusung. |
| 942240 | Erkennt MySQL-Zeichensatzwechsel und MSSQL-DoS-Angriffsversuche. |
| 942250 | Erkennt MATCH AGAINST-, MERGE- und EXECUTE IMMEDIATE-Einschleusungen. |
| 942260 | Erkennt versuchte Umgehung der grundlegenden SQL-Authentifizierung 2/3. |
| 942270 | Suche nach Einschleusung einfacher SQL-Befehle. Häufig verwendete Angriffszeichenfolge für MySQL, Oracle und andere. |
| 942280 | Erkennt Postgres-Einschleusung per pg_sleep, WAITFOR DELAY-Angriffe und Versuche des Herunterfahrens von Datenbanken. |
| 942290 | Erkennt Angriffsversuche mit einfachen SQL-Befehlen in MongoDB. |
| 942300 | Erkennt MySQL-Kommentare, Bedingungen und Einschleusungen von „ch(a)r“. |
| 942310 | Erkennt verkettete Versuche der SQL-Einschleusung 2/2. |
| 942320 | Erkennt Einschleusungen von gespeicherten Prozeduren/Funktionen in MySQL und PostgreSQL. |
| 942330 | Erkennt klassische Probings für Einschleusungen von SQL-Befehlen 1/2. |
| 942340 | Erkennt versuchte Umgehung der grundlegenden SQL-Authentifizierung 3/3. |
| 942350 | Erkennt MySQL-UDF-Einschleusung und andere Versuche der Manipulation von Daten bzw. Strukturen. |
| 942360 | Erkennt versuchte Verkettung einfacher eingeschleuster SQL-Befehle und SQLLFI-Versuche. |
| 942361 | Erkennt Einschleusung einfacher SQL-Befehle basierend auf den Schlüsselwörtern „Ändern“ oder „Union“. |
| 942370 | Erkennt klassische Probings für Einschleusungen von SQL-Befehlen 2/2. |
| 942380 | Angriff mit Einschleusung von SQL-Befehlen |
| 942390 | Angriff mit Einschleusung von SQL-Befehlen |
| 942400 | Angriff mit Einschleusung von SQL-Befehlen |
| 942410 | Angriff mit Einschleusung von SQL-Befehlen |
| 942430 | Eingeschränkte Anomalieerkennung für SQL-Zeichen (Argumente): Anzahl der Sonderzeichen überschritten (12). |
| 942440 | SQL-Kommentarsequenz erkannt |
| 942450 | Hexadezimale SQL-Codierung identifiziert. |
| 942460 | Warnung: Erkennung einer Metazeichenanomalie – Wiederholte Non-Word-Zeichen. |
| 942470 | Angriff mit Einschleusung von SQL-Befehlen |
| 942480 | Angriff mit Einschleusung von SQL-Befehlen |
| 942500 | MySQL-Inlinekommentar erkannt |
| 942510 | Versuch der Umgehung der Einschleusung von SQL-Befehlen durch Ticks und Backticks erkannt |
Sitzungsfixierung
| RuleId | BESCHREIBUNG |
|---|---|
| 943100 | Möglicher Session Fixation-Angriff: Festlegung von Cookiewerten in HTML |
| 943110 | Möglicher Session Fixation-Angriff: SessionID-Parametername mit domänenexternem Referrer |
| 943120 | Möglicher Session Fixation-Angriff: SessionID-Parametername ohne Referrer |
Java-Angriffe
| RuleId | BESCHREIBUNG |
|---|---|
| 944100 | Remotebefehlsausführung: Apache Struts, Oracle WebLogic |
| 944110 | Erkennt potenzielle Payloadausführung |
| 944120 | Mögliche Nutzlastausführung und Remotebefehlsausführung |
| 944130 | Verdächtige Java-Klassen |
| 944200 | Ausnutzung der Java-Deserialisierung (Apache Commons) |
| 944210 | Mögliche Verwendung von Java-Serialisierung |
| 944240 | Remotebefehlsausführung: Java-Serialisierung und Log4j-Sicherheitsrisiko (CVE-2021-44228, CVE-2021-45046) |
| 944250 | Remotebefehlsausführung: Verdächtige Java-Methode erkannt |
MS-ThreatIntel-WebShells
| RuleId | BESCHREIBUNG |
|---|---|
| 99005002 | Webshell-Interaktionsversuch (POST) |
| 99005003 | Webshell-Uploadversuch (POST) – CHOPPER PHP |
| 99005004 | Webshell-Uploadversuch (POST) – CHOPPER ASPX |
| 99005005 | Webshell-Interaktionsversuch |
| 99005006 | Spring4Shell-Interaktionsversuch |
MS-ThreatIntel-AppSec
| RuleId | BESCHREIBUNG |
|---|---|
| 99030001 | Path Traversal-Umgehung in Headern (/.././../) |
| 99030002 | Path Traversal-Umgehung in Anforderungstext (/.././../) |
MS-ThreatIntel-SQLI
| RuleId | BESCHREIBUNG |
|---|---|
| 99031001 | Angriff mit Einschleusung von SQL-Befehlen: Allgemeine Tests auf Einschleusung von SQL-Befehlen erkannt |
| 99031002 | SQL-Kommentarsequenz erkannt |
| 99031003 | Angriff mit Einschleusung von SQL-Befehlen |
| 99031004 | Erkennt Versuche der Umgehung der einfachen SQL-Authentifizierung, 2/3 |
MS-ThreatIntel-CVEs
| RuleId | BESCHREIBUNG |
|---|---|
| 99001001 | Versuch der Ausnutzung der F5 TMUI-REST-API-Schwachstelle (CVE-2020-5902) mit bekannten Anmeldeinformationen |
| 99001002 | Versuch eines Citrix NSC_USER-Verzeichnisdurchlaufs CVE-2019-19781 |
| 99001003 | Versuch der Ausnutzung eines Atlassian Confluence Widget-Connectors CVE-2019-3396 |
| 99001004 | Versuch der Ausnutzung einer benutzerdefinierten Pulse Secure-Vorlage CVE-2020-8243 |
| 99001005 | Versuch der Ausnutzung eines SharePoint-Typkonverters CVE-2020-0932 |
| 99001006 | Versuch eines Pulse Connect-Verzeichnisdurchlaufs CVE-2019-11510 |
| 99001007 | Versuch einer Local File Inclusion für Junos OS J-Web CVE-2020-1631 |
| 99001008 | Versuch eines Fortinet-Pfaddurchlaufs CVE-2018-13379 |
| 99001009 | Versuch einer Apache-Struts ognl-Einschleusung CVE-2017-5638 |
| 99001010 | Versuch einer Apache-Struts ognl-Einschleusung CVE-2017-12611 |
| 99001011 | Versuch eines Oracle WebLogic-Pfaddurchlaufs CVE-2020-14882 |
| 99001012 | Versuch der Ausnutzung einer unsicheren Telerik WebUI-Deserialisierung CVE-2019-18935 |
| 99001013 | Versuch einer unsicheren XML-Deserialisierung in SharePoint CVE-2019-0604 |
| 99001014 | Versucht der Einschleusung von Spring Cloud-Routingausdrücken CVE-2022-22963 |
| 99001015 | Versuch der Ausnutzung der nicht sicherer Klassenobjekte von Spring Framework CVE-2022-22965 |
| 99001016 | Versuch der Einschleusung eins Spring Cloud Gateway-Aktuators CVE-2022-22947 |
| 99001017 | Versuchter Apache Struts-Dateiupload CVE-2023-50164 |
Hinweis
Beim Durchgehen der Protokolle Ihrer WAF sehen Sie möglicherweise die Regel-ID 949110. Die Beschreibung der Regel kann Eingehende Anomaliebewertung überschritten enthalten.
Diese Regel gibt an, dass die Gesamtanomaliebewertung für die Anforderung die maximale zulässige Bewertung überschritten hat. Weitere Informationen finden Sie unter Anomaliebewertung.
Wenn Sie Ihre WAF-Richtlinien optimieren, müssen Sie die anderen Regeln untersuchen, die von der Anforderung ausgelöst wurden, damit Sie die Konfiguration Ihrer WAF anpassen können. Weitere Informationen finden Sie unter Optimieren der Azure Web Application Firewall für Azure Front Door.