Grupos de reglas y reglas de Web Application Firewall DRS y CRS

  • Artículo

Los conjuntos de reglas administradas por Azure en el firewall de aplicaciones web (WAF) de Application Gateway protegen activamente las aplicaciones web frente a vulnerabilidades comunes y vulnerabilidades de seguridad. Estos conjuntos de reglas, administrados por Azure, reciben actualizaciones según sea necesario para protegerse frente a nuevas firmas de ataque. El conjunto de reglas predeterminado también incorpora las reglas de recopilación de inteligencia sobre amenazas de Microsoft. El equipo de Inteligencia de Microsoft colabora en la escritura de estas reglas, lo que garantiza una cobertura mejorada, revisiones de vulnerabilidad específicas y una reducción de falsos positivos mejorada.

También tiene la opción de usar reglas definidas en base a los conjuntos de reglas centrales 3.2, 3.1, 3.0 o 2.2.9 de OWASP.

Puede deshabilitar las reglas individualmente o establecer acciones específicas para cada regla. En este artículo se enumeran las reglas y los conjuntos de reglas actuales disponibles. Si un conjunto de reglas publicado requiere una actualización, lo documentaremos aquí.

Nota:

Al cambiar de una versión del conjunto de reglas a otra, todas las opciones de regla deshabilitadas y habilitadas volverán al valor predeterminado para el conjunto de reglas al que va a migrar. Esto significa que si ha deshabilitado o habilitado previamente una regla, deberá hacerlo de nuevo tras cambiar a la nueva versión del conjunto de reglas.

Conjuntos de reglas predeterminados

El conjunto de reglas predeterminado (DRS) administrado por Azure incluye reglas frente a las siguientes categorías de amenaza:

  • Scripting entre sitios
  • Ataques de Java
  • Inclusión de archivos locales
  • Ataques por inyección de PHP
  • Ejecución de comandos remotos
  • Inclusión de archivos remotos
  • Fijación de sesión
  • Protección contra la inyección de código SQL
  • Atacantes de protocolo El número de versión del DRS aumenta cuando se agregan nuevas firmas de ataque al conjunto de reglas.

Reglas de recopilación de Inteligencia sobre amenazas de Microsoft

Las reglas de recopilación de Inteligencia sobre amenazas de Microsoft se escriben en colaboración con el equipo de Inteligencia sobre amenazas de Microsoft para proporcionar una mayor cobertura, revisiones para vulnerabilidades específicas y una mejor reducción de falsos positivos.

Nota:

Use las siguientes indicaciones para poner a punto el WAF mientras se inicia con 2.1 en Application Gateway WAF. A continuación se describen los detalles de las reglas.

Identificador de la regla Grupo de reglas Descripción Detalles
942110 SQLI Ataque por inyección de código SQL: Pruebas de inyección de código detectadas Deshabilitar, reemplazado por la regla 99031001 de MSTIC
942150 SQLI Ataque por inyección de código SQL Deshabilitar, reemplazado por la regla 99031003 de MSTIC
942260 SQLI Detecta intentos básicos de omisión de la autenticación SQL (2/3) Deshabilitar, reemplazado por la regla 99031004 de MSTIC
942430 SQLI Restringe la detección de anomalías de caracteres de SQL (args): número de caracteres especiales que se han excedido (12) Deshabilitar, demasiados falsos positivos.
942440 SQLI Secuencia de comentario SQL detectada Deshabilitar, reemplazado por la regla 99031002 de MSTIC
99005006 MS-ThreatIntel-WebShells Intento de interacción de Spring4Shell Mantén habilitada la regla para evitar la vulnerabilidad de SpringShell
99001014 MS-ThreatIntel-CVEs Intento de inserción de expresiones de enrutamiento de Spring Cloud CVE-2022-22963 Mantén habilitada la regla para evitar la vulnerabilidad de SpringShell
99001015 MS-ThreatIntel-WebShells Intento de explotación de objetos de clase no seguros de Spring Framework CVE-2022-22965 Mantén habilitada la regla para evitar la vulnerabilidad de SpringShell
99001016 MS-ThreatIntel-WebShells Intento de inyección de accionador de Spring Cloud Gateway CVE-2022-22947 Mantén habilitada la regla para evitar la vulnerabilidad de SpringShell
99001017 MS-ThreatIntel-CVEs Intento de explotación de carga de archivos de Apache Struts CVE-2023-50164 Establezca la acción en Bloquear para evitar la vulnerabilidad de Apache Struts. La puntuación de anomalías no se admite en esta regla.

Conjuntos de reglas principales

El firewall de aplicaciones web de Application Gateway viene preconfigurado con CRS 3.2 de forma predeterminada, pero se puede usar cualquier otra versión de CRS compatible.

CRS 3.2 ofrece un nuevo motor y nuevos conjuntos de reglas que protegen contra inyecciones de Java, un conjunto inicial de comprobaciones de carga de archivos y menos falsos positivos, en comparación con las versiones anteriores de CRS. También puede personalizar reglas para satisfacer sus necesidades. Obtenga más información sobre el nuevo motor de WAF de Azure.

Manages rules

El WAF brinda protección contra las vulnerabilidades web siguientes:

  • Ataques por inyección de código SQL.
  • Ataques por scripts entre sitios.
  • Otros ataques comunes, como la inyección de comandos, el contrabando de solicitudes HTTP, la división de respuestas HTTP y la inclusión de archivos remotos.
  • Infracciones del protocolo HTTP.
  • Anomalías del protocolo HTTP, como la falta de agentes de usuario de host y encabezados de aceptación.
  • Bots, rastreadores y escáneres
  • Errores de configuración comunes de las aplicaciones (por ejemplo, Apache e IIS).

Activando los conjuntos de reglas administrados

Tanto DRS como CRS están habilitados de forma predeterminada en el modo de detección en tus directivas de WAF. Puedes deshabilitar o habilitar reglas individuales dentro del conjunto de reglas administradas para cumplir con los requisitos de tu aplicación. También puede definir acciones específicas para cada regla. El DRS/CRS admite acciones de puntuación de anomalías, registro y bloqueo. El conjunto de reglas de Bot Manager admite las acciones de permitir, bloquear y registrar.

A veces, es posible que tenga que omitir determinados atributos de una solicitud de una evaluación del WAF. Un ejemplo común son los tokens insertados de Active Directory que se usan para la autenticación. Puede configurar que se apliquen exclusiones cuando se evalúen reglas de WAF específicas o que se apliquen globalmente a la evaluación de todas las reglas de WAF. Las reglas de exclusión se aplican a toda la aplicación web. Para más información, ver Firewall de aplicaciones web (WAF) con listas de exclusión de Application Gateway.

De forma predeterminada, DRS versión 2.1 / CRS versión 3.2 y posteriores usa la puntuación de anomalías cuando una solicitud coincide con una regla. CRS 3.1 y versiones posteriores bloquean las solicitudes coincidentes de forma predeterminada. Además, las reglas personalizadas pueden configurarse en la misma directiva del WAF si quiere omitir cualquiera de las reglas previamente configuradas en el conjunto de reglas básico.

Las reglas personalizadas se aplican siempre antes de que se evalúen las reglas del conjunto de reglas básico. Si una solicitud coincide con una regla personalizada, se aplica la acción de la regla correspondiente. La solicitud se bloquea o se pasa por el back-end. No se procesa ninguna otra regla personalizada ni las reglas del conjunto de reglas básico.

Puntuación de anomalías

Cuando usas CRS o DRS 2.1 y versiones posteriores, tu WAF está configurado para usar puntuación de anomalías de forma predeterminada. El tráfico que cumpla cualquiera de las reglas no se bloquea inmediatamente, aun cuando WAF esté en modo de prevención. En vez de ello, los conjuntos de reglas OWASP definen una gravedad para cada regla: Crítica, Error, Advertencia o Aviso. Dicha gravedad afecta a un valor numérico de la solicitud, lo que se conoce como puntuación de anomalías:

Gravedad de las reglas Valor de contribución a una puntuación de anomalías
Crítico 5
Error 4
Advertencia 3
Aviso 2

Si la puntuación de anomalía es 5 o superior y el WAF está en modo de prevención, la solicitud se bloquea. Si la puntuación de anomalía es 5 o superior y el WAF está en modo detección, la solicitud se registra pero no se bloquea.

Por ejemplo, cumplir una única regla Crítica es suficiente para que WAF bloquee una solicitud cuando está en modo de prevención, ya que la puntuación de anomalía general es 5. Pero cumplir una regla de tipo Advertencia solo aumenta la puntuación de anomalías en 3, lo cual no basta per se para bloquear el tráfico. Cuando se desencadena una regla de anomalías, muestra una acción "Coincidente" en los registros. Si la puntuación de anomalía es 5 o superior, hay una regla independiente que se desencadena con una acción "Bloqueada" o "Detectada" en función de si la directiva de WAF está en modo de prevención o de detección. Para más información, consulte el Modo de puntuación de anomalías.

DRS 2.1

Las reglas de DRS 2.1 ofrecen una mejor protección que las versiones anteriores del DRS. Incluye otras reglas desarrolladas por el equipo de Inteligencia sobre amenazas de Microsoft y actualizaciones de firmas para reducir falsos positivos. También admite transformaciones más allá de la descodificación de direcciones URL.

DRS 2.1 incluye 17 grupos de reglas, tal como se muestra en la tabla siguiente. Cada grupo contiene varias reglas y puede personalizar el comportamiento de reglas individuales, grupos de reglas o conjuntos de reglas completos.

Grupo de reglas Descripción
General Grupo general
METHOD-ENFORCEMENT Métodos de bloqueo (PUT, PATCH)
PROTOCOL-ENFORCEMENT Protección contra problemas de protocolo y codificación
PROTOCOL-ATTACK Protección contra ataques por inyección de encabezado, contrabando de solicitudes y división de respuestas
APPLICATION-ATTACK-LFI Protección contra ataques a archivos y rutas de acceso
APPLICATION-ATTACK-RFI Protección contra ataques por inclusión de archivos remotos (RFI)
APPLICATION-ATTACK-RCE Protección contra ataques de ejecución de código remoto
APPLICATION-ATTACK-PHP Protección contra ataques por inyección de código PHP
APPLICATION-ATTACK-NodeJS Protección frente a ataques de Node JS
APPLICATION-ATTACK-XSS Protección contra ataques por scripts entre sitios
APPLICATION-ATTACK-SQLI Protección contra ataques por inyección de código SQL
APPLICATION-ATTACK-SESSION-FIXATION Protección contra ataques por fijación de sesión
APPLICATION-ATTACK-SESSION-JAVA Protección contra ataques de JAVA
MS-ThreatIntel-WebShells Protección frente a ataques de shell web
MS-ThreatIntel-AppSec Protección frente a ataques de AppSec
MS-ThreatIntel-SQLI Protección frente a ataques de SQLI
MS-ThreatIntel-CVEs Protección frente a ataques de CVE

CRS 3.2 de OWASP

CRS 3.2 incluye 14 grupos de reglas, tal como se muestra en la tabla siguiente. Cada grupo contiene varias reglas, las que se pueden deshabilitar. El conjunto de reglas se basa en la versión de OWASP CRS 3.2.0.

Nota

CRS 3.2 solo está disponible en la SKU WAF_v2. Dado que CRS 3.2 se ejecuta en el nuevo motor de WAF de Azure, no se puede cambiar a CRS 3.1, ni a las versiones anteriores. Si necesita cambiar a una versión anterior, póngase en contacto con el soporte técnico de Azure.

Grupo de reglas Descripción
General Grupo general
KNOWN-CVES Ayuda para detectar los CVE nuevos y conocidos
REQUEST-911-METHOD-ENFORCEMENT Métodos de bloqueo (PUT, PATCH)
REQUEST-913-SCANNER-DETECTION Protección contra los escáneres de puertos y entornos
REQUEST-920-PROTOCOL-ENFORCEMENT Protección contra problemas de protocolo y codificación
REQUEST-921-PROTOCOL-ATTACK Protección contra ataques por inyección de encabezado, contrabando de solicitudes y división de respuestas
REQUEST-930-APPLICATION-ATTACK-LFI Protección contra ataques a archivos y rutas de acceso
REQUEST-931-APPLICATION-ATTACK-RFI Protección contra ataques por inclusión de archivos remotos (RFI)
REQUEST-932-APPLICATION-ATTACK-RCE Protección contra ataques de ejecución de código remoto
REQUEST-933-APPLICATION-ATTACK-PHP Protección contra ataques por inyección de código PHP
REQUEST-941-APPLICATION-ATTACK-XSS Protección contra ataques por scripts entre sitios
REQUEST-942-APPLICATION-ATTACK-SQLI Protección contra ataques por inyección de código SQL
REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION Protección contra ataques por fijación de sesión
REQUEST-944-APPLICATION-ATTACK-JAVA Protección contra ataques de JAVA

OWASP CRS 3.1

CRS 3.1 incluye 14 grupos de reglas, tal como se muestra en la tabla siguiente. Cada grupo contiene varias reglas, las que se pueden deshabilitar. El conjunto de reglas se basa en la versión de OWASP CRS 3.1.1.

Nota

CRS 3.1 solo está disponible en la SKU WAF_v2.

Grupo de reglas Descripción
General Grupo general
KNOWN-CVES Ayuda para detectar los CVE nuevos y conocidos
REQUEST-911-METHOD-ENFORCEMENT Métodos de bloqueo (PUT, PATCH)
REQUEST-913-SCANNER-DETECTION Protección contra los escáneres de puertos y entornos
REQUEST-920-PROTOCOL-ENFORCEMENT Protección contra problemas de protocolo y codificación
REQUEST-921-PROTOCOL-ATTACK Protección contra ataques por inyección de encabezado, contrabando de solicitudes y división de respuestas
REQUEST-930-APPLICATION-ATTACK-LFI Protección contra ataques a archivos y rutas de acceso
REQUEST-931-APPLICATION-ATTACK-RFI Protección contra ataques por inclusión de archivos remotos (RFI)
REQUEST-932-APPLICATION-ATTACK-RCE Protección contra ataques de ejecución de código remoto
REQUEST-933-APPLICATION-ATTACK-PHP Protección contra ataques por inyección de código PHP
REQUEST-941-APPLICATION-ATTACK-XSS Protección contra ataques por scripts entre sitios
REQUEST-942-APPLICATION-ATTACK-SQLI Protección contra ataques por inyección de código SQL
REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION Protección contra ataques por fijación de sesión
REQUEST-944-APPLICATION-ATTACK-SESSION-JAVA Protección contra ataques de JAVA

OWASP CRS 3.0

CRS 3.0 incluye 13 grupos de reglas, tal como se muestra en la tabla siguiente. Cada grupo contiene varias reglas, las que se pueden deshabilitar. El conjunto de reglas se basa en la versión de OWASP CRS 3.0.0.

Grupo de reglas Descripción
General Grupo general
KNOWN-CVES Ayuda para detectar los CVE nuevos y conocidos
REQUEST-911-METHOD-ENFORCEMENT Métodos de bloqueo (PUT, PATCH)
REQUEST-913-SCANNER-DETECTION Protección contra los escáneres de puertos y entornos
REQUEST-920-PROTOCOL-ENFORCEMENT Protección contra problemas de protocolo y codificación
REQUEST-921-PROTOCOL-ATTACK Protección contra ataques por inyección de encabezado, contrabando de solicitudes y división de respuestas
REQUEST-930-APPLICATION-ATTACK-LFI Protección contra ataques a archivos y rutas de acceso
REQUEST-931-APPLICATION-ATTACK-RFI Protección contra ataques por inclusión de archivos remotos (RFI)
REQUEST-932-APPLICATION-ATTACK-RCE Protección contra ataques de ejecución de código remoto
REQUEST-933-APPLICATION-ATTACK-PHP Protección contra ataques por inyección de código PHP
REQUEST-941-APPLICATION-ATTACK-XSS Protección contra ataques por scripts entre sitios
REQUEST-942-APPLICATION-ATTACK-SQLI Protección contra ataques por inyección de código SQL
REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION Protección contra ataques por fijación de sesión

OWASP CRS 2.2.9

CRS 2.2.9 incluye 10 grupos de reglas, tal como se muestra en la tabla siguiente. Cada grupo contiene varias reglas, las que se pueden deshabilitar.

Nota

CRS 2.2.9 no se admite para las nuevas directivas de WAF. Se recomienda realizar la actualización a la versión de CRS más reciente. CRS 2.2.9 no se puede usar junto con CRS 3.2/DRS 2.1 y versiones posteriores.

Grupo de reglas Descripción
crs_20_protocol_violations Protección contra infracciones de protocolo (como caracteres no válidos o GET con un cuerpo de solicitud)
crs_21_protocol_anomalies Protección contra información de encabezados incorrecta
crs_23_request_limits Protección contra argumentos o archivos que superan las limitaciones
crs_30_http_policy Protección contra métodos, encabezados y tipos de archivo restringidos
crs_35_bad_robots Protección contra escáneres y rastreadores web
crs_40_generic_attacks Protección contra ataques genéricos (como fijación de sesión, inclusión de archivos remotos e inyección de código PHP)
crs_41_sql_injection_attacks Protección contra ataques por inyección de código SQL
crs_41_xss_attacks Protección contra ataques por scripts entre sitios
crs_42_tight_security Protección contra ataques punto punto barra
crs_45_trojans Protección contra troyanos de puerta trasera

Reglas de bot

Puede habilitar un conjunto administrado de reglas de protección contra bots para realizar acciones personalizadas ante solicitudes de todas las categorías de bots.

Grupo de reglas Descripción
BadBots Protección frente a bots defectuosos
GoodBots Identificación de bots correctos
UnknownBots Identificación de bots desconocidos

Los siguientes grupos de reglas y reglas están disponibles cuando se usa el Firewall de aplicaciones web en Application Gateway.

2.1 Conjuntos de reglas

General

Identificador de regla Descripción
200002 Error al analizar el cuerpo de la solicitud
200003 Error de validación estricta del cuerpo de la solicitud de varias partes

METHOD-ENFORCEMENT

Identificador de regla Descripción
911100 Método no permitido por la directiva

PROTOCOL-ENFORCEMENT

Identificador de regla Descripción
920100 Línea de solicitud HTTP no válida
920120 Intento de omisión multiparte/datos de formulario
920121 Intento de omisión multiparte/datos de formulario
920160 El encabezado Content-Length HTTP no es numérico.
920170 Solicitud GET o HEAD con contenido del cuerpo
920171 GET o solicitud HEAD con codificación de transferencia.
920180 Falta el encabezado Content-Length en la solicitud POST.
920181 Encabezados de longitud y Transfer-Encoding de contenido presentes 99001003
920190 Intervalo: último valor de bytes no válido.
920200 Intervalo: demasiados campos (6 o más).
920201 Intervalo: demasiados campos para solicitudes PDF (35 o más).
920210 Se han encontrado múltiples datos de encabezado de conexión en conflicto.
920220 Intento de ataque de abuso de codificación de direcciones URL
920230 Varias codificaciones de direcciones URL detectadas
920240 Intento de ataque de abuso de codificación de direcciones URL
920260 Intento de ataque de abuso de caracteres de ancho medio y ancho completo Unicode
920270 Carácter no válido en la solicitud (carácter nulo)
920271 Carácter no válido en la solicitud (caracteres no imprimibles)
920280 Falta un encabezado host en la solicitud.
920290 Encabezado host vacío
920300 Falta un encabezado de aceptación (Accept) en la solicitud.
920310 La solicitud tiene un encabezado de aceptación (Accept) vacío.
920311 La solicitud tiene un encabezado de aceptación (Accept) vacío.
920320 Falta el encabezado de agente de usuario.
920330 Encabezado de agente de usuario vacío
920340 La solicitud tiene contenido, pero falta el encabezado Content-Type.
920341 La solicitud que tiene contenido requiere encabezado Content-Type
920350 El encabezado host es una dirección IP numérica.
920420 La directiva no permite el tipo de contenido de la solicitud
920430 La directiva no permite la versión del protocolo HTTP
920440 Extensión de archivo URL restringida por una directiva
920450 Encabezado HTTP restringido por una directiva
920470 Encabezado de tipo de contenido no válido
920480 La directiva no permite el conjunto de caracteres de tipo de contenido de solicitud
920500 Intento de acceder a una copia de seguridad o un archivo de trabajo

PROTOCOL-ATTACK

Identificador de regla Descripción
921110 Ataque de contrabando de solicitudes HTTP
921120 Ataque de división de respuestas HTTP
921130 Ataque de división de respuestas HTTP
921140 Ataque por inyección de encabezado HTTP a través de encabezados
921150 Ataque por inyección de encabezado HTTP a través de la carga (Retorno de carro / Avance de línea detectado)
921151 Ataque por inyección de encabezado HTTP a través de la carga (Retorno de carro / Avance de línea detectado)
921160 Ataque por inyección de encabezado HTTP a través de la carga (Retorno de carro/Avance de línea y header-name detectados)
921190 División HTTP (CR/LF en el nombre de archivo de solicitud detectado)
921200 Ataque por inyección de LDAP

LFI: inclusión de archivos locales

Identificador de regla Descripción
930100 Ataque punto punto barra (/.. /)
930110 Ataque punto punto barra (/.. /)
930120 Intento de acceso a archivo del sistema operativo
930130 Intento de acceso a archivo restringido

RFI: inclusión de archivos remotos

Identificador de regla Descripción
931100 Posible ataque remoto de inclusión de archivos (RFI): el parámetro de dirección URL utiliza una dirección IP
931110 Posible ataque remoto de inclusión de archivos (RFI): nombre de parámetro vulnerable de RFI común utilizado con carga de dirección URL
931120 Posible ataque remoto de inclusión de archivos (RFI): carga de dirección URL utilizada con carácter de interrogación de cierre (?)
931130 Posible ataque remoto de inclusión de archivos (RFI): referencia o vínculo fuera del dominio

RCE: ejecución de comandos remotos

Identificador de regla Descripción
932100 Ejecución de comandos remotos: Inyección de comandos Unix
932105 Ejecución de comandos remotos: Inyección de comandos Unix
932110 Ejecución de comandos remotos: Inyección de comando de Windows
932115 Ejecución de comandos remotos: Inyección de comando de Windows
932120 Ejecución de comandos remotos: comando de Windows PowerShell encontrado
932130 Ejecución remota de comandos: expresión de shell de Unix o vulnerabilidad de Confluence (CVE-2022-26134) encontrada
932140 Ejecución de comandos remotos: comando FOR/IF de Windows encontrado
932150 Ejecución de comandos remotos: Ejecución directa de comandos de Unix
932160 Ejecución de comandos remotos: código de shell de Unix encontrado
932170 Ejecución de comandos remotos: Shellshock (CVE-2014-6271)
932171 Ejecución de comandos remotos: Shellshock (CVE-2014-6271)
932180 Intento de acceso a archivo restringido

Ataques PHP

Identificador de regla Descripción
933100 Ataque por inyección en PHP: etiqueta de apertura o cierre encontrada
933110 Ataque por inyección en PHP: Carga de archivos de script PHP encontrada
933120 Ataque por inyección en PHP: directiva de configuración encontrada
933130 Ataque por inyección en PHP: Variables encontradas
933140 Ataque por inyección en PHP: Flujo de E/S encontrado
933150 Ataque por inyección en PHP: nombre de función de PHP de alto riesgo encontrado
933151 Ataque por inyección en PHP: Se encontró un nombre de función PHP de riesgo medio
933160 Ataque por inyección en PHP: llamada de función de PHP de alto riesgo encontrada
933170 Ataque por inyección en PHP: Inyección de objetos serializados
933180 Ataque por inyección en PHP: llamada de función de variable encontrada
933200 Ataque por inyección de PHP: esquema contenedor
933210 Ataque por inyección en PHP: llamada de función de variable encontrada

Ataques de Node JS

Identificador de regla Descripción
934100 Ataque por inyección de Node.js

XSS: scripting entre sitios

Identificador de regla Descripción
941100 Ataque XSS detectado mediante libinjection
941101 Ataque XSS detectado mediante libinjection
Esta regla detecta las solicitudes con un encabezado del Sitio de referencia.
941110 Filtro XSS - Categoría 1: vector de etiqueta de script
941120 Filtro XSS - Categoría 2: vector del controlador de eventos
941130 Filtro XSS - Categoría 3: vector de atributo
941140 Filtro XSS - Categoría 4: vector URI de JavaScript
941150 Filtro XSS - Categoría 5: atributos HTML no permitidos
941160 NoScript XSS InjectionChecker: Inyección HTML
941170 NoScript XSS InjectionChecker: Inyección de atributo
941180 Palabras clave de lista de bloqueados de node-validator
941190 XSS mediante hojas de estilos
941200 XSS mediante fotogramas VML
941210 XSS mediante JavaScript ofuscado
941220 XSS mediante VBScript ofuscado
941230 XSS mediante etiqueta "embed"
941240 XSS mediante el atributo "import" o "implementación"
941250 Filtros XSS de IE: ataque detectado
941260 XSS mediante la etiqueta "meta"
941270 XSS mediante href "link"
941280 XSS mediante la etiqueta "base"
941290 XSS mediante la etiqueta "applet"
941300 XSS mediante la etiqueta "object"
941310 Filtro XSS de codificación mal formulada US-ASCII: ataque detectado
941320 Posible ataque XSS detectado: controlador de etiquetas HTML
941330 Filtros XSS de IE: ataque detectado
941340 Filtros XSS de IE: ataque detectado
941350 XSS de IE con codificación UTF-7: ataque detectado
941360 Ofuscación de JavaScript detectada
941370 Variable global de JavaScript encontrada
941380 Inserción de plantillas del lado cliente de AngularJS detectada

SQLI: inyección de código SQL

Identificador de regla Descripción
942100 Ataque por inyección de código SQL detectado mediante libinjection
942110 Ataque por inyección de código SQL: Pruebas de inyección de código detectadas
942120 Ataque por inyección de código SQL: Se detectó un operador SQL
942140 Ataque por inyección de código SQL: nombres de base de datos comunes detectados
942150 Ataque por inyección de código SQL
942160 Detección de pruebas de inyección de código SQL a ciegas mediante sleep() o benchmark()
942170 Detección de intentos de inyección con las funciones benchmark y sleep que incluyen consultas condicionales
942180 Detecta intentos básicos de omisión de la autenticación SQL 1/3
942190 Detecta la ejecución de código MSSQL y los intentos de recopilación de información
942200 Detecta inyecciones de código MySQL cuyo espacio o comentarios resultan confusos y terminaciones con el carácter de acento grave
942210 Detecta los intentos de inyección de SQL encadenado 1/2
942220 En busca de ataques de desbordamiento de enteros; estos se toman de skipfish, excepto 3.0.00738585072007e-308, que es el bloqueo de "número mágico".
942230 Detección de intentos de inyección de código SQL condicionales
942240 Detecta el modificador de los juegos de caracteres de MySQL y los intentos de DoS MSSQL
942250 Detecta la coincidencia, la combinación y la ejecución de inyecciones inmediatas
942260 Detecta intentos básicos de omisión de la autenticación SQL (2/3)
942270 Búsqueda de inyección de código SQL básico Cadena de ataque común para mySQL, Oracle y otros.
942280 Detecta la inyección de pg_sleep de Postgres, los ataques de retraso de WAITFOR y los intentos de cierre de base de datos
942290 Búsqueda de intentos de inyección de código SQL MongoDB básico
942300 Detecta comentarios, condiciones e inyecciones de caracteres de MySQL.
942310 Detecta los intentos de inyección de SQL encadenado 2/2
942320 Detección de inyecciones de funciones o procedimientos almacenados de MySQL y PostgreSQL
942330 Detecta sondeos clásicos de inyección de código SQL (1/2)
942340 Detecta intentos básicos de omisión de la autenticación SQL (3/3)
942350 Detección de intentos de inyección de UDF MySQL y otras manipulaciones de datos o estructuras
942360 Detecta intentos concatenados de SQLLFI e inyecciones de código SQL básicas
942361 Detecta la inyección de SQL básica basada en la palabra clave alter o union
942370 Detecta sondeos clásicos de inyección de código SQL (2/2)
942380 Ataque por inyección de código SQL
942390 Ataque por inyección de código SQL
942400 Ataque por inyección de código SQL
942410 Ataque por inyección de código SQL
942430 Restringe la detección de anomalías de caracteres de SQL (args): número de caracteres especiales que se han excedido (12)
942440 Secuencia de comentario SQL detectada
942450 Codificación hexadecimal de SQL identificada
942460 Alerta de detección de anomalías de metacaracteres: repetición de caracteres que no se usan en las palabras
942470 Ataque por inyección de código SQL
942480 Ataque por inyección de código SQL
942500 Comentario en línea de MySQL detectado.
942510 Intento de omisión de SQLI por tics o marcas de seguridad detectado.

SESSION-FIXATION

Identificador de regla Descripción
943100 Posible ataque de fijación de sesión: definición de valores de cookies en HTML
943110 Posible ataque de fijación de sesión: nombre del parámetro SessionID con origen de referencia fuera del dominio
943120 Posible ataque de fijación de sesión: nombre del parámetro SessionID con origen de referencia fuera del dominio

Ataques de JAVA

Identificador de regla Descripción
944100 Ejecución remota de comandos: Apache Struts, Oracle WebLogic
944110 Detecta la ejecución de la carga útil potencial.
944120 Ejecución de la carga posible y ejecución de comandos remotos
944130 Clases de Java sospechosas
944200 Aprovechamiento de la deserialización de Java Apache Commons
944210 Posible uso de la serialización de Java
944240 Ejecución remota de comandos: vulnerabilidad de Log4j y serialización de Java (CVE-2021-44228, CVE-2021-45046)
944250 Ejecución remota de comandos: se detectó un método de Java sospechoso

MS-ThreatIntel-WebShells

Identificador de regla Descripción
99005002 Intento de interacción del shell web (POST)
99005003 Intento de carga de shell web (POST): CHOPPER PHP
99005004 Intento de carga de shell web (POST): CHOPPER ASPX
99005005 Intento de interacción del shell web
99005006 Intento de interacción de Spring4Shell

MS-ThreatIntel-AppSec

Identificador de regla Descripción
99030001 Evasión transversal de ruta de acceso en encabezados (/.././../)
99030002 Evasión transversal de ruta de acceso en el cuerpo de la solicitud (/.././../)

MS-ThreatIntel-SQLI

Identificador de regla Descripción
99031001 Ataque por inyección de código SQL: Pruebas de inyección de código detectadas
99031002 Secuencia de comentario SQL detectada
99031003 Ataque por inyección de código SQL
99031004 Detecta intentos básicos de omisión de la autenticación SQL (2/3)

MS-ThreatIntel-CVEs

Identificador de regla Descripción
99001001 Intento de explotación de la API de REST F5 tmui (CVE-2020-5902) con credenciales conocidas
99001002 Intento de recorrido de directorio de Citrix NSC_USER CVE-2019-19781
99001003 Intento de explotación del conector de widgets de Confluence atlassian CVE-2019-3396
99001004 Intento de explotación de plantillas personalizadas de Pulse Secure CVE-2020-8243
99001005 Intento de explotación del convertidor de tipos de SharePoint CVE-2020-0932
99001006 Intento de recorrido de directorio de Pulse Connect CVE-2019-11510
99001007 Intento de inclusión de archivos locales J-Web de Junos OS CVE-2020-1631
99001008 Intento de recorrido de ruta de Fortinet CVE-2018-13379
99001009 Intento de inyección de ognl de Apache struts CVE-2017-5638
99001010 Intento de inyección de ognl de Apache struts CVE-2017-12611
99001011 Intento de recorrido de ruta de acceso de Oracle WebLogic CVE-2020-14882
99001012 Intento de explotación de deserialización no segura de Telerik WebUI CVE-2019-18935
99001013 Intento de deserialización XML no segura de SharePoint CVE-2019-0604
99001014 Intento de inserción de expresiones de enrutamiento de Spring Cloud CVE-2022-22963
99001015 Intento de explotación de objetos de clase no seguros de Spring Framework CVE-2022-22965
99001016 Intento de inyección de accionador de Spring Cloud Gateway CVE-2022-22947
99001017* Intento de explotación de carga de archivos de Apache Struts CVE-2023-50164

*Esta acción de regla se establece en registro de forma predeterminada. Establezca la acción en Bloquear para evitar la vulnerabilidad de Apache Struts. La puntuación de anomalías no se admite en esta regla.

Nota:

Al revisar los registros de WAF, es posible que vea el identificador de regla 949110. En la descripción de la regla podría leerse que se ha excedido la puntuación de anomalías entrante.

Esto indica que la puntuación total de anomalías de la solicitud ha superado la puntuación máxima permitida. Para obtener más información, vea Puntuación de anomalías.

Pasos siguientes