Gruppi di regole e regole WAF CRS e DRS di Application Gateway

Si applica a: ✔️ Gateway applicazione

Web application firewall di Azure su Application Gateway protegge le applicazioni web da vulnerabilità e exploit comuni. I set di regole gestiti da Azure vengono aggiornati man mano che emergono nuove firme di attacco e includono regole sviluppate dal team di Microsoft Threat Intelligence per migliorare la copertura, affrontare vulnerabilità specifiche e ridurre i falsi positivi.

Puoi abilitare o disabilitare le singole regole e configurare le azioni delle regole. Questo articolo elenca le versioni, i gruppi di regole e le regole disponibili per il Set di Regole Predefinite (DRS) e il Set di Regole Core (CRS).

Note

Quando si modifica la versione del set di regole in un criterio WAF, riapplicare le sovrascritture e le esclusioni esistenti tra stato della regola e azione alla nuova versione. Per maggiori informazioni, vedi Aggiorna o cambia la versione del set di regole.

Set di regole 2.2 predefinito

Il set di regole predefinito (DRS) 2.2 è basato su Open Web Application Security Project (OWASP) Core Rule Set 3.3.4, apportando miglioramenti ai rilevamenti esistenti e alle nuove protezioni, incluse le regole che rilevano i tipi di contenuto dichiarati all'esterno dell'intestazione del tipo di contenuto effettivo e rilevamenti RCE (Enhanced Code Execution). DRS 2.2 include regole di protezione proprietarie aggiuntive sviluppate da Microsoft team di Intelligence sulle minacce, che espandono la copertura tra i modelli di attacco SQL injection, XSS e application-security.

DRS 2.2 offre un nuovo motore e nuovi set di regole che si difendono dalle iniezioni di Java, un set iniziale di controlli per il caricamento dei file e meno falsi positivi rispetto alle versioni precedenti di DRS e CRS. È anche possibile personalizzare le regole in base alle proprie esigenze. Altre informazioni sul nuovo motore waf Azure.

DrS 2.2 include 18 gruppi di regole, come illustrato nella tabella seguente. Ogni gruppo contiene più regole ed è possibile personalizzare il comportamento per singole regole, gruppi di regole o intero set di regole.

Tipo di minaccia Nome gruppo di regole
Generale Generale
Metodi di blocco (PUT, PATCH) APPLICAZIONE DEL METODO
Problemi di protocollo e codifica APPLICAZIONE DEL PROTOCOLLO
Inserimento di intestazioni, contrabbando di richieste e suddivisione delle risposte ATTACCO DEL PROTOCOLLO
Attacchi a file e percorsi LFI
Attacchi RFI (Remote File Inclusion) RFI
Attacchi di esecuzione di codice remoto RCE
Attacchi PHP injection PHP
Attacchi Node JS NodeJS
Attacchi di scripting tra siti XSS
Attacchi SQL injection SQLI
Attacchi di correzione della sessione SESSION-FIXATION
Attacchi JAVA SESSION-JAVA
Attacchi web shell (MS) MS-ThreatIntel-WebShells
Attacchi AppSec (MS) MS-ThreatIntel-AppSec
Attacchi di tipo SQL injection (MS) MS-ThreatIntel-SQLI
Attacchi CVE (MS) MS-ThreatIntel-CVEs
Attacchi XSS (MS) MS-ThreatIntel-XSS

Regole disabilitate

Le regole DRS 2.2 configurate in Paranoia Livello 2 sono disabilitate per impostazione predefinita. È possibile lasciare lo stato disabilitato se si desidera mantenere i criteri WAF configurati nel livello Paranoia 1. Se si desidera aumentare il livello di allerta della politica, è possibile modificare in modo sicuro lo stato di queste regole su attivato e l'azione sulla modalità di registrazione. Analizzare i log, apportare l'ottimizzazione necessaria e abilitare le regole di conseguenza. Per altre informazioni, vedere Livello paranoia e Ottimizzazione dei set di regole gestite.

Alcune regole OWASP vengono sostituite da sostituzioni create da Microsoft. Le regole originali sono disabilitate per impostazione predefinita e le relative descrizioni terminano con "(sostituito da ...)".

Set di regole predefinito 2.1

Anche se è comunque possibile usare il set di regole predefinito (DRS) 2.1, è consigliabile usare la versione più recente di DRS 2.2.

Il set di regole predefinito (DRS) 2.1 si basa sull'Open Web Application Security Project (OWASP) Core Rule Set (CRS) 3.3.2 e include ulteriori regole di protezione proprietarie sviluppate dal team Microsoft Threat Intelligence e aggiornamenti alle firme per ridurre i falsi positivi. Supporta anche trasformazioni oltre la semplice decodifica URL.

DRS 2.1 offre un nuovo motore e nuovi set di regole che difendono dalle iniezioni di Java, un insieme iniziale di controlli per il caricamento dei file e meno falsi positivi rispetto alle versioni CRS. È anche possibile personalizzare le regole in base alle proprie esigenze. Altre informazioni sul nuovo motore waf Azure.

DRS 2.1 include 17 gruppi di regole, come illustrato nella tabella seguente. Ogni gruppo contiene più regole, e puoi personalizzare il comportamento per singole regole, gruppi di regole o l'intero set di regole.

Tipo di minaccia Nome gruppo di regole
Generale Generale
Metodi di blocco (PUT, PATCH) APPLICAZIONE DEL METODO
Problemi di protocollo e codifica APPLICAZIONE DEL PROTOCOLLO
Inserimento di intestazioni, contrabbando di richieste e suddivisione delle risposte ATTACCO DEL PROTOCOLLO
Attacchi a file e percorsi LFI
Attacchi RFI (Remote File Inclusion) RFI
Attacchi di esecuzione di codice remoto RCE
Attacchi PHP injection PHP
Attacchi Node JS NodeJS
Attacchi di scripting tra siti XSS
Attacchi SQL injection SQLI
Attacchi di correzione della sessione SESSION-FIXATION
Attacchi JAVA SESSION-JAVA
Attacchi web shell (MS) MS-ThreatIntel-WebShells
Attacchi AppSec (MS) MS-ThreatIntel-AppSec
Attacchi di tipo SQL injection (MS) MS-ThreatIntel-SQLI
Attacchi CVE (MS) MS-ThreatIntel-CVEs

Linee guida per la messa a punto di DRS 2.1

Segui le indicazioni seguenti per ottimizzare il WAF mentre inizi a usare DRS 2.1 nel WAF del gateway applicativo.

ID regola Gruppo di regole Descrizione Raccomandazione
942110 SQLI Attacco SQL Injection: rilevati test di inserimento comune Disabilitare la regola 942110, sostituita dalla regola MSTIC 99031001
942150 SQLI Attacco SQL injection Disabilitare la regola 942150, sostituita dalla regola MSTIC 99031003
942260 SQLI Rileva tentativi di ignorare l'autenticazione SQL di base (2/3) Disabilitare la regola 942260, sostituita dalla regola MSTIC 99031004
942430 SQLI Rilevamento anomalie caratteri SQL con restrizioni (args): n. di caratteri speciali in eccesso (12) Disabilitare la regola 942430, attiva troppi falsi positivi
942440 SQLI Rilevata sequenza commenti SQL Disabilitare la regola 942440, sostituita dalla regola MSTIC 99031002
99005006 MS-ThreatIntel-WebShells Tentativo di interazione di Spring4Shell Mantenere la regola abilitata per evitare la vulnerabilità di SpringShell
99001014 MS-ThreatIntel-CVEs Tentativo di inserimento di routing-espressione Spring Cloud CVE-2022-22963 Mantenere la regola abilitata per evitare la vulnerabilità di SpringShell
99001015 MS-ThreatIntel-CVEs Tentativo di sfruttamento di oggetti della classe Spring Framework unsafe CVE-2022-22965 Mantenere la regola abilitata per evitare la vulnerabilità di SpringShell
99001016 MS-ThreatIntel-CVEs Tentativo di inserimento dell'attuatore Spring Cloud Gateway CVE-2022-22947 Mantenere la regola abilitata per evitare la vulnerabilità di SpringShell
99001017 MS-ThreatIntel-CVEs Tentativo di sfruttamento del caricamento di file Apache Struts CVE-2023-50164 Impostare l'azione su Blocca per evitare la vulnerabilità di Apache Struts. Punteggio anomalie non supportato per questa regola

Ottimizzazione dei set di regole gestiti

Sia DRS che CRS sono abilitati per impostazione predefinita in modalità Rilevamento nei criteri WAF. È possibile disabilitare o abilitare singole regole nel set di regole gestito, al fine di soddisfare i requisiti dell'applicazione. È anche possibile impostare azioni specifiche per ogni regola. DRS/CRS supporta azioni di blocco, log e punteggio anomalie. Il set di regole di Bot Manager supporta le azioni allow, block e log.

Talvolta può essere necessario omettere determinati attributi delle richieste da una valutazione di WAF. Un esempio comune è costituito dai token inseriti in Active Directory usati per l'autenticazione. È possibile configurare le esclusioni da applicare quando vengono valutate regole WAF specifiche, oppure da applicare a globalmente quando vengono valutate tutte le regole WAF. Le regole di esclusione si applicano all'intera applicazione Web. Per altre informazioni, vedere Web application firewall (WAF) con elenchi di esclusione di Application Gateway.

Per impostazione predefinita, Azure WAF utilizza il punteggio di anomalie quando una richiesta soddisfa una regola. Inoltre, se si vuole ignorare una qualsiasi regola preconfigurata nel set di regole di base, è possibile configurare regole personalizzate nello stesso criterio di WAF.

Le regole personalizzate vengono sempre applicate prima della valutazione delle regole del set di regole di base. Se una richiesta corrisponde a una regola personalizzata, viene applicata l'azione della regola corrispondente. La richiesta viene bloccata o passata al back-end. Non vengono elaborate altre regole personalizzate né altre regole del set di regole di base.

Assegnazione di punteggi anomalie

Quando si usa CRS o DRS 2.1 e versioni successive, il WAF è configurato per l'uso dell'assegnazione di punteggi anomalie per impostazione predefinita. Il traffico che corrisponde a qualsiasi regola non viene bloccato immediatamente, anche quando WAF è in modalità prevenzione. I set di regole OWASP definiscono invece una gravità per ogni regola: Critico, Errore, Avviso o Informativa. Tale gravità determina un valore numerico per la richiesta, ossia il punteggio anomalie:

Gravità della regola Valore che ha contribuito al punteggio anomalie
Critico 5
Errore 4
Avviso 3
Notifica 2

Se il punteggio anomalie è 5 o superiore e WAF è in modalità Prevenzione, la richiesta viene bloccata. Se il punteggio anomalie è 5 o superiore e WAF è in modalità Rilevamento, la richiesta viene registrata ma non bloccata.

Ad esempio, una singola corrispondenza di regola Critico è sufficiente perché WAF blocchi una richiesta in modalità Prevenzione, poiché il punteggio anomalie complessivo è 5. Tuttavia, una singola corrispondenza di regola di tipo Avviso si limita a incrementare di 3 il punteggio anomalie, che non è sufficiente per bloccare il traffico. Quando viene attivata una regola di anomalie, nei log viene visualizzata un'azione "Corrispondente". Se il punteggio di anomalia è 5 o superiore, è presente una regola separata attivata con un'azione "Bloccata" o "Rilevata" a seconda che i criteri WAF siano in modalità di prevenzione o rilevamento. Per altre informazioni, vedere Modalità di punteggio delle anomalie.

Livello di paranoia

Ogni regola viene assegnata in un livello paranoia specifico (PL). Le regole configurate in Paranoia Level 1 (PL1) sono meno aggressive e difficilmente mai attivano un falso positivo. Forniscono la sicurezza di base con una necessità minima di ottimizzazione. Le regole in PL2 rilevano più attacchi, ma dovrebbero attivare falsi positivi che devono essere ottimizzati.

Per impostazione predefinita, DRS 2.2 è configurato al livello paranoia 1 (PL1) e tutte le regole PL2 sono disabilitate. Per eseguire WAF in PL2, è possibile abilitare manualmente qualsiasi o tutte le regole PL2. Per i set di regole precedenti, DRS 2.1 e CRS 3.2 includono regole definite per paranoia livello 2, che copre le regole PL1 e PL2. Se si preferisce operare rigorosamente in PL1, è possibile disabilitare regole PL2 specifiche o impostarne l'azione su Log.

I livelli paranoia 3 e 4 non sono attualmente supportati in Azure WAF.

Note

Il set di regole CRS 3.2 include regole in PL3 e PL4, ma queste regole sono sempre inattive e non possono essere abilitate, indipendentemente dallo stato o dall'azione configurati.

Aggiornamento o modifica della versione del set di regole

Per aggiornare o assegnare una nuova versione del set di regole mantenendo le sovrascritture e le esclusioni esistenti, utilizza PowerShell, l'interfaccia della riga di comando, l'API REST o un modello per modificare la versione del set di regole. Una nuova versione di un regolamento può includere regole più recenti o gruppi di regole aggiuntivi. Validare queste modifiche in sicurezza in un ambiente di test, affinare se necessario e poi implementarle in un ambiente di produzione. Per altre informazioni, vedere Aggiornare la versione del set di regole CRS o DRS.

Se usi il portale Azure per assegnare un nuovo regolamento gestito a una policy WAF, il portale resetta tutte le personalizzazioni precedenti dal set di regole gestite esistente, come lo stato delle regole, le azioni delle regole e le esclusioni a livello di regola, ai valori predefiniti del nuovo set di regole gestite. Tuttavia, il portale non incide su alcuna regola personalizzata, impostazione dei criteri o esclusione globale durante l'assegnazione del nuovo set di regole. È necessario ridefinire le sostituzioni delle regole e convalidare le modifiche prima della distribuzione in un ambiente di produzione.

Informazioni sulla protezione CVE in Azure WAF

gateway applicazione di Azure WAF protegge da CVE tramite:

  • Protezioni generiche (DRS/OWASP CRS): molte CVE sono già attenuate dalle regole esistenti che rilevano modelli di attacco comuni, ad esempio SQL injection, XSS e RCE.
  • CVE-specific protections (Microsoft Threat Intelligence): per le vulnerabilità ad alto impatto, le regole dedicate vengono rilasciate nel gruppo di regole MS-ThreatIntel-CVEs.

Usare sempre la versione più recente del set di regole predefinito (DRS) per garantire una protezione aggiornata e ridurre i falsi positivi.

Per verificare la copertura:

  • Rivedi il gruppo di regole MS-ThreatIntel-CVEs .
  • Controlla le descrizioni delle regole per i riferimenti CVE.
  • Tieni presente che molti CVE sono coperti da protezioni generiche anche se non esplicitamente elencate.

Se un CVE non è esplicitamente coperto:

  • Aggiorna all'ultimo DRS.
  • Valida rispetto alle regole esistenti o usa regole personalizzate se necessario.
  • Contatta l'assistenza supporto tecnico di Azure se hai bisogno di protezione per un CVE ad alta priorità specifico che attualmente non è coperto.

Set di regole di base (CRS) - "legacy"

Il set di regole gestite consigliato è l'ultimo set di regole predefinito 2.2, basato sul Core Rule Set 3.3.4 del progetto Open Web Application Security Project (OWASP) e include regole di protezione proprietarie aggiuntive sviluppate dal team Microsoft di Intelligence sulle Minacce, oltre agli aggiornamenti delle firme per ridurre i falsi positivi. Quando si crea un nuovo criterio WAF, è consigliabile usare la versione più recente del set di regole DRS 2.2. Se si dispone di un criterio WAF esistente con DRS 2.1, CRS 3.2 o CRS 3.1, è consigliabile eseguire l'aggiornamento a DRS 2.2. Per altre informazioni, vedere Aggiornare la versione del set di regole CRS o DRS.

Note

  • CRS 3.2 è disponibile solo nello SKU WAF_v2. Non è possibile effettuare il downgrade da CRS 3.2 a CRS 3.1 o versioni precedenti perché CRS 3.2 viene eseguito nel nuovo motore WAF Azure. È consigliabile eseguire l'aggiornamento diretto alla versione più recente di DRS 2.1 e convalidare le nuove regole in modo sicuro modificando l'azione delle nuove regole in modalità di registrazione. Per altre informazioni, vedere Convalidare le nuove regole in modo sicuro.

  • Web application firewall (WAF) in esecuzione su Application Gateway per contenitori non supporta il Core Ruleset (CRS).

Bot Manager 1.0

Il set di regole di Bot Manager 1.0 offre protezione dai bot dannosi e dal rilevamento di bot validi. Le regole forniscono un controllo dettagliato sui bot rilevati dal WAF categorizzando il traffico dei bot come buoni, cattivi o sconosciuti .

Gruppo di regole Descrizione
BadBots Protezione da bot non validi
GoodBots Identificare bot validi
UnknownBots Identificare bot sconosciuti

Bot Manager 1.1

Il set di regole Bot Manager 1.1 è un miglioramento del set di regole Bot Manager 1.0. Offre una migliore protezione contro i bot malintenzionati e migliora un buon rilevamento dei bot.

Gruppo di regole Descrizione
BadBots Protezione da bot non validi
GoodBots Identificare bot validi
UnknownBots Identificare bot sconosciuti

I seguenti gruppi di regole e regole sono disponibili quando si utilizza Web application firewall su Application Gateway.

2.2 set di regole

Generale

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
200002 Critico - 5 1 Impossibile analizzare il corpo della richiesta.
200003 Critico - 5 1 Il corpo della richiesta multipart non ha superato la convalida rigorosa

Applicazione del metodo

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
911100 Critico - 5 1 Il metodo non è consentito dai criteri

Applicazione del protocollo

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
920100 Avviso - 2 1 Linea di richiesta HTTP non valida
920120 Critico - 5 1 Tentativo di bypass multipart/form-data
920121 Critico - 5 2 Tentativo di bypass multipart/form-data
920160 Critico - 5 1 L'intestazione HTTP Content-Length non è numerica.
920170 Critico - 5 1 Richiesta GET o HEAD con contenuto nel corpo.
920171 Critico - 5 1 Richiesta GET o HEAD con Transfer-Encoding.
920180 Avviso - 2 1 POST senza intestazioni Content-Length o Transfer-Encoding.
920181 Avviso - 3 1 Le intestazioni Content-Length e Trasferimento-Codifica presentano
920190 Avviso - 3 1 Intervallo: Valore dell'ultimo byte non valido.
920200 Avviso - 3 2 Intervallo: troppi campi (6 o più)
920201 Avviso - 3 2 Intervallo: troppi campi per richieste PDF (63 o più)
920210 Avviso - 3 1 Sono stati trovati dati multipli o in conflitto nell'intestazione Connection.
920220 Avviso - 3 1 Tentativo di attacco di abuso nella codifica URL
920230 Avviso - 3 2 Codifica multipla URL rilevata
920240 Avviso - 3 1 Tentativo di attacco di abuso nella codifica URL
920260 Avviso - 3 1 Tentativo di attacco basato sull’abuso di caratteri Unicode a larghezza piena o dimezzata
920270 Critico - 5 1 Carattere non valido nella richiesta (carattere null)
920271 Critico - 5 2 Carattere non valido nella richiesta (caratteri non stampabili)
920280 Avviso - 3 1 Richiesta mancante di un'intestazione Host
920290 Avviso - 3 1 Intestazione Host vuota
920300 Avviso - 2 2 Richiesta che manca di un'intestazione Accept
920310 Avviso - 2 1 La richiesta ha un'intestazione Accept vuota
920311 Avviso - 2 1 La richiesta ha un'intestazione Accept vuota
920320 Avviso - 2 2 Intestazione User-Agent mancante
920330 Avviso - 2 1 Intestazione User-Agent vuota
920340 Avviso - 2 1 Richiesta contenente contenuti ma mancante l'intestazione Content-Type
920341 Critico - 5 2 La richiesta con contenuto richiede l'intestazione Content-Type
920350 Avviso - 3 1 Intestazione host costituita da un indirizzo IP numerico
920420 Critico - 5 2 La richiesta tipo di contenuto non è consentita dai criteri
920430 Critico - 5 1 La versione protocollo HTTP non consentita dai criteri
920440 Critico - 5 1 Estensione file URL limitata da criteri
920450 Critico - 5 1 Intestazione HTTP limitata da criteri
920470 Critico - 5 1 Intestazione Content-Type illegale
920480 Critico - 5 1 Il set di caratteri del tipo di contenuto della richiesta non è consentito dai criteri
920500 Critico - 5 1 Tentativo di accedere a un file di backup o di lavoro
920530 Critico - 5 1 Limitare il parametro charset all'interno dell'intestazione del tipo di contenuto per verificarsi al massimo una volta
920620 Critico - 5 1 Intestazioni di richiesta di tipo di contenuto multiplo

Attacco del protocollo

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
921110 Critico - 5 1 Attacco di tipo HTTP Request Smuggling
921120 Critico - 5 1 Attacco di tipo HTTP Response Splitting
921130 Critico - 5 1 Attacco di tipo HTTP Response Splitting
921140 Critico - 5 1 Attacco di tipo HTTP Header Injection tramite intestazioni
921150 Critico - 5 1 Attacco di tipo HTTP Header Injection tramite payload (rilevato CR/LF)
921151 Critico - 5 2 Attacco di tipo HTTP Header Injection tramite payload (rilevato CR/LF)
921160 Critico - 5 1 Attacco di tipo HTTP Header Injection tramite payload (rilevati CR/LF e nome intestazione)
921190 Critico - 5 1 Separazione HTTP (CR/LF nel nome file della richiesta rilevato)
921200 Critico - 5 1 Attacco LDAP injection
921422 Critico - 5 2 Rilevare i tipi di contenuto nell'intestazione Content-Type all'esterno della dichiarazione effettiva del tipo di contenuto

LFI - Inclusione di file locali

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
930100 Critico - 5 1 Attacco di tipo Path Traversal (/../)
930110 Critico - 5 1 Attacco di tipo Path Traversal (/../)
930120 Critico - 5 1 Tentativo di accesso a file del sistema operativo
930130 Critico - 5 1 Tentativo di accesso a file con restrizioni

RFI - Inclusione di file remoti

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
931100 Critico - 5 2 Possibile attacco RFI (inclusione file remoti): parametro URL con indirizzo IP
931110 Critico - 5 1 Possibile attacco RFI (inclusione file remoti): nome del parametro vulnerabile RFI comune utilizzato con payload URL
931120 Critico - 5 1 Possibile attacco RFI (inclusione file remoti): payload URL usato con carattere di punto interrogativo (?) finale
931130 Critico - 5 2 Possibile attacco RFI (inclusione file remoti): collegamento/riferimento fuori dominio

RCE - Esecuzione di comandi in remoto

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
932100 Critico - 5 1 Esecuzione comandi in remoto: inserimento di comandi Unix
932105 Critico - 5 1 Esecuzione comandi in remoto: inserimento di comandi Unix
932110 Critico - 5 1 Esecuzione di comandi remoti: inserimento di comandi Windows
932115 Critico - 5 1 Esecuzione di comandi remoti: inserimento di comandi Windows
932120 Critico - 5 1 Esecuzione di Comandi Remoti: Comando di Windows PowerShell Trovato
932130 Critico - 5 1 Esecuzione comandi in remoto: Espressioni Shell Unix o vulnerabilità Confluence (CVE-2022-26134) Trovato
932140 Critico - 5 1 Esecuzione di comandi remoti: comando FOR/IF di Windows trovato
932150 Critico - 5 1 Esecuzione comandi in remoto: esecuzione di comandi Unix diretti
932160 Critico - 5 1 Esecuzione comandi in remoto: trovato codice Shell Unix
932170 Critico - 5 1 Esecuzione comandi in remoto: Shellshock (CVE-2014-6271)
932171 Critico - 5 1 Esecuzione comandi in remoto: Shellshock (CVE-2014-6271)
932180 Critico - 5 1 Tentativo di caricamento file con restrizioni

Attacchi PHP

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
933100 Critico - 5 1 Attacco PHP injection: trovato tag aperto PHP
933110 Critico - 5 1 Attacco PHP injection: trovato caricamento file di script PHP
933120 Critico - 5 1 Attacco PHP injection: trovata direttiva di configurazione
933130 Critico - 5 1 Attacco PHP injection: trovate variabili
933140 Critico - 5 1 Attacco PHP injection: trovato flusso di I/O
933150 Critico - 5 1 Attacco PHP injection: trovato nome funzione PHP ad alto rischio
933151 Critico - 5 2 Attacco PHP injection: trovato nome funzione PHP a medio rischio
933160 Critico - 5 1 Attacco PHP injection: trovata chiamata di funzione PHP ad alto rischio
933170 Critico - 5 1 Attacco PHP injection: inserimento di oggetti serializzati
933180 Critico - 5 1 Attacco PHP injection: trovata chiamata di funzione variabile
933200 Critico - 5 1 Attacco PHP injection: rilevato schema wrapper
933210 Critico - 5 1 Attacco PHP injection: trovata chiamata di funzione variabile

Node.js attacchi

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
934100 Critico - 5 1 Attacco injection Node.js

XSS - Scripting intersito

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
941100 Critico - 5 1 Rilevato attacco XSS tramite libinjection
941101 Critico - 5 2 Rilevato attacco XSS tramite libinjection
941110 Critico - 5 1 Filtro XSS - Categoria 1: vettore tag script
941120 Critico - 5 2 Filtro XSS - Categoria 2: vettore del gestore eventi
941130 Critico - 5 1 Filtro XSS - Categoria 3: vettore attributi
941140 Critico - 5 1 Filtro XSS - Categoria 4: vettore URI Javascript
941150 Critico - 5 2 Filtro XSS - Categoria 5: attributi HTML non consentiti
941160 Critico - 5 1 NoScript XSS InjectionChecker: inserimento HTML
941170 Critico - 5 1 NoScript XSS InjectionChecker: inserimento attributo
941180 Critico - 5 1 Parole chiave in blacklist convalida nodi
941190 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941200 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941210 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941220 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941230 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941240 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941250 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941260 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941270 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941280 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941290 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941300 Critico - 5 1 Filtri XSS di Internet Explorer - Rilevato attacco.
941310 Critico - 5 1 US-ASCII filtro XSS con codifica malformata - Attacco rilevato.
941320 Critico - 5 2 Rilevato possibile attacco XSS: gestore tag HTML
941330 Critico - 5 2 Filtri XSS di Internet Explorer - Rilevato attacco.
941340 Critico - 5 2 Filtri XSS di Internet Explorer - Rilevato attacco.
941350 Critico - 5 1 UTF-7 Encoding IE XSS - Rilevamento di un attacco.
941360 Critico - 5 1 JSFuck/Hieroglyphy offuscamento rilevato
941370 Critico - 5 1 Trovata variabile globale JavaScript
941380 Critico - 5 2 È stato rilevato l'inserimento di modelli sul lato client AngularJS

SQLI: iniezione SQL (SQL injection)

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
942100 Critico - 5 1 Rilevato attacco SQL injection tramite libinjection
942110 Avviso - 3 2 Attacco SQL Injection: rilevati test di inserimento comune
942120 Critico - 5 2 Attacco SQL injection: rilevato operatore SQL
942140 Critico - 5 1 Attacco SQL injection: rilevati nomi DB comuni
942150 Critico - 5 2 Attacco SQL Injection (sostituito dalla regola #99031003)
942160 Critico - 5 1 Rilevamento test di blind SQL injection con sleep() o benchmark()
942170 Critico - 5 1 Rilevamento tentativi di SQL injection con benchmark e sleep e query condizionali
942180 Critico - 5 2 Rileva tentativi di bypass dell'autenticazione SQL di base 1/3
942190 Critico - 5 1 Rileva l'esecuzione di codice MSSQL e tentativi di raccolta di informazioni
942200 Critico - 5 2 Rileva injection offuscati nello spazio/con commento MySQL e terminazioni con apice inverso
942210 Critico - 5 2 Rileva tentativi di inserimento SQL concatenati 1/2
942220 Critico - 5 1 Alla ricerca di attacchi di overflow integer, queste regole provengono da skipfish, ad eccezione di 3.0.00738585072007e-308, che è l'arresto anomalo del "numero magico"
942230 Critico - 5 1 Rilevamento tentativi di SQL injection condizionale
942240 Critico - 5 1 Rileva il commutatore di set di caratteri di MySQL e i tentativi DoS di MSSQL
942250 Critico - 5 1 Rileva gli inserimenti MATCH AGAINST, MERGE ed EXECUTE IMMEDIATE
942260 Critico - 5 2 Rileva i tentativi di bypass dell'autenticazione SQL di base 2/3 (sostituiti dalla regola #99031004)
942270 Critico - 5 1 Ricerca di SQL Injection di base. Stringa di attacco comune per MySQL, Oracle e altri.
942280 Critico - 5 1 Rileva inserimento postgres pg_sleep, attacchi di ritardo waitfor e tentativi di arresto del database
942290 Critico - 5 1 Ricerca tentativi di SQL injection di base in MongoDB
942300 Critico - 5 2 Rileva ch(a)r injection, condizioni e commenti MySQL
942310 Critico - 5 2 Rileva tentativi di inserimento SQL concatenati 2/2
942320 Critico - 5 1 Rilevamento inserimenti di stored procedure/funzioni MySQL e PostgreSQL
942330 Critico - 5 2 Rileva tentativi di SQL Injection classici 1/3
942340 Critico - 5 2 Rileva i tentativi di bypass di autenticazione SQL di base 3/3 (sostituiti da regola #99031006)
942350 Critico - 5 1 Rilevamento di inserimento di funzioni definite dall'utente MySQL e altri tentativi di manipolazione dati/struttura
942360 Critico - 5 1 Rileva tentativi SQL/LFI e di SQL injection di base concatenati
942361 Critico - 5 2 Rileva l'inserimento SQL di base in base alla modifica o all'unione delle parole chiave
942370 Critico - 5 2 Rileva tentativi di SQL Injection classici 2/3
942380 Critico - 5 2 Attacco SQL injection
942390 Critico - 5 2 Attacco SQL injection
942400 Critico - 5 2 Attacco SQL injection
942410 Critico - 5 2 Attacco SQL injection
942430 Avviso - 3 2 Rilevamento anomalie dei caratteri SQL con restrizioni (arg): numero di caratteri speciali superati (12) (sostituiti da regola #99031005)
942440 Critico - 5 2 Sequenza di commenti SQL rilevata (sostituita da rule #99031002).
942450 Critico - 5 2 Identificata codifica esadecimale SQL
942470 Critico - 5 2 Attacco SQL injection
942480 Critico - 5 2 Attacco SQL injection
942500 Critico - 5 1 Rilevato commento in linea di MySQL.
942510 Critico - 5 2 Rilevato un tentativo di bypass di SQLi tramite tick o backtick.

Fissazione della sessione

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
943100 Critico - 5 1 Possibile attacco di tipo correzione di sessione: impostazione valori cookie in HTML
943110 Critico - 5 1 Possibile attacco di tipo correzione di sessione: nome parametro SessionID con referrer fuori dominio
943120 Critico - 5 1 Possibile attacco di tipo correzione di sessione: nome parametro SessionID senza referrer

attacchi Java

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
944100 Critico - 5 1 Esecuzione di comandi remoti: rilevata classe Java sospetta
944110 Critico - 5 1 Esecuzione di comandi remoti: Avvio di processi Java (CVE-2017-9805)
944120 Critico - 5 1 Esecuzione di comandi remoti: Java serializzazione (CVE-2015-5842)
944130 Critico - 5 1 Rilevata classe Java sospetta
944200 Critico - 5 2 Byte magici rilevati, probabile serializzazione Java in uso
944210 Critico - 5 2 Rilevati magic bytes con codifica Base64, probabile utilizzo della serializzazione Java
944240 Critico - 5 2 Esecuzione di comandi remoti: vulnerabilità della serializzazione Java e di Log4j (CVE-2021-44228, CVE-2021-45046)
944250 Critico - 5 2 Esecuzione di comandi remoti: rilevato metodo di Java sospetto

MS-ThreatIntel-WebShells

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
99005002 Critico - 5 2 Tentativo di interazione di Web Shell (POST)
99005003 Critico - 5 2 Tentativo di caricamento di Web Shell (POST) - CHOPPER PHP
99005004 Critico - 5 2 Tentativo di caricamento di Web Shell (POST) - CHOPPER ASPX
99005005 Critico - 5 2 Tentativo di interazione di Web Shell
99005006 Critico - 5 2 Tentativo di interazione di Spring4Shell

MS-ThreatIntel-AppSec

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
99030001 Critico - 5 2 Evasione attraversamento percorso nelle intestazioni (/.././../)
99030002 Critico - 5 2 Evasione attraversamento percorso nel corpo della richiesta (/.././../)
99030003 Critico - 5 2 Percorso del file con codifica URL
99030004 Critico - 5 2 Codifica brotli mancante dal browser di supporto con referer HTTPS
99030005 Critico - 5 2 Codifica brotli mancante dal browser di supporto su HTTP/2
99030006 Critico - 5 2 Carattere non valido nel nome file richiesto

MS-ThreatIntel-SQLI

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
99031001 Avviso - 3 2 Attacco SQL Injection: rilevati test di inserimento comune (in sostituzione della regola #942110)
99031002 Critico - 5 2 Sequenza di commenti SQL rilevata (sostituendo la regola #942440).
99031003 Critico - 5 2 Attacco SQL Injection (sostituzione della regola 942150)
99031004 Critico - 5 2 Rileva i tentativi di bypass dell'autenticazione SQL di base 2/3 (sostituendo la regola #942260)
99031005 Avviso - 3 2 Rilevamento anomalie dei caratteri SQL con restrizioni (argomenti): numero di caratteri speciali superati (12) (sostituzione della regola 942430)
99031006 Critico - 5 2 Rileva i tentativi di bypass dell'autenticazione SQL di base 3/3 (sostituendo la regola #942340)

MS-ThreatIntel-CVEs

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
99001001 Critico - 5 2 Tentativo di sfruttamento dell'API REST di F5 tmui (CVE-2020-5902) con credenziali conosciute
99001002 Critico - 5 2 Tentativo di attraversamento della directory Citrix NSC_USER CVE-2019-19781
99001003 Critico - 5 2 Tentativo di sfruttamento di Atlassian Confluence Widget Connector CVE-2019-3396
99001004 Critico - 5 2 Tentativo di sfruttamento del modello personalizzato Pulse Secure CVE-2020-8243
99001005 Critico - 5 2 Tentativo di sfruttamento del convertitore di tipi SharePoint CVE-2020-0932
99001006 Critico - 5 2 Tentativo di attraversamento della directory Pulse Connect CVE-2019-11510
99001007 Critico - 5 2 Tentativo di inclusione del file locale J-Web del sistema operativo Junos CVE-2020-1631
99001008 Critico - 5 2 Tentativo di attraversamento del percorso fortinet CVE-2018-13379
99001009 Critico - 5 2 Tentativo di attacchi apache ognl injection CVE-2017-5638
99001010 Critico - 5 2 Tentativo di attacchi apache ognl injection CVE-2017-12611
99001011 Critico - 5 2 Tentativo di attraversamento del percorso Oracle WebLogic CVE-2020-14882
99001012 Critico - 5 2 Tentativo di sfruttamento della deserializzazione non sicura di Telerik WebUI CVE-2019-18935
99001013 Critico - 5 2 Tentativo di deserializzazione XML non sicura di SharePoint CVE-2019-0604
99001014 Critico - 5 2 Tentativo di inserimento di routing-espressione Spring Cloud CVE-2022-22963
99001015 Critico - 5 2 Tentativo di sfruttamento di oggetti della classe Spring Framework unsafe CVE-2022-22965
99001016 Critico - 5 2 Tentativo di inserimento dell'attuatore Spring Cloud Gateway CVE-2022-22947
99001017 Critico - 5 2 Tentativo di sfruttamento del caricamento di file Apache Struts CVE-2023-50164
99001018 Critico - 5 1 Tentativo di sfruttamento dell'esecuzione di codice remoto React2Shell CVE-2025-55182
99001019 Critico - 5 2 Tentato sfruttamento dell'esecuzione remota del codice WP2Shell CVE-2026-63030

MS-ThreatIntel-XSS

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
99032001 Critico - 5 1 Filtro XSS - Categoria 2: Vettore del gestore eventi (sostituendo la regola #941120)
99032002 Critico - 5 2 Possibile attacco di inclusione di file remoti (RFI): riferimento/collegamento fuori dominio (che sostituisce la regola 931130)

Note

Quando si esaminano i log di WAF, è possibile che venga visualizzato l'ID regola 949110. La descrizione della regola potrebbe includere punteggio anomalie in ingresso superato.

Questa regola indica che il punteggio anomalie complessivo per la richiesta ha superato il punteggio massimo consentito. Per maggiori informazioni, vedere Assegnazione dei punteggi delle anomalie.

Le seguenti schede elencano le precedenti versioni del Set di Regole Core. Se usi CRS 3.2, CRS 3.1, CRS 3.0 o CRS 2.2.9, aggiorna all'ultima versione del regolamento DRS 2.2. Per altre informazioni, vedere Aggiornare la versione del set di regole CRS o DRS.

Set di regole 3.2

Generale

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
200002 Critico - 5 PL1 Impossibile analizzare corpo della richiesta
200003 Critico - 5 PL1 Validazione rigorosa del corpo delle richieste multiparti
200004 Critico - 5 PL1 Possibile limite multiparte senza corrispondenza

CVE noti

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
800100 Critico - 5 PL2 Regola per rilevare e mitigare la vulnerabilità log4j CVE-2021-44228, CVE-2021-45046
800110 Critico - 5 PL2 Tentativo di interazione con Spring4Shell
800111 Critico - 5 PL2 Tentativo di inserimento di routing-espressione Spring Cloud - CVE-2022-22963
800112 Critico - 5 PL2 Tentativo di sfruttamento di oggetti della classe unsafe di Spring Framework - CVE-2022-22965
800113 Critico - 5 PL2 Tentativo di inserimento dell'attuatore Spring Cloud Gateway - CVE-2022-22947
800114* Critico - 5 PL2 Tentativo di sfruttamento del caricamento di file Apache Struts - CVE-2023-50164
800115 Critico - 5 PL1 Tentativo di sfruttamento dell'esecuzione di codice remoto React2Shell CVE-2025-55182
800116 Critico - 5 PL2 Tentato sfruttamento dell'esecuzione remota del codice WP2Shell CVE-2026-63030

* L'azione di questa regola è impostata su log per impostazione predefinita. Impostare l'azione su Blocca per evitare la vulnerabilità di Apache Struts. Punteggio anomalie non supportato per questa regola.

REQUEST-911-METHOD-ENFORCEMENT

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
911100 Critico - 5 PL1 Il metodo non è consentito dai criteri

REQUEST-913-SCANNER-DETECTION

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
913100 Critico - 5 PL1 Trovato agente utente associato ad analisi della sicurezza
913101 Critico - 5 PL2 Trovato User-Agent associato a scripting o a un client HTTP generico
913102 Critico - 5 PL2 Trovato User-Agent associato a un web crawler o a un bot
913110 Critico - 5 PL1 Trovata intestazione della richiesta associata ad analisi della sicurezza
913120 Critico - 5 PL1 Trovato nome file della richiesta o argomento associato a uno scanner di sicurezza

REQUEST-920-PROTOCOL-ENFORCEMENT

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
920100 Avviso - 3 PL1 Riga della richiesta HTTP non valida
920120 Critico - 5 PL1 Tentativo di bypass multipart/form-data
920121 Critico - 5 PL2 Tentativo di bypass multipart/form-data
920160 Critico - 5 PL1 L'intestazione HTTP Content-Length non è numerica
920170 Critico - 5 PL1 Richiesta GET o HEAD con contenuto nel corpo della richiesta
920171 Critico - 5 PL1 Richiesta GET o HEAD con Transfer-Encoding
920180 Avviso - 3 PL1 Richiesta POST senza intestazione Content-Length
920190 Avviso - 3 PL1 Intervallo: Valore dell'ultimo byte non valido
920200 Avviso - 3 PL2 Intervallo: troppi campi (6 o più)
920201 Avviso - 3 PL2 Intervallo: troppi campi per richieste PDF (35 o più)
920210 Avviso - 3 PL1 Trovati dati intestazione di connessione multipli/in conflitto
920220 Avviso - 3 PL1 Tentativo di attacco di abuso nella codifica URL
920230 Avviso - 3 PL2 Codifica multipla URL rilevata
920240 Avviso - 3 PL1 Tentativo di attacco di abuso nella codifica URL
920250 Avviso - 3 PL1 Tentativo di attacco con uso improprio codifica UTF8
920260 Avviso - 3 PL1 Tentativo di attacco basato sull’abuso di caratteri Unicode a larghezza piena o dimezzata
920270 Critico - 5 PL1 Carattere non valido nella richiesta (carattere null)
920271 Critico - 5 PL2 Carattere non valido nella richiesta (caratteri non stampabili)
920280 Avviso - 3 PL1 Richiesta mancante di un'intestazione Host
920290 Avviso - 3 PL1 Intestazione Host vuota
920300 Avviso - 2 PL2 Richiesta che manca di un'intestazione Accept
920310 Avviso - 2 PL1 La richiesta ha un'intestazione Accept vuota
920311 Avviso - 2 PL1 La richiesta ha un'intestazione Accept vuota
920320 Avviso - 2 PL2 Intestazione User-Agent mancante
920330 Avviso - 2 PL1 Intestazione User-Agent vuota
920340 Avviso - 2 PL1 Richiesta contenente contenuti ma mancante l'intestazione Content-Type
920341 Critico - 5 PL2 La richiesta con contenuto richiede l'intestazione Content-Type
920350 Avviso - 3 PL1 Intestazione host costituita da un indirizzo IP numerico
920420 Critico - 5 PL1 La richiesta tipo di contenuto non è consentita dai criteri
920430 Critico - 5 PL1 La versione protocollo HTTP non consentita dai criteri
920440 Critico - 5 PL1 Estensione file URL limitata da criteri
920450 Critico - 5 PL1 Intestazione HTTP limitata da criteri (%{MATCHED_VAR})
920470 Critico - 5 PL1 Intestazione Content-Type illegale
920480 Critico - 5 PL1 Limitare il parametro set di caratteri all'interno dell'intestazione content-type

REQUEST-921-PROTOCOL-ATTACK

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
921110 Critico - 5 PL1 Attacco di tipo HTTP Request Smuggling
921120 Critico - 5 PL1 Attacco di tipo HTTP Response Splitting
921130 Critico - 5 PL1 Attacco di tipo HTTP Response Splitting
921140 Critico - 5 PL1 Attacco di tipo HTTP Header Injection tramite intestazioni
921150 Critico - 5 PL1 Attacco di tipo HTTP Header Injection tramite payload (rilevato CR/LF)
921151 Critico - 5 PL2 Attacco di tipo HTTP Header Injection tramite payload (rilevato CR/LF)
921160 Critico - 5 PL1 Attacco di tipo HTTP Header Injection tramite payload (rilevati CR/LF e nome intestazione)

REQUEST-930-APPLICATION-ATTACK-LFI

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
930100 Critico - 5 PL1 Attacco di tipo Path Traversal (/../)
930110 Critico - 5 PL1 Attacco di tipo Path Traversal (/../)
930120 Critico - 5 PL1 Tentativo di accesso a file del sistema operativo
930130 Critico - 5 PL1 Tentativo di accesso a file con restrizioni

REQUEST-931-APPLICATION-ATTACK-RFI

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
931100 Critico - 5 PL1 Possibile attacco RFI (inclusione file remoti): parametro URL con indirizzo IP
931110 Critico - 5 PL1 Possibile attacco RFI (inclusione file remoti): nome del parametro vulnerabile RFI comune utilizzato con payload URL
931120 Critico - 5 PL1 Possibile attacco RFI (inclusione file remoti): payload URL usato con carattere di punto interrogativo (?) finale
931130 Critico - 5 PL2 Possibile attacco RFI (inclusione file remoti): collegamento/riferimento fuori dominio

REQUEST-932-APPLICATION-ATTACK-RCE

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
932100 Critico - 5 PL1 Esecuzione comandi in remoto: inserimento di comandi Unix
932105 Critico - 5 PL1 Esecuzione comandi in remoto: inserimento di comandi Unix
932110 Critico - 5 PL1 Esecuzione di comandi remoti: inserimento di comandi Windows
932115 Critico - 5 PL1 Esecuzione di comandi remoti: inserimento di comandi Windows
932120 Critico - 5 PL1 Esecuzione di Comandi Remoti: Comando di Windows PowerShell Trovato
932130 Critico - 5 PL1 Esecuzione comandi in remoto: Espressioni Shell Unix o vulnerabilità Confluence (CVE-2022-26134) o Text4Shell (CVE-2022-42889) Trovato
932140 Critico - 5 PL1 Esecuzione di comandi remoti: comando FOR/IF di Windows trovato
932150 Critico - 5 PL1 Esecuzione comandi in remoto: esecuzione di comandi Unix diretti
932160 Critico - 5 PL1 Esecuzione comandi in remoto: trovato codice Shell Unix
932170 Critico - 5 PL1 Esecuzione comandi in remoto: Shellshock (CVE-2014-6271)
932171 Critico - 5 PL1 Esecuzione comandi in remoto: Shellshock (CVE-2014-6271)
932180 Critico - 5 PL1 Tentativo di caricamento file con restrizioni

REQUEST-933-APPLICATION-ATTACK-PHP

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
933100 Critico - 5 PL1 Attacco di iniezione PHP: Tag di apertura o chiusura trovato
933110 Critico - 5 PL1 Attacco di iniezione PHP: rilevato il caricamento di un file di script PHP
933120 Critico - 5 PL1 Attacco PHP injection: trovata direttiva di configurazione
933130 Critico - 5 PL1 Attacco di iniezione PHP: variabili trovate
933140 Critico - 5 PL1 Attacco di iniezione PHP: flusso di I/O trovato
933150 Critico - 5 PL1 Attacco di iniezione PHP: Nome di funzione PHP ad alto rischio trovato
933151 Critico - 5 PL2 Attacco di iniezione PHP: trovato nome di funzione PHP a rischio medio
933160 Critico - 5 PL1 Attacco di iniezione PHP: chiamata di funzione PHP ad alto rischio riscontrata
933170 Critico - 5 PL1 Attacco di iniezione PHP: iniezione serializzata di oggetti
933180 Critico - 5 PL1 Attacco di inserimento di codice PHP: chiamata di funzione variabile trovata
933200 Critico - 5 PL1 Attacco PHP injection: rilevato schema wrapper
933210 Critico - 5 PL1 Attacco di inserimento di codice PHP: chiamata di funzione variabile trovata

REQUEST-941-APPLICATION-ATTACK-XSS

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
941100 Critico - 5 PL1 Rilevato attacco XSS tramite libinjection
941101 Critico - 5 PL2 Attacco XSS rilevato tramite libinjection
Questa regola rileva le richieste con un'intestazione referer
941110 Critico - 5 PL1 Filtro XSS - Categoria 1: vettore tag script
941120 Critico - 5 PL1 Filtro XSS - Categoria 2: vettore del gestore eventi
941130 Critico - 5 PL1 Filtro XSS - Categoria 3: vettore attributi
941140 Critico - 5 PL1 Filtro XSS - Categoria 4: vettore URI Javascript
941150 Critico - 5 PL2 Filtro XSS - Categoria 5: attributi HTML non consentiti
941160 Critico - 5 PL1 NoScript XSS InjectionChecker: inserimento HTML
941170 Critico - 5 PL1 NoScript XSS InjectionChecker: inserimento attributo
941180 Critico - 5 PL1 Parole chiave in blacklist convalida nodi
941190 Critico - 5 PL1 XSS con fogli di stile
941200 Critico - 5 PL1 XSS con frame VML
941210 Critico - 5 PL1 XSS con JavaScript o Text4Shell offuscato (CVE-2022-42889)
941220 Critico - 5 PL1 XSS con script VB offuscato
941230 Critico - 5 PL1 XSS con tag 'incorpora'
941240 Critico - 5 PL1 XSS con l'attributo 'importa' o 'implementazione'
941250 Critico - 5 PL1 Filtri XSS IE - rilevato attacco
941260 Critico - 5 PL1 XSS con tag 'meta'
941270 Critico - 5 PL1 XSS con href 'link'
941280 Critico - 5 PL1 XSS con tag 'base'
941290 Critico - 5 PL1 XSS con tag 'applet'
941300 Critico - 5 PL1 XSS con tag 'oggetto'
941310 Critico - 5 PL1 Filtro XSS per codifica US-ASCII in formato non valido: rilevato attacco
941320 Critico - 5 PL2 Rilevato possibile attacco XSS: gestore tag HTML
941330 Critico - 5 PL2 Filtri XSS IE - rilevato attacco
941340 Critico - 5 PL2 Filtri XSS IE - rilevato attacco
941350 Critico - 5 PL1 XSS IE con codifica UTF-7: rilevato attacco
941360 Critico - 5 PL1 È stata rilevato l'offuscamento javaScript

REQUEST-942-APPLICATION-ATTACK-SQLI

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
942100 Critico - 5 PL1 Rilevato attacco SQL injection tramite libinjection
942110 Avviso - 3 PL2 Attacco SQL Injection: rilevati test di inserimento comune
942120 Critico - 5 PL2 Attacco SQL injection: rilevato operatore SQL
942130 Critico - 5 PL2 Attacco SQL injection: rilevata tautologia SQL
942140 Critico - 5 PL1 Attacco SQL injection: rilevati nomi DB comuni
942150 Critico - 5 PL2 Attacco SQL injection
942160 Critico - 5 PL1 Rilevamento test di blind SQL injection con sleep() o benchmark()
942170 Critico - 5 PL1 Rilevamento tentativi di SQL injection con benchmark e sleep e query condizionali
942180 Critico - 5 PL2 Rileva tentativi di bypass dell'autenticazione SQL di base 1/3
942190 Critico - 5 PL1 Rileva l'esecuzione di codice MSSQL e tentativi di raccolta di informazioni
942200 Critico - 5 PL2 Rileva injection offuscati nello spazio/con commento MySQL e terminazioni con apice inverso
942210 Critico - 5 PL2 Rileva tentativi di inserimento SQL concatenati 1/2
942220 Critico - 5 PL1 Alla ricerca di attacchi di overflow integer, questi vengono presi da skipfish, ad eccezione di 3.0.00738585072007e-308 è l'arresto anomalo del "numero magico"
942230 Critico - 5 PL1 Rilevamento tentativi di SQL injection condizionale
942240 Critico - 5 PL1 Rileva il commutatore di set di caratteri di MySQL e i tentativi DoS di MSSQL
942250 Critico - 5 PL1 Rileva gli inserimenti MATCH AGAINST, MERGE ed EXECUTE IMMEDIATE
942260 Critico - 5 PL2 Rileva tentativi di ignorare l'autenticazione SQL di base (2/3)
942270 Critico - 5 PL1 Ricerca di SQL Injection di base. Stringa di attacco comune per MySQL, Oracle e altri
942280 Critico - 5 PL1 Rileva inserimento postgres pg_sleep, attacchi di ritardo waitfor e tentativi di arresto del database
942290 Critico - 5 PL1 Ricerca tentativi di SQL injection di base in MongoDB
942300 Critico - 5 PL2 Rileva inserimento ch(a)r, condizioni e commenti MySQL
942310 Critico - 5 PL2 Rileva tentativi di inserimento SQL concatenati 2/2
942320 Critico - 5 PL1 Rilevamento inserimenti di stored procedure/funzioni MySQL e PostgreSQL
942330 Critico - 5 PL2 Rileva sondaggi di SQL injection classici (1/2)
942340 Critico - 5 PL2 Rileva tentativi di ignorare l'autenticazione SQL di base (3/3)
942350 Critico - 5 PL1 Rilevamento di inserimento di funzioni definite dall'utente MySQL e altri tentativi di manipolazione dati/struttura
942360 Critico - 5 PL1 Rileva tentativi SQL/LFI e di SQL injection di base concatenati
942361 Critico - 5 PL2 Rileva l'inserimento SQL di base in base alla modifica o all'unione delle parole chiave
942370 Critico - 5 PL2 Rileva sondaggi di SQL injection classici (2/2)
942380 Critico - 5 PL2 Attacco SQL injection
942390 Critico - 5 PL2 Attacco SQL injection
942400 Critico - 5 PL2 Attacco SQL injection
942410 Critico - 5 PL2 Attacco SQL injection
942430 Avviso - 3 PL2 Rilevamento anomalie caratteri SQL con restrizioni (args): n. di caratteri speciali in eccesso (12)
942440 Critico - 5 PL2 Rilevata sequenza commenti SQL
942450 Critico - 5 PL2 Identificata codifica esadecimale SQL
942470 Critico - 5 PL2 Attacco SQL injection
942480 Critico - 5 PL2 Attacco SQL injection
942500 Critico - 5 PL1 Rilevato commento in linea di MySQL

REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
943100 Critico - 5 PL1 Possibile attacco di tipo correzione di sessione: impostazione valori cookie in HTML
943110 Critico - 5 PL1 Possibile attacco di tipo correzione di sessione: nome parametro SessionID con referrer fuori dominio
943120 Critico - 5 PL1 Possibile attacco di tipo correzione di sessione: nome parametro SessionID senza referrer

REQUEST-944-APPLICATION-ATTACK-JAVA

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
944100 Critico - 5 PL1 Esecuzione comandi in remoto: Apache Struts, Oracle WebLogic
944110 Critico - 5 PL1 Rileva un'esecuzione potenziale del payload
944120 Critico - 5 PL1 Possibile esecuzione del payload ed esecuzione comandi in remoto
944130 Critico - 5 PL1 Classi di Java sospette
944200 Critico - 5 PL2 Utilizzo della Deserializzazione di Java in Apache Commons
944210 Critico - 5 PL2 Possibile utilizzo della serializzazione Java
944240 Critico - 5 PL1 Esecuzione di comandi remoti: Java serializzazione
944250 Critico - 5 PL1 Esecuzione di comandi remoti: rilevato metodo di Java sospetto

Regole inattive

ID regola Gravità del punteggio anomalie Il livello di paranoia Descrizione
920202 Avviso - 3 PL4 (Regola inattiva, da ignorare) Intervallo: troppi campi per richieste PDF (6 o più)
920272 Critico - 5 PL3 (Regola inattiva, da ignorare) Carattere non valido nella richiesta (al di fuori dei caratteri stampabili al di sotto di ASCII 127)
920273 Critico - 5 PL4 (Regola inattiva, deve essere ignorata) Carattere non valido nella richiesta (all'esterno di un set molto rigoroso)
920274 Critico - 5 PL4 (Regola inattiva, deve essere ignorata) Carattere non valido nelle intestazioni della richiesta (all'esterno di un set molto rigoroso)
920460 Critico - 5 PL4 (Regola inattiva, deve essere ignorata) Caratteri di escape anomali
921170 Non disponibile PL3 (Regola inattiva, deve essere ignorata) Inquinamento dei parametri HTTP
921180 Critico - 5 PL3 (Regola inattiva, deve essere ignorata) Inquinamento dei parametri HTTP (%{TX.1})
932106 Critico - 5 PL3 (Regola inattiva, deve essere ignorata) Esecuzione di comandi remoti: inserimento di comandi Unix
932190 Critico - 5 PL3 (Regola inattiva, deve essere ignorata) Esecuzione di comandi remoti: tentativo di bypass con caratteri jolly
933111 Critico - 5 PL3 (Regola inattiva, deve essere ignorata) Attacco PHP injection: caricamento di file di script PHP trovato
933131 Critico - 5 PL3 (Regola inattiva, deve essere ignorata) Attacco PHP injection: variabili trovate
933161 Critico - 5 PL3 (Regola inattiva, deve essere ignorata) Attacco PHP injection: chiamata di funzione PHP a basso valore trovata
933190 Critico - 5 PL3 (Regola inattiva, deve essere ignorata) Attacco PHP injection: tag di chiusura PHP trovato
942251 Critico - 5 PL3 (Regola inattiva, deve essere ignorata) Rileva le iniezioni HAVING
942420 Avviso - 3 PL3 (Regola inattiva, da ignorare) Rilevamento limitato delle anomalie dei caratteri SQL (cookie): numero di caratteri speciali superato (8)
942421 Avviso - 3 PL4 (Regola inattiva, da ignorare) Rilevamento limitato delle anomalie dei caratteri SQL (cookie): numero di caratteri speciali superato (3)
942431 Avviso - 3 PL3 (Regola inattiva, da ignorare) Rilevamento di anomalie di caratteri SQL limitati (args): numero di caratteri speciali superato (6)
942432 Avviso - 3 PL4 (Regola inattiva, da ignorare) Rilevamento limitato delle anomalie dei caratteri SQL (args): numero di caratteri speciali superato (2)
942460 Avviso - 3 PL3 (Regola inattiva, deve essere ignorata) Avviso di rilevamento anomalie Meta-Character - Caratteri non alfanumerici ripetitivi
942490 Critico - 5 PL3 (Regola inattiva, deve essere ignorata) Rileva i tentativi di SQL Injection classici 3/3

Contenuti correlati

  • Ultimo aggiornamento: