Брандмауэр веб-приложений группы правил и правила CRS DRS и CRS

2025-05-06

Управляемый Azure набор правил по умолчанию (DRS) в брандмауэре веб-приложений (WAF) Шлюза приложений активно защищает веб-приложения от распространенных уязвимостей и эксплойтов. Эти наборы правил, управляемые Azure, получают обновления, необходимые для защиты от новых подписей атак. Набор правил по умолчанию также включает правила сбора данных Microsoft Threat Intelligence. Команда Microsoft Intelligence сотрудничает с этими правилами, обеспечивая расширенное покрытие, конкретные исправления уязвимостей и улучшенное снижение ложноположительных срабатываний.

У вас также есть возможность использовать правила, определенные на основе основного набора правил OWASP 3.2 (CRS 3.2).

Вы можете отключить правила по отдельности или задать определенные действия для каждого правила. В этой статье перечислены доступные текущие правила и наборы правил. Если для опубликованного набора правил требуется обновление, мы задокументируем его здесь.

Примечание.

При изменении версии набора правил в политике WAF все существующие настройки, внесенные в набор правил, будут сброшены до значений по умолчанию для нового набора правил. См. статью об обновлении или изменении версии набора правил.

Набор правил по умолчанию 2.1

Набор правил по умолчанию (DRS) 2.1 основан на основном наборе правил (CRS) Open Web Application Security Project (OWASP) 3.3.2 и включает дополнительные собственные правила защиты, разработанные группой Microsoft Threat Intelligence, и обновления сигнатур для уменьшения количества ложных срабатываний. Кроме того, эта версия поддерживает преобразования, помимо декодирования URL-адресов.

DRS 2.1 предлагает новый движок и новые наборы правил для защиты от внедрения Java, первоначальный набор проверок загрузки файлов и меньшее количество ложных срабатываний по сравнению с версиями CRS. Вы можете также настроить правила в соответствии со своими потребностями. Узнайте больше о новой подсистеме Azure WAF.

DRS 2.1 содержит 17 групп правил, как показано в следующей таблице. Каждая группа содержит несколько правил, и вы можете настроить поведение для отдельных правил, групп правил или всего набора правил.

Тип угрозы	Имя группы правил
Общие	Общие сведения
Методы блокировки (PUT, PATCH)	ПРИМЕНЕНИЕ МЕТОДА
Проблемы с протоколом и кодированием	ОБЕСПЕЧЕНИЕ СОБЛЮДЕНИЯ ПРОТОКОЛА
Внедрение заголовков, контрабанда запросов и разделение ответов	АТАКА ПРОТОКОЛА
Атаки на файлы и пути	ЛФИ
Атаки, связанные с дистанционным включением файлов	РЧИ
Атаки на удаленное выполнение кода	УДК
Атаки методом PHP-внедрения	PHP
Атаки JS узла	NodeJS
Атаки с использованием межузловых сценариев	XSS
атаки путем внедрения кода SQL;	SQLI
Атаки с фиксацией сеанса	СЕАНС-ФИКСАЦИЯ
JAVA-атаки	СЕАНС-JAVA
Атаки на веб-шеллы (MS)	MS-ThreatIntel-WebShells
Атаки AppSec (MS)	MS-ThreatIntel-AppSec
Атаки с использованием SQL-инъекций (MS)	MS-ThreatIntel-SQLI
Атаки CVE (MS)	MS-ThreatIntel-CVEs

Идентификатор правила	Группа правил	Описание	Рекомендация
942110	SQLI	Атака путем внедрения кода SQL: обнаружено общее тестирование внедрения	Отключите правило 942110, замененное на правило MSTIC 99031001
942150	SQLI	Атака путем внедрения кода SQL	Отключите правило 942150, замененное на правило MSTIC 99031003
942260	SQLI	Обнаруживает основные попытки обхода аутентификации SQL 2/3	Отключите правило 942260, замененное на правило MSTIC 99031004
942430	SQLI	Ограниченный доступ аномалий обнаруженного символа SQL (аргументы): # превышено количество специальных символов (12)	Отключите правило 942430, оно вызывает слишком много ложных срабатываний
942440	SQLI	Обнаруженная последовательность комментариев SQL	Отключите правило 942440, замененное на правило MSTIC 99031002
99005006	МС-ThreatIntel-WebShells	Попытка взаимодействия со Spring4Shell	Сохраните правило включено, чтобы предотвратить уязвимость SpringShell
99001014	MS-ThreatIntel-CVEs	Попытка внедрения выражений маршрутизации Spring Cloud CVE-2022-22963	Сохраните правило включено, чтобы предотвратить уязвимость SpringShell
99001015	МС-ThreatIntel-WebShells	Попытка использования небезопасных объектов класса Spring Framework CVE-2022-22965	Сохраните правило включено, чтобы предотвратить уязвимость SpringShell
99001016	МС-ThreatIntel-WebShells	Попытка внедрения актуатора шлюза Spring Cloud CVE-2022-22947	Сохраните правило включено, чтобы предотвратить уязвимость SpringShell
99001017	MS-ThreatIntel-CVEs	Попытка отправки файла Apache Struts CVE-2023-50164	Задайте для действия блокировку, чтобы предотвратить уязвимость Apache Struts. Оценка аномалий не поддерживается для этого правила

Основной набор правил 3.2

Рекомендуемый управляемый набор правил — это набор правил по умолчанию 2.1, который основан на основном наборе правил (CRS) Open Web Application Security Project (OWASP) 3.3.2 и включает дополнительные собственные правила защиты, разработанные командой Microsoft Threat Intelligence, и обновления сигнатур для уменьшения количества ложных срабатываний. В качестве альтернативы DRS 2.1 вы можете использовать CRS 3.2, которая основана на версии OWASP CRS 3.2.0.

CRS 3.2 включает в себя 14 групп правил, как показано в таблице ниже. Каждая группа содержит несколько правил, которые можно отключить.

Примечание.

CRS 3.2 есть только в номере SKU WAF_v2. Так как CRS 3.2 работает на основе новой подсистемы Azure WAF, вы не можете перейти на использование CRS версии 3.1 или более ранней версии. Если вам нужно перейти на более раннюю версию, обратитесь в Службу поддержки Azure.

Имя группы правил	Тип угрозы
Общие	Общие сведения
Новые и известные CVE	ИЗВЕСТНЫЕ CVE
Методы блокировки (PUT, PATCH)	REQUEST-911-МЕТОД-ПРИНУДИТЕЛЬНОЕ ПРИМЕНЕНИЕ
Сканеры портов и окружающей среды	REQUEST-913-СКАНЕР-ДЕТЕКТИРОВАНИЕ
Проблемы с протоколом и кодированием	REQUEST-920-ПРОТОКОЛ-ПРАВОПРИМЕНЕНИЕ
Внедрение заголовков, контрабанда запросов и разделение ответов	REQUEST-921-PROTOCOL-ATTACK
Атаки на файлы и пути	REQUEST-930-APPLICATION-ATTACK-LFI
Атаки, связанные с дистанционным включением файлов	REQUEST-931-APPLICATION-ATTACK-RFI
Атаки на удаленное выполнение кода	REQUEST-932-APPLICATION-ATTACK-RCE
Атаки методом PHP-внедрения	REQUEST-933-APPLICATION-ATTACK-PHP
Атаки с использованием межузловых сценариев	REQUEST-941-APPLICATION-ATTACK-XSS
атаки путем внедрения кода SQL;	REQUEST-942-APPLICATION-ATTACK-SQLI
Атаки с фиксацией сеанса	REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION
JAVA-атаки	REQUEST-944-APPLICATION-ATTACK-JAVA

Настройка управляемых наборов правил

DrS и CRS включены по умолчанию в режиме обнаружения в политиках WAF. Вы можете отключить или включить отдельные правила в управляемом наборе правил в соответствии с требованиями приложения. Вы также можете установить определенные действия для каждого правила. DrS/CRS поддерживает действия оценки блоков, журналов и аномалий. Набор правил Bot Manager поддерживает действия allow, block и log.

Иногда может потребоваться исключение определенных атрибутов запроса из оценки WAF. Распространенный пример — дополнительные токены Active Directory, которые используются для проверки подлинности. Вы можете настроить исключения, которые будут применяться при оценке определенных правил WAF или применяться глобально к оценке всех правил WAF. Правила исключений применяются ко всему веб-приложению. Дополнительные сведения см. в разделе Брандмауэр веб-приложений (WAF) со списками исключений Шлюз приложений.

По умолчанию DRS версии 2.1 / CRS версии 3.2 и выше использует оценку аномалий, когда запрос соответствует правилу. CRS 3.1 и ниже блокируют соответствующие запросы по умолчанию. Кроме того, настраиваемые правила можно настроить в той же политике WAF, если вы хотите обойти любые предварительно настроенные правила в наборе основных правил.

Пользовательские правила всегда применяются перед вычислением правил в наборе основных правил. Соответствующее действие правила применяется, если запрос соответствует пользовательскому правилу. Запрос будет либо заблокирован, либо передан на сервер. Никакие другие пользовательские правила или правила в наборе основных правил не обрабатываются.

Оценка аномалий

При использовании CRS или DRS 2.1 и более поздних версий WAF по умолчанию использует оценку аномалий. Трафик, соответствующий любому правилу, не блокируется сразу, даже если WAF находится в режиме предотвращения. Вместо этого наборы правил OWASP определяют значение серьезности для каждого правила: Критический, Ошибка, Предупреждение или Уведомление. Значение серьезности влияет на числовое значение запроса, которое называется оценка аномалии:

Важность правил	Значение способствовало оценке аномалий
Критически важно	5
Ошибка	4
Предупреждение	3
Примечание.	2

Если оценка аномалий составляет 5 или больше, а WAF находится в режиме предотвращения, запрос блокируется. Если оценка аномалии составляет 5 или больше, а WAF находится в режиме обнаружения, запрос регистрируется, но не блокируется.

Например, достаточно одного совпадения с критически важным правилом, чтобы WAF блокировать запрос в режиме предотвращения, так как общая оценка аномалий составляет 5. Но одно совпадение с правилом уровня Предупреждение увеличивает оценку аномалии только на 3, и этого недостаточно для блокировки трафика. При активации правила аномалии в журналах отображается действие "Сопоставлено". Если оценка аномалии равна 5 или выше, активируется отдельное правило с действием "Заблокировано" или "Обнаружено" в зависимости от того, находится ли политика WAF в режиме предотвращения или обнаружения. Дополнительные сведения см. в режиме оценки аномалий.

Уровень паранойи

Каждое правило назначается определённому уровню паранойи (PL). Правила, настроенные в Paranoia Level 1 (PL1), менее агрессивны и редко приводят к ложным срабатываниям. Они обеспечивают базовую безопасность с минимальной потребностью в тонкой настройке. Правила в PL2 обнаруживают больше атак, но ожидается, что они будут вызывать ложные срабатывания, которые следует доработать.

По умолчанию версии правил DRS 2.1 и CRS 3.2 предварительно настроены в Paranoia Level 2, включая правила, назначенные как в PL1, так и в PL2. Если вы хотите использовать WAF исключительно с PL1, вы можете отключить любое или все правила PL2 или изменить их действие на 'log'. PL3 и PL4 в настоящее время не поддерживаются в Azure WAF.

Примечание.

Набор правил CRS 3.2 включает правила в PL3 и PL4, но эти правила всегда неактивны и не могут быть включены, независимо от их настроенного состояния или действия.

Обновление или изменение версии набора правил

Если вы обновляете или назначаете новую версию набора правил и хотите сохранить существующие переопределения и исключения правил, рекомендуется использовать PowerShell, CLI, REST API или шаблон для внесения изменений в версию набора правил. Новая версия набора правил может иметь более новые правила, дополнительные группы правил и могут иметь обновления существующих подписей, чтобы обеспечить более высокую безопасность и уменьшить ложные срабатывания. Рекомендуется проверить изменения в тестовой среде, при необходимости выполнить тонкую настройку, а затем развернуть их в рабочей среде.

Примечание.

Если вы используете портал Azure для назначения нового управляемого набора правил политике WAF, все предыдущие настройки из существующего управляемого набора правил, такие как состояние правила, действия правила и исключения на уровне правил, будут сброшены до значений по умолчанию нового управляемого набора правил. Однако все пользовательские правила, параметры политики и глобальные исключения останутся не затронуты во время назначения нового набора правил. Перед развертыванием в рабочей среде необходимо переопределить правила и утвердить изменения.

OWASP CRS 3.1

CRS 3.1 включает в себя 14 групп правил, как показано в таблице ниже. Каждая группа содержит несколько правил, которые можно отключить. Набор правил основан на OWASP CRS 3.1.1 версии.

Примечание.

CRS 3.1 есть только в номере SKU WAF_v2.

Имя группы правил	Описание
Общие сведения	Общая группа
ИЗВЕСТНЫЕ CVE	Помощь в обнаружении новых и известных CVE
REQUEST-911-МЕТОД-ПРИНУДИТЕЛЬНОЕ ПРИМЕНЕНИЕ	Методы блокировки (PUT, PATCH)
REQUEST-913-СКАНЕР-ДЕТЕКТИРОВАНИЕ	Защита от сканеров портов и окружения
REQUEST-920-ПРОТОКОЛ-ПРАВОПРИМЕНЕНИЕ	Защита от проблем с протоколами и кодированием
REQUEST-921-PROTOCOL-ATTACK	Защита от внедрения заголовка, несанкционированных запросов и разделения ответа
REQUEST-930-APPLICATION-ATTACK-LFI	Защита от атак, направленных на путь и файлы
REQUEST-931-APPLICATION-ATTACK-RFI	Защита от атак включения удаленного файла (RFI)
REQUEST-932-APPLICATION-ATTACK-RCE	Защита от атак удаленного выполнения кода
REQUEST-933-APPLICATION-ATTACK-PHP	Защита от атак путем внедрения кода PHP
REQUEST-941-APPLICATION-ATTACK-XSS	Защита от атак с использованием межсайтовых сценариев
REQUEST-942-APPLICATION-ATTACK-SQLI	Защита от атак путем внедрения кода SQL
REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION	Защита от атак с фиксацией сеанса
REQUEST-944-APPLICATION-ATTACK-SESSION-JAVA	Защита от атак Java

Менеджер ботов 1.0

Набор правил Bot Manager 1.0 обеспечивает защиту от вредоносных ботов и обнаружения хороших ботов. Правила обеспечивают детальный контроль над ботами, обнаруженными WAF, классифицируя трафик бота как "Хороший", "Плохой" или "Неизвестный".

Группа правил	Описание
Бэдботы	Защита от недопустимых ботов
GoodBots	Выявление допустимых ботов
НеизвестныеБоты	Определение неизвестных ботов

Менеджер ботов 1.1

Набор правил Bot Manager 1.1 — это улучшение набора правил Bot Manager 1.0. Она обеспечивает расширенную защиту от вредоносных ботов и повышает уровень обнаружения ботов.

Группа правил	Описание
Бэдботы	Защита от недопустимых ботов
GoodBots	Выявление допустимых ботов
НеизвестныеБоты	Определение неизвестных ботов

При использовании Брандмауэра веб-приложений в Шлюзе приложений доступны следующие группы правил и правила.

Наборы правил 2.1

Общие

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
200002	Критический - 5	ПЛ1	Не удалось проанализировать текст запроса
200003	Критический - 5	ПЛ1	Неудачная строгая проверка текста составного запроса

ИСПОЛНЕНИЕ МЕТОДА

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
911100	Критический - 5	ПЛ1	Метод не разрешен политикой

PROTOCOL-ENFORCEMENT

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
920100	Извещение - 2	ПЛ1	Недопустимая строка HTTP-запроса
920120	Критический - 5	ПЛ1	Попытки обхода составных данных или данных форм
920121	Критический - 5	ПЛ2	Попытки обхода составных данных или данных форм
920160	Критический - 5	ПЛ1	HTTP-заголовок Content-Length не является числовым
920170	Критический - 5	ПЛ1	Запрос GET или HEAD с содержимым тела запроса
920171	Критический - 5	ПЛ1	Запрос GET или HEAD с Transfer-Encoding
920180	Извещение - 2	ПЛ1	В POST-запросе отсутствует заголовок Content-Length.
920181	Предупреждение - 3	ПЛ1	Заголовки content-Length и Transfer-Encoding представляют 99001003
920190	Предупреждение - 3	ПЛ1	Диапазон: недопустимое значение последнего байта данных
920200	Предупреждение - 3	ПЛ2	Диапазон: слишком много полей (6 или более)
920201	Предупреждение - 3	ПЛ2	Диапазон: слишком много полей для запроса в формате PDF (35 или более)
920210	Критический - 5	ПЛ1	Найдены множественные/конфликтующие данные заголовка соединения
920220	Предупреждение - 3	ПЛ1	Попытка атаки с нарушением использования кодирования URL-адреса
920230	Предупреждение - 3	ПЛ2	Обнаружено несколько типов кодирования URL-адресов
920240	Предупреждение - 3	ПЛ1	Попытка атаки с нарушением использования кодирования URL-адреса
920260	Предупреждение - 3	ПЛ1	Попытка атаки с нарушением использования полных символов Юникода или символов Юникода половинной ширины
920270	Ошибка - 4	ПЛ1	Недопустимый символ в запросе (символ null)
920271	Критический - 5	ПЛ2	Недопустимый символ в запросе (непечатаемые символы)
920280	Предупреждение - 3	ПЛ1	В запросе отсутствует заголовок узла
920290	Предупреждение - 3	ПЛ1	Заголовок узла не указан
920300	Извещение - 2	ПЛ2	В запросе отсутствует заголовок Accept
920310	Извещение - 2	ПЛ1	В запросе не указан заголовок Accept
920311	Извещение - 2	ПЛ1	В запросе не указан заголовок Accept
920320	Извещение - 2	ПЛ2	Заголовок агента пользователя отсутствует
920330	Извещение - 2	ПЛ1	Заголовок агента пользователя не указан
920340	Извещение - 2	ПЛ1	В запросе с содержимым отсутствует заголовок Content-Type
920341	Критический - 5	ПЛ1	В запросе с содержимым необходим заголовок Content-Type
920350	Предупреждение - 3	ПЛ1	Заголовок узла является числовым IP-адресом
920420	Критический - 5	ПЛ1	Тип контента запроса не разрешен политикой
920430	Критический - 5	ПЛ1	Версия протокола HTTP не разрешена политикой
920440	Критический - 5	ПЛ1	Расширение файла URL-адреса ограничено в политике
920450	Критический - 5	ПЛ1	Заголовок HTTP ограничен в политике
920470	Критический - 5	ПЛ1	Недопустимый заголовок Content-Type
920480	Критический - 5	ПЛ1	Charset типа контента запроса не допускается политикой
920500	Критический - 5	ПЛ1	Попытка получить доступ к резервному копированию или рабочему файлу

PROTOCOL-ATTACK

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
921110	Критический - 5	ПЛ1	Атака типа "Несанкционированный HTTP-запрос"
921120	Критический - 5	ПЛ1	Атака типа "Разделение HTTP-ответа"
921130	Критический - 5	ПЛ1	Атака типа "Разделение HTTP-ответа"
921140	Критический - 5	ПЛ1	Атака типа "Вставка заголовка HTTP" через заголовки
921150	Критический - 5	ПЛ1	Атака типа "Вставка заголовка HTTP" через полезные данные (обнаружено CR/LF)
921151	Критический - 5	ПЛ2	Атака типа "Вставка заголовка HTTP" через полезные данные (обнаружено CR/LF)
921160	Критический - 5	ПЛ1	Атака путем внедрения заголовка HTTP через полезные данные (обнаружены CR или LF и имя заголовка)
921190	Критический - 5	ПЛ1	Разделение HTTP (CR/LF в имени файла запроса обнаружено)
921200	Критический - 5	ПЛ1	Атака путем внедрения кода LDAP

LFI — Включение локальных файлов

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
930100	Критический - 5	ПЛ1	Атака с обходом пути (/../)
930110	Критический - 5	ПЛ1	Атака с обходом пути (/../)
930120	Критический - 5	ПЛ1	Попытка доступа к файлу ОС
930130	Критический - 5	ПЛ1	Попытка доступа к ограниченному файлу

RFI — Включение удаленных файлов

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
931100	Критический - 5	ПЛ1	Возможная атака с включением удаленного файла (RFI): в параметре URL-адреса используется IP-адрес
931110	Критический - 5	ПЛ1	Возможная атака с включением удаленного файла (RFI): общее имя уязвимого параметра RFI использовано с полезными данными URL-адреса
931120	Критический - 5	ПЛ1	Возможная атака с включением удаленного файла (RFI): полезные данные URL-адреса использованы с вопросительным знаком (?) в конце
931130	Критический - 5	ПЛ2	Возможная атака с включением удаленного файла (RFI): ссылка вне домена

RCE: удаленное выполнение команд

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
932100	Критический - 5	ПЛ1	Удаленное выполнение команды: внедрение команд UNIX
932105	Критический - 5	ПЛ1	Удаленное выполнение команды: внедрение команд UNIX
932110	Критический - 5	ПЛ1	Удаленное выполнение команды: внедрение команды Windows
932115	Критический - 5	ПЛ1	Удаленное выполнение команды: внедрение команды Windows
932120	Критический - 5	ПЛ1	Удаленное выполнение команд: обнаружена команда Windows PowerShell
932130	Критический - 5	ПЛ1	Удаленное выполнение команд: обнаружено выражение оболочки Unix или уязвимость Confluence (CVE-2022-26134)
932140	Критический - 5	ПЛ1	Удаленное выполнение команд: обнаружена команда FOR или IF Windows PowerShell
932150	Критический - 5	ПЛ1	Удаленное выполнение команды: прямое выполнение команды UNIX
932160	Критический - 5	ПЛ1	Удаленное выполнение команд: обнаружен код оболочки Unix
932170	Критический - 5	ПЛ1	Удаленное выполнение команд: Shellshock (CVE-2014-6271)
932171	Критический - 5	ПЛ1	Удаленное выполнение команд: Shellshock (CVE-2014-6271)
932180	Критический - 5	ПЛ1	Попытка передачи файла с ограниченным доступом

Атаки PHP

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
933100	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружен открывающий и закрывающий тег
933110	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружена передача файла сценария PHP
933120	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружена директива конфигурации
933130	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружены переменные
933140	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружен поток ввода-вывода
933150	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружено имя функции PHP с высоким уровнем риска
933151	Критический - 5	ПЛ2	Атака путем внедрения кода PHP: обнаружено имя функции PHP со средним уровнем риска
933160	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружен вызов функции PHP с высоким уровнем риска
933170	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: внедрение сериализованных объектов
933180	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружен вызов функции переменной
933200	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружена схема-оболочка
933210	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружен вызов функции переменной

Атаки Node.js

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
934100	Критический - 5	ПЛ1	Атака путем внедрения Node.js

XSS — Межсайтовые сценарии

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
941100	Критический - 5	ПЛ1	Библиотека libinjection обнаружила атаку с выполнением межсайтового сценария
941101	Критический - 5	ПЛ2	Библиотека libinjection обнаружила атаку с выполнением межсайтового сценария Это правило обнаруживает запросы с заголовком Referer
941110	Критический - 5	ПЛ1	Фильтр межсайтовых сценариев категории 1: вектор тега скрипта
941120	Критический - 5	ПЛ1	Фильтр межсайтовых сценариев категории 2: вектор обработчика событий
941130	Критический - 5	ПЛ1	Фильтр межсайтовых сценариев категории 3: вектор атрибута
941140	Критический - 5	ПЛ1	Фильтр межсайтовых сценариев категории 4: вектор URI JavaScript
941150	Критический - 5	ПЛ2	Фильтр межсайтовых сценариев категории 5: запрещенные атрибуты HTML
941160	Критический - 5	ПЛ1	NoScript XSS InjectionChecker: внедрение HTML
941170	Критический - 5	ПЛ1	NoScript XSS InjectionChecker: внедрение атрибута
941180	Критический - 5	ПЛ1	Ключевые слова из списка блокировки средства проверки узлов
941190	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием таблиц стилей
941200	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием фреймов VML
941210	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием замаскированного JavaScript
941220	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием замаскированного сценария Visual Basic
941230	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием тега embed
941240	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием атрибута import или implementation
941250	Критический - 5	ПЛ1	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941260	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием тега meta
941270	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием гиперссылки link
941280	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием тега base
941290	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием тега applet
941300	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием тега object
941310	Критический - 5	ПЛ1	Фильтр XSS с неправильной кодировкой US-ASCII — обнаружена атака
941320	Критический - 5	ПЛ2	Обнаружена возможная атака с выполнением межсайтового сценария — обработчик тегов HTML
941330	Критический - 5	ПЛ2	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941340	Критический - 5	ПЛ2	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941350	Критический - 5	ПЛ1	Кодировка IE XSS UTF-7 — обнаружена атака
941360	Критический - 5	ПЛ1	Обнаружена обфускация JavaScript
941370	Критический - 5	ПЛ1	Найдена глобальная переменная JavaScript
941380	Критический - 5	ПЛ2	Обнаружено внедрение шаблона на стороне клиента AngularJS

SQLI: внедрение кода SQL

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
942100	Критический - 5	ПЛ1	Библиотека libinjection обнаружила атаку путем внедрения кода SQL
942110	Предупреждение - 3	ПЛ2	Атака путем внедрения кода SQL: обнаружено общее тестирование внедрения
942120	Критический - 5	ПЛ2	Атака путем внедрения кода SQL: обнаружен оператор SQL
942130	Критический - 5	ПЛ2	Атака SQL-инъекции: обнаружена тавтология SQL
942140	Критический - 5	ПЛ1	Атака путем внедрения кода SQL: обнаружены общие имена базы данных
942150	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942160	Критический - 5	ПЛ1	Обнаруживает слепые sqli тесты с помощью sleep() или benchmark()
942170	Критический - 5	ПЛ1	Обнаружение попыток вставки sleep() или benchmark() SQL, включая условные запросы
942180	Критический - 5	ПЛ2	Обнаружение основных попыток обхода проверки подлинности SQL 1/3
942190	Критический - 5	ПЛ1	Обнаруживает выполнение кода MSSQL и попытки сбора информации
942200	Критический - 5	ПЛ2	Обнаруживает комментарии и пробелы внедрений в MySQL и завершение обратного апострофа
942210	Критический - 5	ПЛ2	Обнаружение попыток внедрения SQL в цепочку 1/2
942220	Критический - 5	ПЛ1	Поиск атак путем переполнения целочисленных значений с использованием Skipfish, за исключением 3.0.00738585072007 E–308 (сбой "магического числа")
942230	Критический - 5	ПЛ1	Обнаружение попыток условных атак путем внедрения кода SQL
942240	Критический - 5	ПЛ1	Обнаружение переключения кодировки MySQL и попыток атак типа "отказ в обслуживании" MSSQL
942250	Критический - 5	ПЛ1	Обнаружение внедрений MATCH AGAINST, MERGE и EXECUTE IMMEDIATE
942260	Критический - 5	ПЛ2	Обнаруживает основные попытки обхода аутентификации SQL 2/3
942270	Критический - 5	ПЛ1	Поиск основных атак путем внедрения кода SQL Общая строка атаки для mysql, oracle и других
942280	Критический - 5	ПЛ1	Обнаружение внедрения Postgres pg_sleep, атак WaitFor Delay и попыток завершения работы базы данных
942290	Критический - 5	ПЛ1	Поиск попыток основных атак путем внедрения кода SQL в MongoDB
942300	Критический - 5	ПЛ2	Обнаруживает комментарии, условия и внедрения ch(a)r MySQL
942310	Критический - 5	ПЛ2	Обнаружение попыток внедрения SQL в цепочку 2/2
942320	Критический - 5	ПЛ1	Обнаружение вставки хранимой процедуры или функции в MySQL и PostgreSQL
942330	Критический - 5	ПЛ2	Обнаруживает классические проверки SQL-внедрений 1/2
942340	Критический - 5	ПЛ2	Обнаруживает основные попытки обхода проверки подлинности SQL 3/3
942350	Критический - 5	ПЛ1	Обнаружение внедрения определяемой пользователем функции и других атак с изменением данных или структуры в MySQL
942360	Критический - 5	ПЛ1	Обнаруживает объединенные базовые SQL-внедрения и попытки SQLLFI
942361	Критический - 5	ПЛ2	Обнаружение базового внедрения кода SQL на основе ключевых слов alter или union
942370	Критический - 5	ПЛ2	Обнаруживает классические проверки SQL-внедрений 2/2
942380	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942390	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942400	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942410	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942430	Предупреждение - 3	ПЛ2	Ограниченный доступ аномалий обнаруженного символа SQL (аргументы): # превышено количество специальных символов (12)
942440	Критический - 5	ПЛ2	Обнаруженная последовательность комментариев SQL
942450	Критический - 5	ПЛ2	Определена шестнадцатеричная кодировка SQL
942470	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942480	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942500	Критический - 5	ПЛ1	Обнаружен встроенный комментарий MySQL
942510	Критический - 5	ПЛ2	Обнаружена попытка обхода SQLi по тикам или обратным кавычкам

SESSION-FIXATION

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
943100	Критический - 5	ПЛ1	Возможная атака с фиксацией сеанса: установка значений файла cookie в HTML
943110	Критический - 5	ПЛ1	Возможная атака с фиксацией сеанса: имя параметра SessionID с источником ссылки вне домена
943120	Критический - 5	ПЛ1	Возможная атака с фиксацией сеанса: имя параметра SessionID без источника ссылки

Атаки Java

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
944100	Критический - 5	ПЛ1	Удаленное выполнение команд: Apache Struts, Oracle WebLogic
944110	Критический - 5	ПЛ1	Обнаружение потенциального выполнения атакующего кода
944120	Критический - 5	ПЛ1	Возможное выполнение атакующего кода и удаленное выполнение команды
944130	Критический - 5	ПЛ1	Подозрительные классы Java
944200	Критический - 5	ПЛ2	Несанкционированное использование десериализации Java Apache Commons
944210	Критический - 5	ПЛ2	Возможное использование сериализации Java
944240	Критический - 5	ПЛ2	Удаленное выполнение команды: уязвимость сериализации и Log4j в Java (CVE-2021-44228, CVE-2021-45046)
944250	Критический - 5	ПЛ2	Удаленное выполнение команд: обнаружен подозрительный метод Java

МС-ThreatIntel-WebShells

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
99005002	Критический - 5	ПЛ2	Попытка взаимодействия с веб-оболочкой (POST)
99005003	Критический - 5	ПЛ2	Попытка передачи в веб-оболочку (POST) — CHOPPER PHP
99005004	Критический - 5	ПЛ2	Попытка передачи в веб-оболочку (POST) — CHOPPER ASPX
99005005	Критический - 5	ПЛ2	Попытка взаимодействия с веб-оболочкой
99005006	Критический - 5	ПЛ2	Попытка взаимодействия со Spring4Shell

МС-ThreatIntel-AppSec

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
99030001	Критический - 5	ПЛ2	Внедрение обходного пути в заголовки (/.././../)
99030002	Критический - 5	ПЛ2	Внедрение обходного пути в текст запроса (/.././../)

МС-ThreatIntel-SQLI

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
99031001	Предупреждение - 3	ПЛ2	Атака путем внедрения кода SQL: обнаружено общее тестирование внедрения
99031002	Критический - 5	ПЛ2	Обнаруженная последовательность комментариев SQL
99031003	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
99031004	Критический - 5	ПЛ2	Обнаруживает основные попытки обхода аутентификации SQL 2/3

MS-ThreatIntel-CVEs

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
99001001	Критический - 5	ПЛ2	Предпринята попытка эксплойта REST API с известными учетными данными F5 tmui (CVE-2020-5902)
99001002	Критический - 5	ПЛ2	Попытка обхода каталога Citrix NSC_USER CVE-2019-19781
99001003	Критический - 5	ПЛ2	Попытка использования соединителя мини-приложения Atlassian Confluence CVE-2019-3396
99001004	Критический - 5	ПЛ2	Попытка использования пользовательского шаблона Pulse Secure CVE-2020-8243
99001005	Критический - 5	ПЛ2	Попытка использования конвертера типов SharePoint CVE-2020-0932
99001006	Критический - 5	ПЛ2	Попытка обхода каталога Pulse Connect CVE-2019-11510
99001007	Критический - 5	ПЛ2	Попытка включения локального файла J-Web в ос Junos OS CVE-2020-1631
99001008	Критический - 5	ПЛ2	Попытка обхода пути Fortinet CVE-2018-13379
99001009	Критический - 5	ПЛ2	Попытка внедрения Apache Struts ognl CVE-2017-5638
99001010	Критический - 5	ПЛ2	Попытка внедрения Apache Struts ognl CVE-2017-12611
99001011	Критический - 5	ПЛ2	Попытка обхода пути Oracle WebLogic CVE-2020-14882
99001012	Критический - 5	ПЛ2	Попытка использования Telerik WebUI небезопасной десериализации CVE-2019-18935
99001013	Критический - 5	ПЛ2	Попытка небезопасной десериализации XML в SharePoint CVE-2019-0604
99001014	Критический - 5	ПЛ2	Попытка внедрения выражений маршрутизации Spring Cloud CVE-2022-22963
99001015	Критический - 5	ПЛ2	Попытка использования небезопасных объектов класса Spring Framework CVE-2022-22965
99001016	Критический - 5	ПЛ2	Попытка внедрения актуатора шлюза Spring Cloud CVE-2022-22947
99001017*	Не применимо	Не применимо	Попытка отправки файла Apache Struts CVE-2023-50164

* ^{Действие этого правила по умолчанию задается в журнал. Задайте для действия блокировку, чтобы предотвратить уязвимость Apache Struts. Оценка аномалий не поддерживается для этого правила.}

Наборы правил 3.2

Общие

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
200002	Критический - 5	ПЛ1	Не удалось проанализировать тело запроса
200003	Критический - 5	ПЛ1	Строгая валидация составного тела запроса
200004	Критический - 5	ПЛ1	Возможная составная несопоставленная граница

KNOWN-CVES

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
800100	Критический - 5	ПЛ2	Правило, помогающее обнаружить и устранить уязвимость log4j CVE-2021-44228, CVE-2021-45046
800110	Критический - 5	ПЛ2	Попытка взаимодействия со Spring4Shell
800111	Критический - 5	ПЛ2	Попытка внедрения выражений маршрутизации Spring Cloud: CVE-2022-22963
800112	Критический - 5	ПЛ2	Попытка использования небезопасных объектов класса Spring Framework: CVE-2022-22965
800113	Критический - 5	ПЛ2	Попытка внедрения актуатора шлюза Spring Cloud: CVE-2022-22947
800114*	Критический - 5	ПЛ2	Попытка отправки файла Apache Struts — CVE-2023-50164

ЗАПРОС 911-METHOD-ENFORCEMENT

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
911100	Критический - 5	ПЛ1	Метод не разрешен политикой

ЗАПРОС 913-SCANNER-DETECTION

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
913100	Критический - 5	ПЛ1	Найден агент пользователя, связанный со сканером системы безопасности
913101	Критический - 5	ПЛ2	Найден агент пользователя, связанный с клиентом HTTP для скриптов или с универсальным клиентом HTTP
913102	Критический - 5	ПЛ2	Найден агент пользователя, связанный с поисковым модулем или программой-роботом
913110	Критический - 5	ПЛ1	Найден заголовок запроса, связанный со сканером системы безопасности
913120	Критический - 5	ПЛ1	Найден аргумент или имя файла запроса, связанные со сканером системы безопасности

ЗАПРОС 920-PROTOCOL-ENFORCEMENT

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
920100	Предупреждение - 3	ПЛ1	Недопустимая строка HTTP-запроса
920120	Критический - 5	ПЛ1	Попытки обхода составных данных или данных форм
920121	Критический - 5	ПЛ2	Попытки обхода составных данных или данных форм
920160	Критический - 5	ПЛ1	HTTP-заголовок Content-Length не является числовым
920170	Критический - 5	ПЛ1	Запрос GET или HEAD с содержимым тела запроса
920171	Критический - 5	ПЛ1	Запрос GET или HEAD с Transfer-Encoding
920180	Предупреждение - 3	ПЛ1	В POST-запросе отсутствует заголовок Content-Length.
920190	Предупреждение - 3	ПЛ1	Диапазон: недопустимое значение последнего байта данных
920200	Предупреждение - 3	ПЛ2	Диапазон: слишком много полей (6 или более)
920201	Предупреждение - 3	ПЛ2	Диапазон: слишком много полей для запроса в формате PDF (35 или более)
920210	Предупреждение - 3	ПЛ1	Найдены множественные/конфликтующие данные заголовка соединения
920220	Предупреждение - 3	ПЛ1	Попытка атаки с нарушением использования кодирования URL-адреса
920230	Предупреждение - 3	ПЛ2	Обнаружено несколько типов кодирования URL-адресов
920240	Предупреждение - 3	ПЛ1	Попытка атаки с нарушением использования кодирования URL-адреса
920250	Предупреждение - 3	ПЛ1	Попытка атаки с нарушением использования кодировки UTF8
920260	Предупреждение - 3	ПЛ1	Попытка атаки с нарушением использования полных символов Юникода или символов Юникода половинной ширины
920270	Критический - 5	ПЛ1	Недопустимый символ в запросе (символ null)
920271	Критический - 5	ПЛ2	Недопустимый символ в запросе (непечатаемые символы)
920280	Предупреждение - 3	ПЛ1	В запросе отсутствует заголовок узла
920290	Предупреждение - 3	ПЛ1	Заголовок узла не указан
920300	Извещение - 2	ПЛ2	В запросе отсутствует заголовок Accept
920310	Извещение - 2	ПЛ1	В запросе не указан заголовок Accept
920311	Извещение - 2	ПЛ1	В запросе не указан заголовок Accept
920320	Извещение - 2	ПЛ2	Заголовок агента пользователя отсутствует
920330	Извещение - 2	ПЛ1	Заголовок агента пользователя не указан
920340	Извещение - 2	ПЛ1	В запросе с содержимым отсутствует заголовок Content-Type
920341	Критический - 5	ПЛ2	В запросе с содержимым необходим заголовок Content-Type
920350	Предупреждение - 3	ПЛ1	Заголовок узла является числовым IP-адресом
920420	Критический - 5	ПЛ1	Тип контента запроса не разрешен политикой
920430	Критический - 5	ПЛ1	Версия протокола HTTP не разрешена политикой
920440	Критический - 5	ПЛ1	Расширение файла URL-адреса ограничено в политике
920450	Критический - 5	ПЛ1	Заголовок HTTP ограничен политикой (%{MATCHED_VAR})
920470	Критический - 5	ПЛ1	Недопустимый заголовок Content-Type
920480	Критический - 5	ПЛ1	Ограничение параметра кодировки в заголовке Content-Type

ЗАПРОС 921 -PROTOCOL-ATTACK

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
921110	Критический - 5	ПЛ1	Атака типа "Несанкционированный HTTP-запрос"
921120	Критический - 5	ПЛ1	Атака типа "Разделение HTTP-ответа"
921130	Критический - 5	ПЛ1	Атака типа "Разделение HTTP-ответа"
921140	Критический - 5	ПЛ1	Атака типа "Вставка заголовка HTTP" через заголовки
921150	Критический - 5	ПЛ1	Атака типа "Вставка заголовка HTTP" через полезные данные (обнаружено CR/LF)
921151	Критический - 5	ПЛ2	Атака типа "Вставка заголовка HTTP" через полезные данные (обнаружено CR/LF)
921160	Критический - 5	ПЛ1	Атака путем внедрения заголовка HTTP через полезные данные (обнаружены CR или LF и имя заголовка)

ЗАПРОС-930-ЗАЯВЛЕНИЕ-ATTACK-LFI

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
930100	Критический - 5	ПЛ1	Атака с обходом пути (/../)
930110	Критический - 5	ПЛ1	Атака с обходом пути (/../)
930120	Критический - 5	ПЛ1	Попытка доступа к файлу ОС
930130	Критический - 5	ПЛ1	Попытка доступа к ограниченному файлу

ЗАПРОС-931-ЗАЯВЛЕНИЕ-ATTACK-RFI

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
931100	Критический - 5	ПЛ1	Возможная атака с включением удаленного файла (RFI): в параметре URL-адреса используется IP-адрес
931110	Критический - 5	ПЛ1	Возможная атака с включением удаленного файла (RFI): общее имя уязвимого параметра RFI использовано с полезными данными URL-адреса
931120	Критический - 5	ПЛ1	Возможная атака с включением удаленного файла (RFI): полезные данные URL-адреса использованы с вопросительным знаком (?) в конце
931130	Критический - 5	ПЛ2	Возможная атака с включением удаленного файла (RFI): ссылка вне домена

ЗАПРОС-932-ЗАЯВЛЕНИЕ-ATTACK-RCE

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
932100	Критический - 5	ПЛ1	Удаленное выполнение команды: внедрение команд UNIX
932105	Критический - 5	ПЛ1	Удаленное выполнение команды: внедрение команд UNIX
932110	Критический - 5	ПЛ1	Удаленное выполнение команды: внедрение команды Windows
932115	Критический - 5	ПЛ1	Удаленное выполнение команды: внедрение команды Windows
932120	Критический - 5	ПЛ1	Удаленное выполнение команд: обнаружена команда Windows PowerShell
932130	Критический - 5	ПЛ1	Удаленное выполнение команд: выражение оболочки Unix или уязвимость Confluence (CVE-2022-26134) или Text4Shell (CVE-2022-42889)
932140	Критический - 5	ПЛ1	Удаленное выполнение команд: обнаружена команда FOR или IF Windows PowerShell
932150	Критический - 5	ПЛ1	Удаленное выполнение команды: прямое выполнение команды UNIX
932160	Критический - 5	ПЛ1	Удаленное выполнение команд: обнаружен код оболочки Unix
932170	Критический - 5	ПЛ1	Удаленное выполнение команд: Shellshock (CVE-2014-6271)
932171	Критический - 5	ПЛ1	Удаленное выполнение команд: Shellshock (CVE-2014-6271)
932180	Критический - 5	ПЛ1	Попытка передачи файла с ограниченным доступом

ЗАПРОС-933-ЗАЯВЛЕНИЕ-ATTACK-PHP

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
933100	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружен открывающий и закрывающий тег
933110	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружена передача файла сценария PHP
933120	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружена директива конфигурации
933130	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружены переменные
933140	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружен поток ввода-вывода
933150	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружено имя функции PHP с высоким уровнем риска
933151	Критический - 5	ПЛ2	Атака путем внедрения кода PHP: обнаружено имя функции PHP со средним уровнем риска
933160	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружен вызов функции PHP с высоким уровнем риска
933170	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: внедрение сериализованных объектов
933180	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружен вызов функции переменной
933200	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружена схема-оболочка
933210	Критический - 5	ПЛ1	Атака путем внедрения кода PHP: обнаружен вызов функции переменной

ЗАПРОС-941-ЗАЯВЛЕНИЕ-ATTACK-XSS

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
941100	Критический - 5	ПЛ1	Библиотека libinjection обнаружила атаку с выполнением межсайтового сценария
941101	Критический - 5	ПЛ2	XSS-атака обнаружена с помощью libinjection Это правило обнаруживает запросы с заголовком Referer
941110	Критический - 5	ПЛ1	Фильтр межсайтовых сценариев категории 1: вектор тега скрипта
941120	Критический - 5	ПЛ1	Фильтр межсайтовых сценариев категории 2: вектор обработчика событий
941130	Критический - 5	ПЛ1	Фильтр межсайтовых сценариев категории 3: вектор атрибута
941140	Критический - 5	ПЛ1	Фильтр межсайтовых сценариев категории 4: вектор URI JavaScript
941150	Критический - 5	ПЛ2	Фильтр межсайтовых сценариев категории 5: запрещенные атрибуты HTML
941160	Критический - 5	ПЛ1	NoScript XSS InjectionChecker: внедрение HTML
941170	Критический - 5	ПЛ1	NoScript XSS InjectionChecker: внедрение атрибута
941180	Критический - 5	ПЛ1	Ключевые слова из черного списка средства проверки узлов
941190	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием таблиц стилей
941200	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием фреймов VML
941210	Критический - 5	ПЛ1	XSS с помощью запутывания JavaScript или Text4Shell (CVE-2022-42889)
941220	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием замаскированного сценария Visual Basic
941230	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием тега embed
941240	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием атрибута import или implementation
941250	Критический - 5	ПЛ1	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941260	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием тега meta
941270	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием гиперссылки link
941280	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием тега base
941290	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием тега applet
941300	Критический - 5	ПЛ1	Межсайтовый сценарий с использованием тега object
941310	Критический - 5	ПЛ1	Фильтр XSS с неправильной кодировкой US-ASCII — обнаружена атака
941320	Критический - 5	ПЛ2	Обнаружена возможная атака с выполнением межсайтового сценария — обработчик тегов HTML
941330	Критический - 5	ПЛ2	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941340	Критический - 5	ПЛ2	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941350	Критический - 5	ПЛ1	Кодировка IE XSS UTF-7 — обнаружена атака
941360	Критический - 5	ПЛ1	Обнаружена обфускация JavaScript

ЗАПРОС-942-ЗАЯВЛЕНИЕ-ATTACK-SQLI

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
942100	Критический - 5	ПЛ1	Библиотека libinjection обнаружила атаку путем внедрения кода SQL
942110	Предупреждение - 3	ПЛ2	Атака путем внедрения кода SQL: обнаружено общее тестирование внедрения
942120	Критический - 5	ПЛ2	Атака путем внедрения кода SQL: обнаружен оператор SQL
942130	Критический - 5	ПЛ2	Атака SQL-инъекции: обнаружена тавтология SQL
942140	Критический - 5	ПЛ1	Атака путем внедрения кода SQL: обнаружены общие имена базы данных
942150	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942160	Критический - 5	ПЛ1	Обнаруживает слепые sqli тесты с помощью sleep() или benchmark()
942170	Критический - 5	ПЛ1	Обнаружение попыток вставки sleep() или benchmark() SQL, включая условные запросы
942180	Критический - 5	ПЛ2	Обнаружение основных попыток обхода проверки подлинности SQL 1/3
942190	Критический - 5	ПЛ1	Обнаруживает выполнение кода MSSQL и попытки сбора информации
942200	Критический - 5	ПЛ2	Обнаруживает комментарии и пробелы внедрений в MySQL и завершение обратного апострофа
942210	Критический - 5	ПЛ2	Обнаружение попыток внедрения SQL в цепочку 1/2
942220	Критический - 5	ПЛ1	Поиск атак путем переполнения целочисленных значений с использованием Skipfish, за исключением 3.0.00738585072007 E–308 (сбой "магического числа")
942230	Критический - 5	ПЛ1	Обнаружение попыток условных атак путем внедрения кода SQL
942240	Критический - 5	ПЛ1	Обнаружение переключения кодировки MySQL и попыток атак типа "отказ в обслуживании" MSSQL
942250	Критический - 5	ПЛ1	Обнаруживает инъекции MATCH AGAINST, MERGE и EXECUTE IMMEDIATE
942260	Критический - 5	ПЛ2	Обнаруживает основные попытки обхода аутентификации SQL 2/3
942270	Критический - 5	ПЛ1	Поиск основных атак путем внедрения кода SQL Общая строка атаки для mysql, oracle и других
942280	Критический - 5	ПЛ1	Обнаружение внедрения Postgres pg_sleep, атак WaitFor Delay и попыток завершения работы базы данных
942290	Критический - 5	ПЛ1	Поиск попыток основных атак путем внедрения кода SQL в MongoDB
942300	Критический - 5	ПЛ2	Обнаруживает комментарии, условия и внедрения ch(a)r MySQL
942310	Критический - 5	ПЛ2	Обнаружение попыток внедрения SQL в цепочку 2/2
942320	Критический - 5	ПЛ1	Обнаружение вставки хранимой процедуры или функции в MySQL и PostgreSQL
942330	Критический - 5	ПЛ2	Обнаруживает классические проверки SQL-внедрений 1/2
942340	Критический - 5	ПЛ2	Обнаруживает основные попытки обхода проверки подлинности SQL 3/3
942350	Критический - 5	ПЛ1	Обнаружение внедрения определяемой пользователем функции и других атак с изменением данных или структуры в MySQL
942360	Критический - 5	ПЛ1	Обнаруживает объединенные базовые SQL-внедрения и попытки SQLLFI
942361	Критический - 5	ПЛ2	Обнаружение базового внедрения кода SQL на основе ключевых слов alter или union
942370	Критический - 5	ПЛ2	Обнаруживает классические проверки SQL-внедрений 2/2
942380	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942390	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942400	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942410	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942430	Предупреждение - 3	ПЛ2	Ограниченный доступ аномалий обнаруженного символа SQL (аргументы): # превышено количество специальных символов (12)
942440	Критический - 5	ПЛ2	Обнаруженная последовательность комментариев SQL
942450	Критический - 5	ПЛ2	Определена шестнадцатеричная кодировка SQL
942470	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942480	Критический - 5	ПЛ2	Атака путем внедрения кода SQL
942500	Критический - 5	ПЛ1	Обнаружен встроенный комментарий MySQL

REQUEST-943-АТАКА НА ПРИЛОЖЕНИЕ-SESSION-FIXATION

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
943100	Критический - 5	ПЛ1	Возможная атака с фиксацией сеанса: установка значений файла cookie в HTML
943110	Критический - 5	ПЛ1	Возможная атака с фиксацией сеанса: имя параметра SessionID с источником ссылки вне домена
943120	Критический - 5	ПЛ1	Возможная атака с фиксацией сеанса: имя параметра SessionID без источника ссылки

ЗАПРОС-944-ЗАЯВЛЕНИЕ-ATTACK-JAVA

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
944100	Критический - 5	ПЛ1	Удаленное выполнение команд: Apache Struts, Oracle WebLogic
944110	Критический - 5	ПЛ1	Обнаружение потенциального выполнения атакующего кода
944120	Критический - 5	ПЛ1	Возможное выполнение атакующего кода и удаленное выполнение команды
944130	Критический - 5	ПЛ1	Подозрительные классы Java
944200	Критический - 5	ПЛ2	Несанкционированное использование десериализации Java Apache Commons
944210	Критический - 5	ПЛ2	Возможное использование сериализации Java
944240	Критический - 5	ПЛ1	Удаленное выполнение команд: сериализация Java
944250	Критический - 5	ПЛ1	Удаленное выполнение команд: обнаружен подозрительный метод Java

Неактивные правила

Идентификатор правила	Серьезность оценки аномалий	Уровень паранойи	Описание
920202	Предупреждение - 3	ПЛ4	(Неактивное правило, следует игнорировать) Диапазон: Слишком много полей для запроса в формате pdf (6 или более)
920272	Критический - 5	ПЛ3	(Неактивное правило, следует игнорировать) Недопустимый символ в запросе (за пределами печатных символов ниже ascii 127)
920273	Критический - 5	ПЛ4	(Неактивное правило, следует игнорировать) Недопустимый символ в запросе (вне очень строгого набора)
920274	Критический - 5	ПЛ4	(Неактивное правило, следует игнорировать) Недопустимый символ в заголовках запросов (вне очень строгого набора)
920460	Критический - 5	ПЛ4	(Неактивное правило, следует игнорировать) Аномальные персонажи побега
921170	Не применимо	ПЛ3	(Неактивное правило, следует игнорировать) Загрязнение HTTP-параметров
921180	Критический - 5	ПЛ3	(Неактивное правило, следует игнорировать) Загрязнение параметров HTTP (%{TX.1})
932106	Критический - 5	ПЛ3	(Неактивное правило, следует игнорировать) Удаленное выполнение команд: внедрение команд UNIX
932190	Критический - 5	ПЛ3	(Неактивное правило, следует игнорировать) Удаленное выполнение команд: попытка обхода с использованием подстановочных знаков
933111	Критический - 5	ПЛ3	(Неактивное правило, следует игнорировать) Атака с внедрением PHP: обнаружена загрузка файла PHP-скрипта
933131	Критический - 5	ПЛ3	(Неактивное правило, следует игнорировать) Атака PHP-с-внедрением: найдены переменные
933161	Критический - 5	ПЛ3	(Неактивное правило, следует игнорировать) Атака с внедрением PHP: найден вызов функции PHP Low-Value
933190	Критический - 5	ПЛ3	(Неактивное правило, следует игнорировать) Атака PHP-инъекцией: найден закрывающий тег PHP
942251	Критический - 5	ПЛ3	(Неактивное правило, следует игнорировать) Обнаруживает инъекции HAVING
942420	Предупреждение - 3	ПЛ3	(Неактивное правило, следует игнорировать) Ограниченное обнаружение аномалии символов SQL (cookies): # превышено количество специальных символов (8)
942421	Предупреждение - 3	ПЛ4	(Неактивное правило, следует игнорировать) Ограниченное обнаружение аномалии символов SQL (cookies): # превышено количество специальных символов (3)
942431	Предупреждение - 3	ПЛ3	(Неактивное правило, следует игнорировать) Ограниченное обнаружение аномалий в символах SQL (аргументы): № специальных символов превышено (6)
942432	Предупреждение - 3	ПЛ4	(Неактивное правило, следует игнорировать) Ограниченное обнаружение аномалии символов SQL (args): # превышено количество специальных символов (2)
942460	Предупреждение - 3	ПЛ3	(Неактивное правило, следует игнорировать) Meta-Character Предупреждение об обнаружении аномалий - повторяющиеся символы, не являющиеся словами
942490	Критический - 5	ПЛ3	(Неактивное правило, следует игнорировать) Обнаружение классических попыток SQL-инъекций 3/3

Наборы правил 3.1

Общие

Идентификатор правила	Описание
200004	Возможная составная несопоставленная граница

KNOWN-CVES

Идентификатор правила	Описание
800100	Правило, помогающее обнаружить и устранить уязвимость log4j CVE-2021-44228, CVE-2021-45046
800110	Попытка взаимодействия со Spring4Shell
800111	Попытка внедрения выражений маршрутизации Spring Cloud: CVE-2022-22963
800112	Попытка использования небезопасных объектов класса Spring Framework: CVE-2022-22965
800113	Попытка внедрения актуатора шлюза Spring Cloud: CVE-2022-22947
800114*	Попытка отправки файла Apache Struts — CVE-2023-50164

* ^{Старые WAF под управлением CRS 3.1 поддерживают только режим ведения журнала для этого правила. Чтобы включить режим блокировки, необходимо обновить до более новой версии набора правил.}

ЗАПРОС 911-METHOD-ENFORCEMENT

Идентификатор правила	Описание
911100	Метод не разрешен политикой

ЗАПРОС 913-SCANNER-DETECTION

Идентификатор правила	Описание
913100	Найден агент пользователя, связанный со сканером системы безопасности
913101	Найден агент пользователя, связанный с клиентом HTTP для скриптов или с универсальным клиентом HTTP
913102	Найден агент пользователя, связанный с поисковым модулем или программой-роботом
913110	Найден заголовок запроса, связанный со сканером системы безопасности
913120	Найден аргумент или имя файла запроса, связанные со сканером системы безопасности

ЗАПРОС 920-PROTOCOL-ENFORCEMENT

Идентификатор правила	Описание
920100	Недопустимая строка HTTP-запроса
920120	Попытки обхода составных данных или данных форм
920121	Попытки обхода составных данных или данных форм
920130	Не удалось проанализировать текст запроса
920140	Неудачная строгая проверка текста составного запроса
920160	HTTP-заголовок Content-Length не является числовым
920170	Запрос GET или HEAD с содержимым тела запроса
920171	Запрос GET или HEAD с Transfer-Encoding
920180	В POST-запросе отсутствует заголовок Content-Length.
920190	range = недопустимое значение последнего байта
920200	Диапазон = слишком много полей (6 или более)
920201	Диапазон = слишком много полей для запроса в формате PDF (35 или более)
920202	Диапазон = слишком много полей для запроса в формате PDF (6 или более)
920210	Найдены множественные/конфликтующие данные заголовка соединения
920220	Попытка атаки с нарушением использования кодирования URL-адреса
920230	Обнаружено несколько типов кодирования URL-адресов
920240	Попытка атаки с нарушением использования кодирования URL-адреса
920250	Попытка атаки с нарушением использования кодировки UTF8
920260	Попытка атаки с нарушением использования полных символов Юникода или символов Юникода половинной ширины
920270	Недопустимый символ в запросе (символ null)
920271	Недопустимый символ в запросе (непечатаемые символы)
920272	Недопустимый символ в запросе (вне диапазона печатных символов после символа ASCII №127)
920273	Недопустимый символ в запросе (вне диапазона строго заданных символов)
920274	Недопустимый символ в заголовках запроса (вне диапазона строго заданных символов)
920280	В запросе отсутствует заголовок узла
920290	Заголовок узла не указан
920300	В запросе отсутствует заголовок Accept
920310	В запросе не указан заголовок Accept
920311	В запросе не указан заголовок Accept
920320	Заголовок агента пользователя отсутствует
920330	Заголовок агента пользователя не указан
920340	В запросе с содержимым отсутствует заголовок Content-Type
920341	В запросе с содержимым необходим заголовок Content-Type
920350	Заголовок узла является числовым IP-адресом
920420	Тип контента запроса не разрешен политикой
920430	Версия протокола HTTP не разрешена политикой
920440	Расширение файла URL-адреса ограничено в политике
920450	Заголовок HTTP ограничен в политике (%@{MATCHED_VAR})
920460	Аномальные escape-символы
920470	Недопустимый заголовок Content-Type
920480	Ограничение параметра кодировки в заголовке Content-Type

ЗАПРОС 921 -PROTOCOL-ATTACK

Идентификатор правила	Описание
921110	Атака типа "Несанкционированный HTTP-запрос"
921120	Атака типа "Разделение HTTP-ответа"
921130	Атака типа "Разделение HTTP-ответа"
921140	Атака типа "Вставка заголовка HTTP" через заголовки
921150	Атака типа "Вставка заголовка HTTP" через полезные данные (обнаружено CR/LF)
921151	Атака типа "Вставка заголовка HTTP" через полезные данные (обнаружено CR/LF)
921160	Атака путем внедрения заголовка HTTP через полезные данные (обнаружены CR или LF и имя заголовка)
921170	Искажение параметров HTTP
921180	Искажение параметров HTTP (%{TX.1})

ЗАПРОС-930-ЗАЯВЛЕНИЕ-ATTACK-LFI

Идентификатор правила	Описание
930100	Атака с обходом пути (/../)
930110	Атака с обходом пути (/../)
930120	Попытка доступа к файлу ОС
930130	Попытка доступа к ограниченному файлу

ЗАПРОС-931-ЗАЯВЛЕНИЕ-ATTACK-RFI

Идентификатор правила	Описание
931100	Возможная атака с включением удаленного файла (RFI) = в параметре URL-адреса используется IP-адрес
931110	Возможная атака с включением удаленного файла (RFI) = общее имя уязвимого параметра RFI использовано с полезными данными URL-адреса
931120	Возможная атака с включением удаленного файла (RFI) = полезные данные URL-адреса использованы с вопросительным знаком (?) в конце
931130	Возможная атака с включением удаленного файла (RFI) = ссылка вне домена

ЗАПРОС-932-ЗАЯВЛЕНИЕ-ATTACK-RCE

Идентификатор правила	Описание
932100	Удаленное выполнение команды: внедрение команд UNIX
932105	Удаленное выполнение команды: внедрение команд UNIX
932106	Удаленное выполнение команды: внедрение команд UNIX
932110	Удаленное выполнение команды: внедрение команды Windows
932115	Удаленное выполнение команды: внедрение команды Windows
932120	Удаленное выполнение команды = обнаружена команда Windows PowerShell
932130	Удаленное выполнение команд: выражение оболочки Unix или уязвимость Confluence (CVE-2022-26134) или Text4Shell (CVE-2022-42889)
932140	Удаленное выполнение команды = обнаружена команда FOR или IF Windows PowerShell
932150	Удаленное выполнение команды: прямое выполнение команды UNIX
932160	Удаленное выполнение команды = обнаружен код оболочки Unix
932170	Удаленное выполнение команды = Shellshock (CVE-2014-6271)
932171	Удаленное выполнение команды = Shellshock (CVE-2014-6271)
932180	Попытка передачи файла с ограниченным доступом
932190	Удаленное выполнение команды: попытка метода обхода подстановочного знака

ЗАПРОС-933-ЗАЯВЛЕНИЕ-ATTACK-PHP

Идентификатор правила	Описание
933100	Атака путем внедрения кода PHP = обнаружен открывающий и закрывающий тег
933110	Атака путем внедрения кода PHP = обнаружена передача файла скрипта PHP
933111	Атака путем внедрения кода PHP: обнаружена передача файла сценария PHP
933120	Атака путем внедрения кода PHP = обнаружена директива конфигурации
933130	Атака путем внедрения кода PHP = обнаружены переменные
933131	Атака путем внедрения кода PHP: обнаружены переменные
933140	Атака путем внедрения кода PHP: обнаружен поток ввода-вывода
933150	Атака путем внедрения кода PHP = обнаружено имя функции PHP с высоким уровнем риска
933151	Атака путем внедрения кода PHP: обнаружено имя функции PHP со средним уровнем риска
933160	Атака путем внедрения кода PHP = обнаружен вызов функции PHP с высоким уровнем риска
933161	Атака путем внедрения кода PHP: обнаружен вызов функции PHP с низким значением
933170	Атака путем внедрения кода PHP: внедрение сериализованных объектов
933180	Атака путем внедрения кода PHP = обнаружен вызов функции переменной
933190	Атака путем внедрения кода PHP: обнаружен закрывающий тег PHP

ЗАПРОС-941-ЗАЯВЛЕНИЕ-ATTACK-XSS

Идентификатор правила	Описание
941100	Библиотека libinjection обнаружила атаку с выполнением межсайтового сценария
941101	Библиотека libinjection обнаружила атаку с выполнением межсайтового сценария Это правило обнаруживает запросы с заголовком Referer
941110	Фильтр межсайтовых сценариев категории 1 = вектор тега скрипта
941130	Фильтр межсайтовых сценариев категории 3 = вектор атрибута
941140	Фильтр межсайтовых сценариев категории 4: вектор URI JavaScript
941150	Фильтр межсайтовых сценариев категории 5 = запрещенные HTML-атрибуты
941160	NoScript XSS InjectionChecker: внедрение HTML
941170	NoScript XSS InjectionChecker: внедрение атрибута
941180	Ключевые слова из списка блокировки средства проверки узлов
941190	Межсайтовый сценарий с использованием таблиц стилей
941200	Межсайтовый сценарий с использованием фреймов VML
941210	XSS с помощью запутывания JavaScript или Text4Shell (CVE-2022-42889)
941220	Межсайтовый сценарий с использованием замаскированного сценария Visual Basic
941230	Межсайтовый сценарий с использованием тега embed
941240	Межсайтовый сценарий с использованием атрибута import или implementation
941250	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941260	Межсайтовый сценарий с использованием тега meta
941270	Межсайтовый сценарий с использованием гиперссылки link
941280	Межсайтовый сценарий с использованием тега base
941290	Межсайтовый сценарий с использованием тега applet
941300	Межсайтовый сценарий с использованием тега object
941310	Фильтр XSS с неправильной кодировкой US-ASCII — обнаружена атака
941320	Обнаружена возможная атака с выполнением межсайтового сценария — обработчик тегов HTML
941330	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941340	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941350	Кодировка IE XSS UTF-7 — обнаружена атака

ЗАПРОС-942-ЗАЯВЛЕНИЕ-ATTACK-SQLI

Идентификатор правила	Описание
942100	Библиотека libinjection обнаружила атаку путем внедрения кода SQL
942110	Атака путем внедрения кода SQL: обнаружено общее тестирование внедрения
942120	Атака путем внедрения кода SQL: обнаружен оператор SQL
942130	Атака SQL-инъекции: обнаружена тавтология SQL
942140	Атака путем внедрения кода SQL = обнаружены общие имена базы данных
942150	Атака путем внедрения кода SQL
942160	Обнаруживает слепые sqli тесты с помощью sleep() или benchmark()
942170	Обнаружение попыток вставки sleep() или benchmark() SQL, включая условные запросы
942180	Обнаружение основных попыток обхода проверки подлинности SQL 1/3
942190	Обнаруживает выполнение кода MSSQL и попытки сбора информации
942200	Обнаруживает комментарии и пробелы внедрений в MySQL и завершение обратного апострофа
942210	Обнаружение попыток внедрения SQL в цепочку 1/2
942220	Поиск атак путем переполнения для целых чисел производится из Skipfish, кроме версии 3.0.00738585072
942230	Обнаружение попыток условных атак путем внедрения кода SQL
942240	Обнаружение переключения кодировки MySQL и попыток атак типа "отказ в обслуживании" MSSQL
942250	Обнаруживает инъекции MATCH AGAINST, MERGE и EXECUTE IMMEDIATE
942251	Обнаружение вставки HAVING
942260	Обнаруживает основные попытки обхода аутентификации SQL 2/3
942270	Поиск основных атак путем внедрения кода SQL Общая строка атаки для Oracle, MySQL и т. д.
942280	Обнаружение внедрения Postgres pg_sleep, атак WaitFor Delay и попыток завершения работы базы данных
942290	Поиск попыток основных атак путем внедрения кода SQL в MongoDB
942300	Обнаруживает комментарии, условия и внедрения ch(a)r MySQL
942310	Обнаружение попыток внедрения SQL в цепочку 2/2
942320	Обнаружение вставки хранимой процедуры или функции в MySQL и PostgreSQL
942330	Обнаруживает классические проверки SQL-внедрений 1/2
942340	Обнаруживает основные попытки обхода проверки подлинности SQL 3/3
942350	Обнаружение внедрения определяемой пользователем функции и других атак с изменением данных или структуры в MySQL
942360	Обнаруживает объединенные базовые SQL-внедрения и попытки SQLLFI
942361	Обнаружение базового внедрения кода SQL на основе ключевых слов alter или union
942370	Обнаруживает классические проверки SQL-внедрений 2/2
942380	Атака путем внедрения кода SQL
942390	Атака путем внедрения кода SQL
942400	Атака путем внедрения кода SQL
942410	Атака путем внедрения кода SQL
942420	Ограниченный доступ аномалий обнаруженного символа SQL (файлы cookie): # превышено количество специальных символов (8)
942421	Ограниченный доступ аномалий обнаруженного символа SQL (файлы cookie): # превышено количество специальных символов (3)
942430	Ограниченный доступ аномалий обнаруженного символа SQL (аргументы): # превышено количество специальных символов (12)
942431	Ограниченный доступ аномалий обнаруженного символа SQL (аргументы): # превышено количество специальных символов (6)
942432	Ограниченный доступ аномалий обнаруженного символа SQL (аргументы): # превышено количество специальных символов (2)
942440	Обнаруженная последовательность комментариев SQL
942450	Определена шестнадцатеричная кодировка SQL
942460	Оповещение об обнаружении аномалии мета-символа — повторяющиеся символы, не являющиеся частью слова
942470	Атака путем внедрения кода SQL
942480	Атака путем внедрения кода SQL
942490	Обнаружение классических проверок SQL-внедрений 3/3

REQUEST-943-АТАКА НА ПРИЛОЖЕНИЕ-SESSION-FIXATION

Идентификатор правила	Описание
943100	Возможная атака с фиксацией сеанса = установка значений файла cookie в HTML
943110	Возможная атака с фиксацией сеанса = имя параметра SessionID с источником ссылки вне домена
943120	Возможная атака с фиксацией сеанса = имя параметра SessionID без источника ссылки

ЗАПРОС-944-ПРИЛОЖЕНИЕ-АТАКА-SESSION-JAVA

Идентификатор правила	Описание
944120	Возможное выполнение атакующего кода и удаленное выполнение команды
944130	Подозрительные классы Java
944200	Несанкционированное использование десериализации Java Apache Commons

Наборы правил 1.0

Недопустимые боты

Идентификатор правила	Описание
Бот100100	Средства аналитики угроз обнаружили вредоносный бот
Бот100200	Вредоносный бот с поддельным удостоверением

Bot100100 сканирует IP-адреса и IP-адреса клиента в заголовке X-Forwarded-For .

Допустимые боты

Идентификатор правила	Описание
Бот200100	Обходчики поисковой системы
Бот200200	Непроверенные обходчики поисковой системы

Неизвестные боты

Идентификатор правила	Описание
Бот300100	Неуказанное удостоверение
Бот300200	Инструменты и платформы для обхода и атак через Интернет
Бот300300	Http-клиенты и пакеты SDK общего назначения
Бот300400	Агенты служб
Бот300500	Службы мониторинга работоспособности сайтов
Бот300600	Средства аналитики угроз обнаружили неизвестный бот
Бот300700	Прочие боты

Bot300600 проверяет IP-адреса клиента и IP-адреса в заголовке X-Forwarded-For .

Наборы правил 1.1

Недопустимые боты

Идентификатор правила	Описание
Бот100100	Средства аналитики угроз обнаружили вредоносный бот
Бот100200	Вредоносный бот с поддельным удостоверением
Бот100300	Боты с высоким уровнем риска, обнаруженные аналитикой угроз

Bot100100 сканирует IP-адреса и IP-адреса клиента в заголовке X-Forwarded-For .

Допустимые боты

Идентификатор правила	Описание
Бот200100	Обходчики поисковой системы
Бот200200	Проверенные другие боты
Бот200300	Проверенные боты проверки ссылок
Бот200400	Проверенные боты социальных сетей
Бот200500	Проверенные наборы содержимого
Бот200600	Проверенные наборы веб-каналов
Бот200700	Проверенные рекламные боты

Неизвестные боты

Идентификатор правила	Описание
Бот300100	Неуказанное удостоверение
Бот300200	Инструменты и платформы для обхода и атак через Интернет
Бот300300	Http-клиенты и пакеты SDK общего назначения
Бот300400	Агенты служб
Бот300500	Службы мониторинга работоспособности сайтов
Бот300600	Неизвестные боты, обнаруженные аналитикой угроз. Это правило также включает IP-адреса, соответствующие сети Tor
Бот300700	Прочие боты

Bot300600 проверяет IP-адреса клиента и IP-адреса в заголовке X-Forwarded-For .

Примечание.

При просмотре журналов WAF может появиться идентификатор правила 949110. Описание правила может включать превышение оценки аномалий для входящего трафика.

Это правило указывает, что общая оценка аномалий для запроса превысила максимальную допустимую оценку. Дополнительные сведения см. в разделе Оценка аномалий.

Следующие наборы правил — группы и правила CRS 3.0 и CRS 2.2.9 больше не поддерживаются в Брандмауэре веб-приложений Azure в Шлюзе приложений. Мы рекомендуем вам обновиться до DRS 2.1 / CRS 3.2

OWASP 3.0 - больше не поддерживается
OWASP 2.2.9 - больше не поддерживается

Наборы правил 3.0

Общие

Идентификатор правила	Описание
200004	Возможная составная несопоставленная граница

KNOWN-CVES

Идентификатор правила	Описание
800100	Правило, помогающее обнаружить и устранить уязвимость log4j CVE-2021-44228, CVE-2021-45046
800110	Попытка взаимодействия со Spring4Shell
800111	Попытка внедрения выражений маршрутизации Spring Cloud: CVE-2022-22963
800112	Попытка использования небезопасных объектов класса Spring Framework: CVE-2022-22965
800113	Попытка внедрения актуатора шлюза Spring Cloud: CVE-2022-22947

ЗАПРОС 911-METHOD-ENFORCEMENT

Идентификатор правила	Описание
911100	Метод не разрешен политикой

ЗАПРОС 913-SCANNER-DETECTION

Идентификатор правила	Описание
913100	Найден агент пользователя, связанный со сканером системы безопасности
913110	Найден заголовок запроса, связанный со сканером системы безопасности
913120	Найден аргумент или имя файла запроса, связанные со сканером системы безопасности
913101	Найден агент пользователя, связанный с клиентом HTTP для скриптов или с универсальным клиентом HTTP
913102	Найден агент пользователя, связанный с поисковым модулем или программой-роботом

ЗАПРОС 920-PROTOCOL-ENFORCEMENT

Идентификатор правила	Описание
920100	Недопустимая строка HTTP-запроса
920130	Не удалось проанализировать текст запроса
920140	Неудачная строгая проверка текста составного запроса
920160	HTTP-заголовок Content-Length не является числовым
920170	Запрос GET или HEAD с содержимым тела запроса
920180	В POST-запросе отсутствует заголовок Content-Length.
920190	range = недопустимое значение последнего байта
920210	Найдены множественные/конфликтующие данные заголовка соединения
920220	Попытка атаки с нарушением использования кодирования URL-адреса
920240	Попытка атаки с нарушением использования кодирования URL-адреса
920250	Попытка атаки с нарушением использования кодировки UTF8
920260	Попытка атаки с нарушением использования полных символов Юникода или символов Юникода половинной ширины
920270	Недопустимый символ в запросе (символ null)
920280	В запросе отсутствует заголовок узла
920290	Заголовок узла не указан
920310	В запросе не указан заголовок Accept
920311	В запросе не указан заголовок Accept
920330	Заголовок агента пользователя не указан
920340	В запросе с содержимым отсутствует заголовок Content-Type
920350	Заголовок узла является числовым IP-адресом
920380	Слишком много аргументов в запросе
920360	Слишком длинное имя аргумента
920370	Слишком длинное значение аргумента
920390	Превышен общий размер аргументов
920400	Передаваемый файл слишком большой
920410	Передаваемые файлы слишком большие
920420	Тип контента запроса не разрешен политикой
920430	Версия протокола HTTP не разрешена политикой
920440	Расширение файла URL-адреса ограничено в политике
920450	Заголовок HTTP ограничен в политике (%@{MATCHED_VAR})
920200	Диапазон = слишком много полей (6 или более)
920201	Диапазон = слишком много полей для запроса в формате PDF (35 или более)
920230	Обнаружено несколько типов кодирования URL-адресов
920300	В запросе отсутствует заголовок Accept
920271	Недопустимый символ в запросе (непечатаемые символы)
920320	Заголовок агента пользователя отсутствует
920272	Недопустимый символ в запросе (вне диапазона печатных символов после символа ASCII №127)
920202	Диапазон = слишком много полей для запроса в формате PDF (6 или более)
920273	Недопустимый символ в запросе (вне диапазона строго заданных символов)
920274	Недопустимый символ в заголовках запроса (вне диапазона строго заданных символов)
920460	Аномальные escape-символы

ЗАПРОС 921 -PROTOCOL-ATTACK

Идентификатор правила	Описание
921100	Атака типа "Несанкционированный HTTP-запрос"
921110	Атака типа "Несанкционированный HTTP-запрос"
921120	Атака типа "Разделение HTTP-ответа"
921130	Атака типа "Разделение HTTP-ответа"
921140	Атака типа "Вставка заголовка HTTP" через заголовки
921150	Атака типа "Вставка заголовка HTTP" через полезные данные (обнаружено CR/LF)
921160	Атака путем внедрения заголовка HTTP через полезные данные (обнаружены CR или LF и имя заголовка)
921151	Атака типа "Вставка заголовка HTTP" через полезные данные (обнаружено CR/LF)
921170	Искажение параметров HTTP
921180	Искажение параметров HTTP (%@{TX.1})

ЗАПРОС-930-ЗАЯВЛЕНИЕ-ATTACK-LFI

Идентификатор правила	Описание
930100	Атака с обходом пути (/../)
930110	Атака с обходом пути (/../)
930120	Попытка доступа к файлу ОС
930130	Попытка доступа к ограниченному файлу

ЗАПРОС-931-ЗАЯВЛЕНИЕ-ATTACK-RFI

Идентификатор правила	Описание
931100	Возможная атака с включением удаленного файла (RFI) = в параметре URL-адреса используется IP-адрес
931110	Возможная атака с включением удаленного файла (RFI) = общее имя уязвимого параметра RFI использовано с полезными данными URL-адреса
931120	Возможная атака с включением удаленного файла (RFI) = полезные данные URL-адреса использованы с вопросительным знаком (?) в конце
931130	Возможная атака с включением удаленного файла (RFI) = ссылка вне домена

ЗАПРОС-932-ЗАЯВЛЕНИЕ-ATTACK-RCE

Идентификатор правила	Описание
932120	Удаленное выполнение команды = обнаружена команда Windows PowerShell
932130	Шлюз приложений WAF версии 2: удаленная выполнение команд: уязвимость оболочки Unix или Confluence (CVE-2022-26134) или Text4Shell (CVE-2022-42889) WAF Шлюза приложений версии 1. Удаленное выполнение команд: выражение оболочки Unix.
932140	Удаленное выполнение команды = обнаружена команда FOR или IF Windows PowerShell
932160	Удаленное выполнение команды = обнаружен код оболочки Unix
932170	Удаленное выполнение команды = Shellshock (CVE-2014-6271)
932171	Удаленное выполнение команды = Shellshock (CVE-2014-6271)

ЗАПРОС-933-ЗАЯВЛЕНИЕ-ATTACK-PHP

Идентификатор правила	Описание
933100	Атака путем внедрения кода PHP = обнаружен открывающий и закрывающий тег
933110	Атака путем внедрения кода PHP = обнаружена передача файла скрипта PHP
933120	Атака путем внедрения кода PHP = обнаружена директива конфигурации
933130	Атака путем внедрения кода PHP = обнаружены переменные
933150	Атака путем внедрения кода PHP = обнаружено имя функции PHP с высоким уровнем риска
933160	Атака путем внедрения кода PHP = обнаружен вызов функции PHP с высоким уровнем риска
933180	Атака путем внедрения кода PHP = обнаружен вызов функции переменной
933151	Атака путем внедрения кода PHP = обнаружено имя функции PHP со средним уровнем риска
933131	Атака путем внедрения кода PHP = обнаружены переменные
933161	Атака путем внедрения кода PHP = обнаружен вызов функции PHP с низким значением
933111	Атака путем внедрения кода PHP = обнаружена передача файла скрипта PHP

ЗАПРОС-941-ЗАЯВЛЕНИЕ-ATTACK-XSS

Идентификатор правила	Описание
941100	Библиотека libinjection обнаружила атаку с выполнением межсайтового сценария
941110	Фильтр межсайтовых сценариев категории 1 = вектор тега скрипта
941130	Фильтр межсайтовых сценариев категории 3 = вектор атрибута
941140	Фильтр межсайтовых сценариев категории 4: вектор URI JavaScript
941150	Фильтр межсайтовых сценариев категории 5 = запрещенные HTML-атрибуты
941180	Ключевые слова из списка блокировки средства проверки узлов
941190	Межсайтовый сценарий с использованием таблиц стилей
941200	Межсайтовый сценарий с использованием фреймов VML
941210	XSS с помощью запутывания JavaScript или Text4Shell (CVE-2022-42889)
941220	Межсайтовый сценарий с использованием замаскированного сценария Visual Basic
941230	Межсайтовый сценарий с использованием тега embed
941240	Межсайтовый сценарий с использованием атрибута import или implementation
941260	Межсайтовый сценарий с использованием тега meta
941270	Межсайтовый сценарий с использованием гиперссылки link
941280	Межсайтовый сценарий с использованием тега base
941290	Межсайтовый сценарий с использованием тега applet
941300	Межсайтовый сценарий с использованием тега object
941310	Фильтр XSS с неправильной кодировкой US-ASCII — обнаружена атака
941330	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941340	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
941350	Кодировка IE XSS UTF-7 — обнаружена атака
941320	Обнаружена возможная атака с выполнением межсайтового сценария — обработчик тегов HTML

ЗАПРОС-942-ЗАЯВЛЕНИЕ-ATTACK-SQLI

Идентификатор правила	Описание
942100	Библиотека libinjection обнаружила атаку путем внедрения кода SQL
942110	Атака путем внедрения кода SQL: обнаружено общее тестирование внедрения
942130	Атака SQL-инъекции: обнаружена тавтология SQL
942140	Атака путем внедрения кода SQL = обнаружены общие имена базы данных
942160	Обнаруживает слепые sqli тесты с помощью sleep() или benchmark()
942170	Обнаружение попыток вставки sleep() или benchmark() SQL, включая условные запросы
942190	Обнаруживает выполнение кода MSSQL и попытки сбора информации
942200	Обнаруживает комментарии и пробелы внедрений в MySQL и завершение обратного апострофа
942230	Обнаружение попыток условных атак путем внедрения кода SQL
942260	Обнаруживает основные попытки обхода аутентификации SQL 2/3
942270	Поиск основных атак путем внедрения кода SQL Общая строка атаки для Oracle, MySQL и т. д.
942290	Поиск попыток основных атак путем внедрения кода SQL в MongoDB
942300	Обнаруживает комментарии, условия и внедрения char MySQL
942310	Обнаружение попыток внедрения SQL в цепочку 2/2
942320	Обнаружение вставки хранимой процедуры или функции в MySQL и PostgreSQL
942330	Обнаруживает классические проверки SQL-внедрений 1/2
942340	Обнаруживает основные попытки обхода проверки подлинности SQL 3/3
942350	Обнаружение внедрения определяемой пользователем функции и других атак с изменением данных или структуры в MySQL
942360	Обнаруживает объединенные базовые SQL-внедрения и попытки SQLLFI
942370	Обнаруживает классические проверки SQL-внедрений 2/2
942150	Атака путем внедрения кода SQL
942410	Атака путем внедрения кода SQL
942430	Ограниченный доступ аномалий обнаруженного символа SQL (аргументы): # превышено количество специальных символов (12)
942440	Обнаруженная последовательность комментариев SQL
942450	Определена шестнадцатеричная кодировка SQL
942251	Обнаружение вставки HAVING
942460	Оповещение об обнаружении аномалии мета-символа — повторяющиеся символы, не являющиеся частью слова

REQUEST-943-АТАКА НА ПРИЛОЖЕНИЕ-SESSION-FIXATION

Идентификатор правила	Описание
943100	Возможная атака с фиксацией сеанса = установка значений файла cookie в HTML
943110	Возможная атака с фиксацией сеанса = имя параметра SessionID с источником ссылки вне домена
943120	Возможная атака с фиксацией сеанса = имя параметра SessionID без источника ссылки

Наборы правил 2.2.9

crs_20_нарушения_протокола

Идентификатор правила	Описание
960911	Недопустимая строка HTTP-запроса
981227	Ошибка Apache = неверный URI в запросе
960912	Не удалось проанализировать текст запроса
960914	Неудачная строгая проверка текста составного запроса
960915	Многокомпонентный парсер обнаружил возможный несопоставленный разделитель
960016	HTTP-заголовок Content-Length не является числовым
960011	Запрос GET или HEAD с содержимым тела запроса
960012	В POST-запросе отсутствует заголовок Content-Length.
960902	Недопустимое использование кодировки идентификационных данных
960022	Заголовок Expect не разрешен для HTTP 1.0
960020	Pragma Header требует Cache-Control Header для запросов HTTP/1.1
958291	Range = поле существует и начинается с 0
958230	range = недопустимое значение последнего байта
958295	Найдены множественные/конфликтующие данные заголовка соединения
950107	Попытка атаки с нарушением использования кодирования URL-адреса
950109	Обнаружено несколько типов кодирования URL-адресов
950108	Попытка атаки с нарушением использования кодирования URL-адреса
950801	Попытка атаки с нарушением использования кодировки UTF8
950116	Попытка атаки с нарушением использования полных символов Юникода или символов Юникода половинной ширины
960901	Недопустимый символ в запросе
960018	Недопустимый символ в запросе

crs_21_аномалии_протокола

Идентификатор правила	Описание
960008	В запросе отсутствует заголовок узла
960007	Заголовок узла не указан
960015	В запросе отсутствует заголовок Accept
960021	В запросе не указан заголовок Accept
960009	В запросе отсутствует заголовок агента пользователя
960006	Заголовок агента пользователя не указан
960904	В запросе с содержимым отсутствует заголовок Content-Type
960017	Заголовок узла является числовым IP-адресом

crs_23_request_limits

Идентификатор правила	Описание
960209	Слишком длинное имя аргумента
960208	Слишком длинное значение аргумента
960335	Слишком много аргументов в запросе
960341	Превышен общий размер аргументов
960342	Передаваемый файл слишком большой
960343	Передаваемые файлы слишком большие

crs_30_http_policy

Идентификатор правила	Описание
960032	Метод не разрешен политикой
960010	Тип контента запроса не разрешен политикой
960034	Версия протокола HTTP не разрешена политикой
960035	Расширение файла URL-адреса ограничено в политике
960038	Заголовок HTTP ограничен в политике

crs_35_bad_robots

Идентификатор правила	Описание
990002	Запрос указывает, что сканер системы безопасности отсканировал сайт
990901	Запрос указывает, что сканер системы безопасности отсканировал сайт
990902	Запрос указывает, что сканер системы безопасности отсканировал сайт
990012	Несанкционированная программа-обходчик веб-сайта

crs_40_общие_атаки

Идентификатор правила	Описание
960024	Оповещение об обнаружении аномалии мета-символа — повторяющиеся символы, не являющиеся частью слова
950008	Внедрение недокументированных тегов ColdFusion
950010	Атака путем внедрения кода LDAP
950011	Атака путем внедрения кода SSI
950018	Обнаружен универсальный PDF XSS URL
950019	Атака путем внедрения кода электронной почты
950012	Атака типа "Несанкционированный HTTP-запрос"
950910	Атака типа "Разделение HTTP-ответа"
950911	Атака типа "Разделение HTTP-ответа"
950117	Атака с включением удаленного файла
950118	Атака с включением удаленного файла
950119	Атака с включением удаленного файла
950120	Возможная атака с включением удаленного файла (RFI) = ссылка вне домена
981133	Правило 981133
981134	Правило 981134
950009	Атака с фиксацией сеанса
950003	Фиксация сеанса
950000	Фиксация сеанса
950005	Попытка удаленного доступа к файлу
950002	Доступ к системной команде
950006	Внедрение системной команды
959151	Атака путем внедрения кода PHP
958976	Атака путем внедрения кода PHP
958977	Атака путем внедрения кода PHP

crs_41_атаки_SQL-инъекций

Идентификатор правила	Описание
981231	Обнаруженная последовательность комментариев SQL
981260	Определена шестнадцатеричная кодировка SQL
981320	Атака путем внедрения кода SQL = обнаружены общие имена базы данных
981300	Правило 981300
981301	Правило 981301
981302	Правило 981302
981303	Правило 981303
981304	Правило 981304
981305	Правило 981305
981306	Правило 981306
981307	Правило 981307
981308	Правило 981308
981309	Правило 981309
981310	Правило 981310
981311	Правило 981311
981312	Правило 981312
981313	Правило 981313
981314	Правило 981314
981 315	Правило 981315
981316	Правило 981316
981317	Оповещение об обнаружении аномалии в инструкции SELECT SQL
950007	Скрытая атака путем внедрения кода SQL
950001	Атака путем внедрения кода SQL
950908	Атака путем внедрения кода SQL
959073	Атака путем внедрения кода SQL
981272	Обнаруживает слепые sqli тесты с помощью sleep() или benchmark()
981250	Обнаружение попыток вставки sleep() или benchmark() SQL, включая условные запросы
981241	Обнаружение попыток условных атак путем внедрения кода SQL
981276	Поиск основных атак путем внедрения кода SQL Общая строка атаки для Oracle, MySQL и т. д.
981270	Поиск попыток основных атак путем внедрения кода SQL в MongoDB
981253	Обнаружение вставки хранимой процедуры или функции в MySQL и PostgreSQL
981251	Обнаружение внедрения определяемой пользователем функции и других атак с изменением данных или структуры в MySQL

crs_41_атаки_XSS

Идентификатор правила	Описание
973336	Фильтр межсайтовых сценариев категории 1 = вектор тега скрипта
973338	Фильтр межсайтовых сценариев категории 3: вектор URI JavaScript
981136	Правило 981136
981018	Правило 981018
958016	Атака с выполнением межсайтовых сценариев
958414	Атака с выполнением межсайтовых сценариев
958032	Атака с выполнением межсайтовых сценариев
958026	Атака с выполнением межсайтовых сценариев
958027	Атака с выполнением межсайтовых сценариев
958054	Атака с выполнением межсайтовых сценариев
958418	Атака с выполнением межсайтовых сценариев
958034	Атака с выполнением межсайтовых сценариев
958019	Атака с выполнением межсайтовых сценариев
958013	Атака с выполнением межсайтовых сценариев
958408	Атака с выполнением межсайтовых сценариев
958012	Атака с выполнением межсайтовых сценариев
958423	Атака с выполнением межсайтовых сценариев
958002	Атака с выполнением межсайтовых сценариев
958017	Атака с выполнением межсайтовых сценариев
958007	Атака с выполнением межсайтовых сценариев
958047	Атака с выполнением межсайтовых сценариев
958410	Атака с выполнением межсайтовых сценариев
958415	Атака с выполнением межсайтовых сценариев
958022	Атака с выполнением межсайтовых сценариев
958405	Атака с выполнением межсайтовых сценариев
958419	Атака с выполнением межсайтовых сценариев
958028	Атака с выполнением межсайтовых сценариев
958057	Атака с выполнением межсайтовых сценариев
958031	Атака с выполнением межсайтовых сценариев
958006	Атака с выполнением межсайтовых сценариев
958033	Атака с выполнением межсайтовых сценариев
958038	Атака с выполнением межсайтовых сценариев
958409	Атака с выполнением межсайтовых сценариев
958001	Атака с выполнением межсайтовых сценариев
958005	Атака с выполнением межсайтовых сценариев
958404	Атака с выполнением межсайтовых сценариев
958023	Атака с выполнением межсайтовых сценариев
958010	Атака с выполнением межсайтовых сценариев
958411	Атака с выполнением межсайтовых сценариев
958422	Атака с выполнением межсайтовых сценариев
958036	Атака с выполнением межсайтовых сценариев
958000	Атака с выполнением межсайтовых сценариев
958018	Атака с выполнением межсайтовых сценариев
958406	Атака с выполнением межсайтовых сценариев
958040	Атака с выполнением межсайтовых сценариев
958052	Атака с выполнением межсайтовых сценариев
958037	Атака с выполнением межсайтовых сценариев
958049	Атака с выполнением межсайтовых сценариев
958030	Атака с выполнением межсайтовых сценариев
958041	Атака с выполнением межсайтовых сценариев
958416	Атака с выполнением межсайтовых сценариев
958024	Атака с выполнением межсайтовых сценариев
958059	Атака с выполнением межсайтовых сценариев
958417	Атака с выполнением межсайтовых сценариев
958020	Атака с выполнением межсайтовых сценариев
958045	Атака с выполнением межсайтовых сценариев
958004	Атака с выполнением межсайтовых сценариев
958421	Атака с выполнением межсайтовых сценариев
958009	Атака с выполнением межсайтовых сценариев
958025	Атака с выполнением межсайтовых сценариев
958413	Атака с выполнением межсайтовых сценариев
958051	Атака с выполнением межсайтовых сценариев
958420	Атака с выполнением межсайтовых сценариев
958407	Атака с выполнением межсайтовых сценариев
958056	Атака с выполнением межсайтовых сценариев
958011	Атака с выполнением межсайтовых сценариев
958412	Атака с выполнением межсайтовых сценариев
958008	Атака с выполнением межсайтовых сценариев
958046	Атака с выполнением межсайтовых сценариев
958039	Атака с выполнением межсайтовых сценариев
958003	Атака с выполнением межсайтовых сценариев
973300	Обнаружена возможная атака с выполнением межсайтового сценария — обработчик тегов HTML
973301	Обнаружена атака с выполнением межсайтового сценария
973302	Обнаружена атака с выполнением межсайтового сценария
973303	Обнаружена атака с выполнением межсайтового сценария
973304	Обнаружена атака с выполнением межсайтового сценария
973305	Обнаружена атака с выполнением межсайтового сценария
973306	Обнаружена атака с выполнением межсайтового сценария
973307	Обнаружена атака с выполнением межсайтового сценария
973308	Обнаружена атака с выполнением межсайтового сценария
973309	Обнаружена атака с выполнением межсайтового сценария
973311	Обнаружена атака с выполнением межсайтового сценария
973313	Обнаружена атака с выполнением межсайтового сценария
973314	Обнаружена атака с выполнением межсайтового сценария
973331	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973315	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973330	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973327	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973326	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973346	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973345	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973324	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973323	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973348	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973321	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973320	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973318	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973317	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973329	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака
973328	Фильтры межсайтовых сценариев Internet Explorer — обнаружена атака

crs_42_строгая_безопасность

Идентификатор правила	Описание
950103	Атака с обходом пути

crs_45_trojans

Идентификатор правила	Описание
950110	Несанкционированный доступ
950921	Несанкционированный доступ
950922	Несанкционированный доступ

Поделиться через

Брандмауэр веб-приложений группы правил и правила CRS DRS и CRS

Набор правил по умолчанию 2.1

Рекомендации по тонкой настройке для DRS 2.1

Основной набор правил 3.2

Настройка управляемых наборов правил

Оценка аномалий

Уровень паранойи

Обновление или изменение версии набора правил

OWASP CRS 3.1

Менеджер ботов 1.0

Менеджер ботов 1.1

Наборы правил 2.1

Общие

ИСПОЛНЕНИЕ МЕТОДА

PROTOCOL-ENFORCEMENT

PROTOCOL-ATTACK

LFI — Включение локальных файлов

RFI — Включение удаленных файлов

RCE: удаленное выполнение команд

Атаки PHP

Атаки Node.js

XSS — Межсайтовые сценарии

SQLI: внедрение кода SQL

SESSION-FIXATION

Атаки Java

МС-ThreatIntel-WebShells

МС-ThreatIntel-AppSec

МС-ThreatIntel-SQLI

MS-ThreatIntel-CVEs

Наборы правил 3.0

Общие

KNOWN-CVES

ЗАПРОС 911-METHOD-ENFORCEMENT

ЗАПРОС 913-SCANNER-DETECTION

ЗАПРОС 920-PROTOCOL-ENFORCEMENT

ЗАПРОС 921 -PROTOCOL-ATTACK

ЗАПРОС-930-ЗАЯВЛЕНИЕ-ATTACK-LFI

ЗАПРОС-931-ЗАЯВЛЕНИЕ-ATTACK-RFI

ЗАПРОС-932-ЗАЯВЛЕНИЕ-ATTACK-RCE

ЗАПРОС-933-ЗАЯВЛЕНИЕ-ATTACK-PHP

ЗАПРОС-941-ЗАЯВЛЕНИЕ-ATTACK-XSS

ЗАПРОС-942-ЗАЯВЛЕНИЕ-ATTACK-SQLI

REQUEST-943-АТАКА НА ПРИЛОЖЕНИЕ-SESSION-FIXATION

Связанный контент

Обратная связь

Дополнительные ресурсы