Azure 前门 WAF 策略 Microsoft_DefaultRuleSet-2.0-BLOCKING-EVALUATION-949110 阻止带有入站异常分数超出消息的请求

Question

我为我的一个 Web 应用程序配置了前门和 WAF。 WAF 当前处于检测模式。在查看日志时，我主要在所有 block 请求中看到以下详细信息

ruleName_s:Microsoft_DefaultRuleSet-2.0-BLOCKING-EVALUATION-949110action_s : block policyMode_s :检测详细信息匹配项:[]details_msg_s:入站异常分数超出类型:AzureDiagnostics

以上内容记录在具有 .html、.js、.jpeg 等的随机 requestUri_s 上。我确实遵循了trackingReference_s，但日志中的trackingReference 没有出现任何脱轨情况。

我只是想看看在这种情况下如何评估误报。如果这些请求在预防模式下被阻止，是否可以将策略模式更改为预防。

谢谢拉杰什

Answer 1

要评估这些是否是误报，您需要考虑几件事。

一个 Azure Front Door 日志条目的“ruleName_s”字段为“Microsoft_DefaultRuleSet-2.0-BLOCKING-EVALUATION-949110”，“action_s”为“Block”，后面跟着一个或多个“action_s”为“AnomalyScoring”的日志条目”。您可以使用“trackingReference_s”字段查看阻止评估的所有相关条目。

查询文本:

AzureDiagnostics
| where trackingReference_s == '03VuQZAAAAABzkx+f3NXPRoWkytsHgm/vQVRBRURHRTEyMTYANTcxYzNhYmEtNjFlOC00NmZhLWJlNTktOTEyMjlkMTIyNzkz'
| project TimeGenerated, Category, ruleName_s, action_s, trackingReference_s
| order by TimeGenerated desc

了解哪些规则触发了阻止(在示例图像中为 Microsoft_DefaultRuleSet-2.0-XSS-941170 和 Microsoft_DefaultRuleSet-2.0-XSS-941130)后，您可以调查“details_matches_s”和“details_msg_s”列以查看来自请求符合阻止规则。

您还可以通过交叉引用 Web 应用程序防火墙核心规则集 here 来确定如何评估这些规则。 。例如，Azure Front Door 日志中“Microsoft_DefaultRuleSet-2.0-XSS-941170”的规则是 REQUEST-941-APPLICATION-ATTACK-XSS 的命中。 ，特别是“NoScript XSS InjectionChecker:属性注入(inject)”的规则 941170

然后您可以从 the OWASP site 下载规则定义查看用于评估规则的正则表达式。