← Документация WAF / detections / malicious-uploads
Примеры правил
Регистрировать запросы с загруженным объектом содержимого
Это пользовательское правило пример записывает в лог все запросы, содержащие хотя бы один загруженный объект содержимого:
-
Когда входящие запросы совпадают:
Поле Оператор Значение Наличие объекта содержимого равно True Если вы используете Expression Editor:
(cf.waf.content_scan.has_obj) -
Действие: Log
Блокировка запросов к пути URI с вредоносным объектом содержимого
Этот пример пользовательского правила блокирует запросы, адресованные /upload.php которые содержат хотя бы один загруженный объект содержимого, признанный вредоносным:
-
Когда входящие запросы совпадают:
Поле Оператор Значение Наличие вредоносного объекта содержимого равно True И URI Path равно /upload.phpЕсли вы используете Expression Editor:
(cf.waf.content_scan.has_malicious_obj and http.request.uri.path eq "/upload.php") -
Действие: Block
Блокировка запросов с загрузкой файлов, не являющихся PDF
Этот пример пользовательского правила блокирует запросы, адресованные /upload с загруженными объектами содержимого, которые не являются файлами PDF:
- Когда входящие запросы совпадают:
any(cf.waf.content_scan.obj_types[*] != "application/pdf") and http.request.uri.path eq "/upload" - Действие: Block
Блокировка запросов с загруженными файлами более 500 КБ
Этот пример пользовательского правила блокирует запросы, адресованные /upload с загруженными объектами содержимого размером более 500 KB (512,000 байт):
- Когда входящие запросы совпадают:
any(cf.waf.content_scan.obj_sizes[*] > 512000) and http.request.uri.path eq "/upload" - Действие: Block
Блокировка запросов с загруженными файлами, превышающими лимит проверки содержимого (50 МБ)
Этот пример пользовательского правила блокирует запросы с загруженными объектами содержимого размером более 50 MB (текущий лимит сканирования содержимого):
- Когда входящие запросы совпадают:
any(cf.waf.content_scan.obj_sizes[*] >= 52428800) - Действие: Block
В этом примере также нужно проверять равенство, поскольку в настоящее время любой файл размером более 50 МБ обрабатывается внутри системы так, будто его размер равен 50 МБ (52 428 800 байт). Это значит, что при использовании > (больше) оператор сравнения не подойдёт для этого конкретного правила, поэтому используйте >= (больше или равно) вместо этого.
