← Документация WAF / managed-rules / reference / owasp-core-ruleset

Основные понятия

Уровень паранойи (PL) классифицирует правила OWASP по степени их агрессивности. Уровни паранойи варьируются от PL1 до PL4, где PL4 является самым строгим уровнем:

• PL1 (значение по умолчанию)
• PL2
• PL3
• PL4

Каждое правило в управляемом наборе правил OWASP связано с уровнем паранойи. Правила с более высоким уровнем паранойи считаются более агрессивными и обеспечивают повышенную защиту. Однако они могут привести к блокировке большего количества легитимного трафика из-за ложных срабатываний.

Когда вы настраиваете уровень паранойи набора правил OWASP, вы включаете все правила, относящиеся ко всем уровням паранойи вплоть до выбранного. Например, если вы задаёте уровень паранойи набора правил PL3, вы включаете правила, относящиеся к уровням паранойи PL1, PL2 и PL3.

Когда вы задаёте уровень паранойи набора правил, WAF массово включает соответствующие правила. После этого при необходимости можно отключать отдельные правила по одному или по тегу. Если вы используете самый высокий уровень паранойи (PL4), вам, скорее всего, придётся отключить часть его правил для приложений, которым нужно принимать сложные шаблоны входных данных.

У каждого правила OWASP, которое соответствует текущему запросу, есть связанный балл. Оценка угрозы запроса представляет собой сумму отдельных баллов всех правил OWASP, сработавших на этот запрос.

Пороговое значение оценки (или порог аномалии) определяет минимальную суммарную оценку, полученную по совпавшим правилам OWASP, при достижении которой WAF применяет настроенное действие набора правил OWASP.

Доступны следующие пороговые значения оценки:

• Низкий: 60 и выше
• Средний: 40 и выше (значение по умолчанию)
• Высокий: 25 и выше

Каждый порог (Низкая, Средняя, а также High) имеет связанное значение (60, 40, а также 25, соответственно). Настройка Низкая порог означает, что для срабатывания настроенного действия набора правил WAF текущему запросу нужно будет соответствовать большему числу правил.

Когда Пороговое значение показателя аномалии OWASP задано на High, загрузка файлов может вызвать срабатывание 949110: Inbound Anomaly Score Exceeded правило из-за меньшего количества требуемых правил подсчёта баллов. Рассмотрите настройка порогового значения оценки, настройка отдельных правил в наборе правил, или создание исключения если возникает слишком много ложных срабатываний.

Пример см. в Пример оценки OWASP.