Erläuterungen zu Bedingungen

Struktur des JSON-Eingabedokuments

Bei der Auswertung von JMESPath-Ausdrücken stellt WAF ein JSON-Eingabedokument bereit. Dieses enthält die Details der HTTP-Anforderung oder HTTP-Antwort, die die Auswertung ausgelöst hat. Das JSON-Eingabedokument ist immer ein JSON-Objekt.

Beispiel:

HTTP-Anforderung mit den folgenden Details:

• Quell-IP-Adresse und -port: 129.146.10.1:48152

• Landeskennzahl der IP-Quelladresse: US

• ASN der die Quell-IP-Adresse: 31898

• Ziel-IP-Adresse und -port: 205.147.88.0:80

• Zielhost: example.com

• Protokoll: HTTP/1.1

GET /test/path/img.jpg?param1=a&m2=b HTTP/1.1
Accept: */*
Accept-Encoding: gzip, deflate
Connection: keep-alive
Cookie: cookie1=A; cookie2=B; cookie3=3C; cookie3=3D
Host: example.com
User-Agent: HTTPie/2.4.0

Hierbei wird das folgende JSON-Eingabedokument generiert und an JMESPath-Ausdrücke übergeben:

{
  "connection": {
    "source": {
      "address": "129.146.10.1",
      "port": 49152,
      "geo": {
        "countryCode": "US"
      },
      "routing": {
        "asn": 31898
      }
    },
    "destination": {
      "address": "205.147.88.0",
      "port": 80
    },
    "protocol": "http"
  },
  "http": {
    "request": {
      "host": "www.example.com",
      "method": "GET",
      "version": "1.1",
      "url": {
        "path": "/test/path/img.jpg",
        "query": "param1=a&param2=b",
        "queryParameters": {
          "param1": ["a"],
          "param2": ["b"]
        },
        "queryPrefix": "?"
      },
      "headers": {
        "accept": ["*/*"],
        "accept-encoding": ["gzip, deflate"],
        "connection": ["keep-alive"],
        "cookie": [
          "cookie1=A; cookie2=B; cookie3=3C; cookie3=3D"
        ],
        "host": ["www.example.com"],
        "user-agent": ["HTTPie/2.4.0"]
      },
      "cookies": {
        "cookie1": ["A"],
        "cookie2": ["B"],
        "cookie3": ["3C", "3D"]
      }
    }
  }
}

Verweis

{
  "param1": ["a"],
  "param2": ["b"],
  "param3": ["c"]
}

{
  "multi": ["one","two", "3"],
  "encoded key": ["two words"]
}

Accept: application/json, text/csv
Accept: */*
Accept-Encoding: gzip
Accept-Encoding: deflate
Connection: keep-alive
Content-Language: en, fr
Content-Type: application/json
Host: www.example.com
User-Agent: HTTPie/2.2.0

{
  "accept":           ["application/json, text/csv", "*/*"],
  "accept-encoding":  ["gzip", "deflate"],
  "connection":       ["keep-alive"],
  "content-language": ["en, fr"],
  "content-type":     ["application/json"],
  "host":             ["www.example.com"],
  "user-agent":       ["HTTPie/2.2.0"]
}
}

cookie1=A; cookie2=B; cookie3=3C; cookie3=3D

{
  "cookie1": ["A"],
  "cookie2": ["B"],
  "cookie3": ["3C", "3D"]
}

Cache-Control: no-cache
Cache-Control: must-revalidate
Connection: keep-alive
Content-Encoding: gzip
Content-Type: text/html;charset=UTF-8

{
  "cache-control":    ["no-cache", "must-revalidate"],
  "connection":       ["keep-alive"],
  "content-encoding": ["gzip"],
  "content-type":     ["text/html;charset=UTF-8"]
}

Zeichenfolgenableich ohne Beachtung der Groß-/Kleinschreibung

Neben Zeichenfolgenabgleichsfunktionen, die standardmäßig in JMESPath unterstützt werden, bietet WAF Unterstützung für vier Funktionen, bei denen Zeichenfolgen ohne Beachtung der Groß-/Kleinschreibung verglichen werden können:

• i_equals (Variante des Operators == ohne Beachtung der Groß-/Kleinschreibung)
• i_contains (Variante der Funktion "contains" ohne Beachtung der Groß-/Kleinschreibung)
• i_starts_with (Variante der Funktion "starts_with" ohne Beachtung der Groß-/Kleinschreibung)
• i_ends_with (Variante der Funktion "ends_with" ohne Beachtung der Groß-/Kleinschreibung)

i_equals

boolean i_equals(string $left, string $right)

i_contains

boolean i_contains(array|string $subject, any $search)

Wenn das angegebene $subject eine Zeichenfolge ist, gibt diese Funktion "true" zurück, wenn die Zeichenfolge das angegebene $search-Argument enthält und die Groß-/Kleinschreibung nicht beachtet wird. (Sowohl $left als auch $right werden in Kleinbuchstaben konvertiert. Nur lateinische Buchstaben werden in Kleinbuchstaben konvertiert.) Andernfalls gibt diese Funktion "false" zurück.

Wenn $subject ein Array ist, gibt diese Funktion "true" zurück, wenn mindestens eines der Elemente im Array dem angegebenen $search-Wert entspricht. Andernfalls wird "false" zurückgegeben.

Wenn $search eine Zeichenfolge ist, erfolgt der Vergleich mit derselben Logik wie in der i_equals()-Funktion: Vergleich ohne Beachtung der Groß-/Kleinschreibung. (Sowohl das einzelne $subject-Arrayelement als auch $search-Zeichenfolgen werden in Kleinbuchstaben konvertiert. Nur lateinische Buchstaben werden in Kleinbuchstaben konvertiert.)

Wenn $search keine Zeichenfolge ist, wird der Vergleich mit dem Standardoperator == durchgeführt.

i_starts_with

boolean i_starts_with(string $subject, string $prefix)

i_ends_with

boolean i_ends_with(string $subject, string $suffix)

IP-Adressabgleich

WAF unterstützt mehrere Funktionen, die eine IP-Adresse mit einer Liste von CIDR-Bereichen oder Ressourcen der WAF-Netzwerkadressliste vergleichen können:

• address_in (vergleicht eine IP-Adresse mit einer Liste von CIDR-Bereichen)

• address_in_network_address_list (vergleicht eine IP-Adresse mit einer Ressource einer WAF-Netzwerkadressliste)

• vcn_address_in_network_address_list (vergleicht eine IP-Adresse mit einer VCN-ID mit einer Ressource einer WAF-Netzwerkadressliste)

address_in

boolean address_in(string $ip_address, array[string] $cidr_subnets)

Gibt "true" zurück, wenn die angegebene $ip_address in mindestens einem der in $cidr_subnets angegebenen CIDR-Subnetze enthalten ist. Andernfalls wird "false" zurückgegeben.

$ip_address muss eine Zeichenfolge mit einer IP-Adresse sein.

$cidr_subnets muss ein Array aus Zeichenfolgen sein, die jeweils ein CIDR-Subnetz enthalten.

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

address_in_network_address_list

boolean address_in_network_address_list(string $ip_address, array[string] $nal_ids)

$ip_address muss eine Zeichenfolge mit einer IP-Adresse sein.

$nal_id-Argumente müssen ein Array von Zeichenfolgen sein, die WAF-NetworkAddressList-Ressourcen nach ID referenzieren. Alle referenzierten NetworkAddressLists müssen den Typ "ADDRESSES" aufweisen.

Beispiel 1

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

vcn_address_in_network_address_list

boolean vcn_address_in_network_address_list(string $ip_address, string $vcn_id, array[string] $nal_ids)

$ip_address muss eine Zeichenfolge mit einer IP-Adresse sein.

$vcn_id muss eine Zeichenfolge mit der OCID eines VCN sein.

$nal_ids müssen ein Array von Zeichenfolgen sein, die WAF-NetworkAddressList-Ressourcen nach ID referenzieren. Alle referenzierten NetworkAddressLists müssen den Typ "VCN_ADDRESSES" aufweisen.

{
  "connection": {
    "source": {
      "address": "10.0.0.1"
    }
  },
  "paResource": {
    "vcnOcid": "ocid1.vcn...a"
  }
}

vcn_address_in_network_address_list(
  connection.source.address,
  connection.paResource.vcnOcid,
  ['ocid1.webappfirewallnetworkaddresslist...a']
)

{
  "connection": {
    "source": {
      "address": "10.0.0.1"
    }
  },
  "paResource": {
    "vcnOcid": "ocid1.vcn...a"
  }
}