Présentation des conditions

Structure du document JSON d'entrée

Lors de l'évaluation des expressions JMESPath, le service WAF fournit un document JSON d'entrée, qui inclut les détails de la demande HTTP ou de la réponse HTTP qui a déclenché l'évaluation. Le document JSON d'entrée est toujours un objet JSON.

Exemple

Pour une demande HTTP avec les détails suivants :

• Adresse IP et port sources : 129.146.10.1:48152

• Code de pays auquel appartient l'adresse IP source : États-Unis

• Numéro de système autonome auquel appartient l'adresse IP source : 31898

• Adresse IP et port de destination : 205.147.88.0:80

• Hôte de destination : example.com

• Protocole : HTTP/1.1

GET /test/path/img.jpg?param1=a&m2=b HTTP/1.1
Accept: */*
Accept-Encoding: gzip, deflate
Connection: keep-alive
Cookie: cookie1=A; cookie2=B; cookie3=3C; cookie3=3D
Host: example.com
User-Agent: HTTPie/2.4.0

Le document d'entrée JSON suivant est généré et transmis aux expressions JMESPath :

{
  "connection": {
    "source": {
      "address": "129.146.10.1",
      "port": 49152,
      "geo": {
        "countryCode": "US"
      },
      "routing": {
        "asn": 31898
      }
    },
    "destination": {
      "address": "205.147.88.0",
      "port": 80
    },
    "protocol": "http"
  },
  "http": {
    "request": {
      "host": "www.example.com",
      "method": "GET",
      "version": "1.1",
      "url": {
        "path": "/test/path/img.jpg",
        "query": "param1=a&param2=b",
        "queryParameters": {
          "param1": ["a"],
          "param2": ["b"]
        },
        "queryPrefix": "?"
      },
      "headers": {
        "accept": ["*/*"],
        "accept-encoding": ["gzip, deflate"],
        "connection": ["keep-alive"],
        "cookie": [
          "cookie1=A; cookie2=B; cookie3=3C; cookie3=3D"
        ],
        "host": ["www.example.com"],
        "user-agent": ["HTTPie/2.4.0"]
      },
      "cookies": {
        "cookie1": ["A"],
        "cookie2": ["B"],
        "cookie3": ["3C", "3D"]
      }
    }
  }
}

Informations de référence

{
  "param1": ["a"],
  "param2": ["b"],
  "param3": ["c"]
}

{
  "multi": ["one","two", "3"],
  "encoded key": ["two words"]
}

Accept: application/json, text/csv
Accept: */*
Accept-Encoding: gzip
Accept-Encoding: deflate
Connection: keep-alive
Content-Language: en, fr
Content-Type: application/json
Host: www.example.com
User-Agent: HTTPie/2.2.0

{
  "accept":           ["application/json, text/csv", "*/*"],
  "accept-encoding":  ["gzip", "deflate"],
  "connection":       ["keep-alive"],
  "content-language": ["en, fr"],
  "content-type":     ["application/json"],
  "host":             ["www.example.com"],
  "user-agent":       ["HTTPie/2.2.0"]
}
}

cookie1=A; cookie2=B; cookie3=3C; cookie3=3D

{
  "cookie1": ["A"],
  "cookie2": ["B"],
  "cookie3": ["3C", "3D"]
}

Cache-Control: no-cache
Cache-Control: must-revalidate
Connection: keep-alive
Content-Encoding: gzip
Content-Type: text/html;charset=UTF-8

{
  "cache-control":    ["no-cache", "must-revalidate"],
  "connection":       ["keep-alive"],
  "content-encoding": ["gzip"],
  "content-type":     ["text/html;charset=UTF-8"]
}

Correspondance de chaînes non sensible à la casse

En plus des fonctions de mise en correspondance de chaînes prises en charge par défaut dans JMESPath, le service WAF ajoute la prise en charge de quatre fonctions permettant la mise en correspondance de chaînes sans tenir compte de leur casse :

• i_equals (variante non sensible à la casse de l'opérateur ==)
• i_contains (variante non sensible à la casse de la fonction contains)
• i_starts_with (variante non sensible à la casse de la fonction starts_with)
• i_ends_with (variante non sensible à la casse de la fonction ends_with)

i_equals

boolean i_equals(string $left, string $right)

i_contains

boolean i_contains(array|string $subject, any $search)

Si l'élément $subject fourni est une chaîne, cette fonction retourne la valeur true si la chaîne contient l'argument $search fourni, lorsqu'elle est comparée sans tenir compte de la casse (les chaînes $left et $right sont converties en minuscules, seules les lettres anglaises sont converties en minuscules). Sinon, cette fonction retourne la valeur false.

Si $subject est un tableau, cette fonction retourne la valeur true si au moins un des éléments du tableau est égal à la valeur $search fournie, sinon elle retourne la valeur false.

Si $search est une chaîne, la comparaison est effectuée selon la même logique que celle de la fonction i_equals() : comparaison non sensible à la casse (l'élément de tableau $subject individuel et les chaînes $search sont convertis en minuscules, seules les lettres anglaises sont converties en minuscules).

Si $search n'est pas une chaîne, la comparaison est effectuée à l'aide de l'opérateur == standard.

i_starts_with

boolean i_starts_with(string $subject, string $prefix)

i_ends_with

boolean i_ends_with(string $subject, string $suffix)

Correspondance d'adresse IP

Le service WAF ajoute la prise en charge de plusieurs fonctions permettant la mise en correspondance d'une adresse IP avec une liste d'intervalles de blocs CIDR ou de ressources de liste d'adresses réseau WAF :

• address_in (met en correspondance une adresse IP avec une liste d'intervalles de blocs CIDR)

• address_in_network_address_list (met en correspondance une adresse IP avec une ressource de liste d'adresses réseau WAF)

• vcn_address_in_network_address_list (met en correspondance une adresse IP dotée d'un ID VCN avec une ressource de liste d'adresses réseau WAF)

address_in

boolean address_in(string $ip_address, array[string] $cidr_subnets)

Retourne la valeur true si la valeur $ip_address indiquée figure dans au moins un des sous-réseaux CIDR spécifiés dans $cidr_subnets. Sinon, retourne la valeur false.

$ip_address doit être une chaîne contenant une adresse IP.

$cidr_subnets doit être un tableau de chaînes contenant chacune un sous-réseau CIDR.

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

address_in_network_address_list

boolean address_in_network_address_list(string $ip_address, array[string] $nal_ids)

$ip_address doit être une chaîne contenant une adresse IP.

Les arguments $nal_id doivent être un tableau de chaînes, référençant les ressources NetworkAddressList WAF par ID. Toutes les valeurs NetworkAddressLists référencées doivent être de type "ADDRESSES".

Exemple 1

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

vcn_address_in_network_address_list

boolean vcn_address_in_network_address_list(string $ip_address, string $vcn_id, array[string] $nal_ids)

$ip_address doit être une chaîne contenant une adresse IP.

$vcn_id doit être une chaîne contenant l'OCID d'un VCN.

Les arguments $nal_id doivent être un tableau de chaînes, référençant les ressources NetworkAddressList WAF par ID. Toutes les valeurs NetworkAddressLists référencées doivent être de type "VCN_ADDRESSES".

{
  "connection": {
    "source": {
      "address": "10.0.0.1"
    }
  },
  "paResource": {
    "vcnOcid": "ocid1.vcn...a"
  }
}

vcn_address_in_network_address_list(
  connection.source.address,
  connection.paResource.vcnOcid,
  ['ocid1.webappfirewallnetworkaddresslist...a']
)

{
  "connection": {
    "source": {
      "address": "10.0.0.1"
    }
  },
  "paResource": {
    "vcnOcid": "ocid1.vcn...a"
  }
}