Présentation des conditions

Structure de document JSON d'entrée

Lors de l'évaluation des expressions JMESPath, WAF fournit un document JSON d'entrée, qui inclut les détails de la demande ou de la réponse HTTP ayant déclenché l'évaluation. Le document JSON d'entrée est toujours un objet JSON.

Exemple

Pour une demande HTTP avec les détails suivants :

• Adresse IP et port source : 129.146.10.1:48152

• Indicatif du pays auquel appartient l'adresse IP source : US

• Numéro ASN auquel appartient l'adresse IP source : 31898

• Adresse IP et port de destination : 205.147.88.0:80

• Hôte de destination : example.com

• Protocole : HTTP/1.1

GET /test/path/img.jpg?param1=a&m2=b HTTP/1.1
Accept: */*
Accept-Encoding: gzip, deflate
Connection: keep-alive
Cookie: cookie1=A; cookie2=B; cookie3=3C; cookie3=3D
Host: example.com
User-Agent: HTTPie/2.4.0

Le document d'entrée JSON suivant est généré et transmis aux expressions JMESPath :

{
  "connection": {
    "source": {
      "address": "129.146.10.1",
      "port": 49152,
      "geo": {
        "countryCode": "US"
      },
      "routing": {
        "asn": 31898
      }
    },
    "destination": {
      "address": "205.147.88.0",
      "port": 80
    },
    "protocol": "http"
  },
  "http": {
    "request": {
      "host": "www.example.com",
      "method": "GET",
      "version": "1.1",
      "url": {
        "path": "/test/path/img.jpg",
        "query": "param1=a&param2=b",
        "queryParameters": {
          "param1": ["a"],
          "param2": ["b"]
        },
        "queryPrefix": "?"
      },
      "headers": {
        "accept": ["*/*"],
        "accept-encoding": ["gzip, deflate"],
        "connection": ["keep-alive"],
        "cookie": [
          "cookie1=A; cookie2=B; cookie3=3C; cookie3=3D"
        ],
        "host": ["www.example.com"],
        "user-agent": ["HTTPie/2.4.0"]
      },
      "cookies": {
        "cookie1": ["A"],
        "cookie2": ["B"],
        "cookie3": ["3C", "3D"]
      }
    }
  }
}

Référencer

{
  "param1": ["a"],
  "param2": ["b"],
  "param3": ["c"]
}

{
  "multi": ["one","two", "3"],
  "encoded key": ["two words"]
}

Accept: application/json, text/csv
Accept: */*
Accept-Encoding: gzip
Accept-Encoding: deflate
Connection: keep-alive
Content-Language: en, fr
Content-Type: application/json
Host: www.example.com
User-Agent: HTTPie/2.2.0

{
  "accept":           ["application/json, text/csv", "*/*"],
  "accept-encoding":  ["gzip", "deflate"],
  "connection":       ["keep-alive"],
  "content-language": ["en, fr"],
  "content-type":     ["application/json"],
  "host":             ["www.example.com"],
  "user-agent":       ["HTTPie/2.2.0"]
}
}

cookie1=A; cookie2=B; cookie3=3C; cookie3=3D

{
  "cookie1": ["A"],
  "cookie2": ["B"],
  "cookie3": ["3C", "3D"]
}

Cache-Control: no-cache
Cache-Control: must-revalidate
Connection: keep-alive
Content-Encoding: gzip
Content-Type: text/html;charset=UTF-8

{
  "cache-control":    ["no-cache", "must-revalidate"],
  "connection":       ["keep-alive"],
  "content-encoding": ["gzip"],
  "content-type":     ["text/html;charset=UTF-8"]
}

Mise en correspondance de chaînes sans respect des majuscules/minuscules

WAF ajoute aux fonctions de mise en correspondance de chaînes prises en charge par défaut dans JMESPath la prise en charge de quatre fonctions qui peuvent mettre en correspondance les chaînes sans respect des majuscules/minuscules :

• i_equals (variante sans respect des majuscules/minuscules de l'opérateur ==) ;
• i_contains (variante sans respect des majuscules/minuscules de la fonction contains) ;
• i_starts_with (variante sans respect des majuscules/minuscules de la fonction starts_with) ;
• i_ends_with (variante sans respect des majuscules/minuscules de la fonction ends_with).

i_equals

boolean i_equals(string $left, string $right)

i_contains

boolean i_contains(array|string $subject, any $search)

Si la valeur $subject fournie est une chaîne, cette fonction renvoie True si la chaîne contient l'argument $search fourni, en cas de comparaison sans respect des majuscules/minuscules (les chaînes $left et $right sont converties en minuscules, seules les lettres de l'alphabet latin sont converties en minuscules). Sinon, cette fonction renvoie la valeur False.

Si $subject est un tableau, cette fonction renvoie True si au moins l'un des éléments du tableau est identique à la valeur $search fournie, sinon elle renvoie False.

Si $search est une chaîne, la comparaison est effectuée à l'aide de la même logique que dans la fonction i_equals() : comparaison sans respect des majuscules/minuscules (l'élément de tableau $subject individuel et les chaînes $search sont convertis en minuscules, seules les lettres de l'alphabet latin sont converties en minuscules).

Si $search n'est pas une chaîne, la comparaison est effectuée à l'aide de l'opérateur == standard.

i_starts_with

boolean i_starts_with(string $subject, string $prefix)

i_ends_with

boolean i_ends_with(string $subject, string $suffix)

Mise en correspondance d'adresse IP

WAF ajoute la prise en charge de plusieurs fonctions pouvant mettre en correspondance une adresse IP avec une liste de plages CIDR ou des ressources de liste d'adresses réseau WAF :

• address_in (met une adresse IP en correspondance avec une liste de plages CIDR) ;

• address_in_network_address_list (met une adresse IP en correspondance avec une ressource de liste d'adresses réseau WAF) ;

• vcn_address_in_network_address_list (met une adresse IP avec un ID de réseau cloud virtuel en correspondance avec une ressource de liste d'adresses réseau WAF).

address_in

boolean address_in(string $ip_address, array[string] $cidr_subnets)

Renvoie True si la valeur $ip_address indiquée est contenue dans au moins l'un des sous-réseaux CIDR indiqués dans $cidr_subnets. Sinon, renvoie la valeur False.

$ip_address doit être une chaîne contenant une adresse IP.

$cidr_subnets doit être un tableau de chaînes contenant chacune un sous-réseau CIDR.

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

address_in_network_address_list

boolean address_in_network_address_list(string $ip_address, array[string] $nal_ids)

$ip_address doit être une chaîne contenant une adresse IP.

Les arguments $nal_id doivent être un tableau de chaînes référençant les ressources WAF NetworkAddressList par ID. Toutes les valeurs NetworkAddressList référencées doivent être de type : "ADDRESSES".

Exemple 1

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

vcn_address_in_network_address_list

boolean vcn_address_in_network_address_list(string $ip_address, string $vcn_id, array[string] $nal_ids)

$ip_address doit être une chaîne contenant une adresse IP.

$vcn_id doit être une chaîne contenant l'OCID d'un réseau cloud virtuel.

$nal_ids doit être un tableau de chaînes référençant les ressources WAF NetworkAddressList par ID. Toutes les valeurs NetworkAddressList référencées doivent être de type : "VCN_ADDRESSES".

{
  "connection": {
    "source": {
      "address": "10.0.0.1"
    }
  },
  "paResource": {
    "vcnOcid": "ocid1.vcn...a"
  }
}

vcn_address_in_network_address_list(
  connection.source.address,
  connection.paResource.vcnOcid,
  ['ocid1.webappfirewallnetworkaddresslist...a']
)

{
  "connection": {
    "source": {
      "address": "10.0.0.1"
    }
  },
  "paResource": {
    "vcnOcid": "ocid1.vcn...a"
  }
}