Noções Básicas de Condições

Estrutura do Documento JSON de Entrada

Ao avaliar expressões JMESPath, o WAF fornece um documento JSON de entrada, que inclui os detalhes da solicitação HTTP ou resposta HTTP que acionou a avaliação. O documento JSON de entrada é sempre um objeto JSON.

Exemplo

Para uma solicitação HTTP com os seguintes detalhes:

• Endereço IP e porta de origem: 129.146.10.1:48152

• Código do país ao qual o endereço IP de origem pertence: EUA

• ASN ao qual o endereço IP de origem pertence: 31898

• Endereço IP e porta de destino: 205.147.88.0:80

• Host de destino: example.com

• Protocolo: HTTP/1.1

GET /test/path/img.jpg?param1=a&m2=b HTTP/1.1
Accept: */*
Accept-Encoding: gzip, deflate
Connection: keep-alive
Cookie: cookie1=A; cookie2=B; cookie3=3C; cookie3=3D
Host: example.com
User-Agent: HTTPie/2.4.0

O seguinte documento de entrada JSON é gerado e passado para expressões JMESPath:

{
  "connection": {
    "source": {
      "address": "129.146.10.1",
      "port": 49152,
      "geo": {
        "countryCode": "US"
      },
      "routing": {
        "asn": 31898
      }
    },
    "destination": {
      "address": "205.147.88.0",
      "port": 80
    },
    "protocol": "http"
  },
  "http": {
    "request": {
      "host": "www.example.com",
      "method": "GET",
      "version": "1.1",
      "url": {
        "path": "/test/path/img.jpg",
        "query": "param1=a&param2=b",
        "queryParameters": {
          "param1": ["a"],
          "param2": ["b"]
        },
        "queryPrefix": "?"
      },
      "headers": {
        "accept": ["*/*"],
        "accept-encoding": ["gzip, deflate"],
        "connection": ["keep-alive"],
        "cookie": [
          "cookie1=A; cookie2=B; cookie3=3C; cookie3=3D"
        ],
        "host": ["www.example.com"],
        "user-agent": ["HTTPie/2.4.0"]
      },
      "cookies": {
        "cookie1": ["A"],
        "cookie2": ["B"],
        "cookie3": ["3C", "3D"]
      }
    }
  }
}

Referência

{
  "param1": ["a"],
  "param2": ["b"],
  "param3": ["c"]
}

{
  "multi": ["one","two", "3"],
  "encoded key": ["two words"]
}

Accept: application/json, text/csv
Accept: */*
Accept-Encoding: gzip
Accept-Encoding: deflate
Connection: keep-alive
Content-Language: en, fr
Content-Type: application/json
Host: www.example.com
User-Agent: HTTPie/2.2.0

{
  "accept":           ["application/json, text/csv", "*/*"],
  "accept-encoding":  ["gzip", "deflate"],
  "connection":       ["keep-alive"],
  "content-language": ["en, fr"],
  "content-type":     ["application/json"],
  "host":             ["www.example.com"],
  "user-agent":       ["HTTPie/2.2.0"]
}
}

cookie1=A; cookie2=B; cookie3=3C; cookie3=3D

{
  "cookie1": ["A"],
  "cookie2": ["B"],
  "cookie3": ["3C", "3D"]
}

Cache-Control: no-cache
Cache-Control: must-revalidate
Connection: keep-alive
Content-Encoding: gzip
Content-Type: text/html;charset=UTF-8

{
  "cache-control":    ["no-cache", "must-revalidate"],
  "connection":       ["keep-alive"],
  "content-encoding": ["gzip"],
  "content-type":     ["text/html;charset=UTF-8"]
}

Correspondência de String sem Distinção entre Maiúsculas e Minúsculas

Além das funções de correspondência de string suportadas por padrão em JMESPath, o WAF inclui suporte para quatro funções que podem corresponder a strings sem distinção entre maiúsculas e minúsculas:

• i_equals (variante sem distinção entre maiúsculas e minúsculas do operador ==);
• i_contains (variante sem distinção entre maiúsculas e minúsculas da função contains);
• i_starts_with (variante sem distinção entre maiúsculas e minúsculas da função starts_with);
• i_ends_with (variante sem distinção entre maiúsculas e minúsculas da função ends_with).

i_equals

boolean i_equals(string $left, string $right)

i_contains

boolean i_contains(array|string $subject, any $search)

Se o $subject fornecido for uma string, esta função retornará verdadeiro se a string contiver o argumento $search fornecido, quando comparado sem distinção entre maiúsculas e minúsculas (as strings $left e $right são convertidas em minúsculas, somente caracteres alfabéticos da língua inglesa são convertidos em letras minúsculas). Caso contrário, esta função retornará falso.

Se $subject for um array, esta função retornará verdadeiro se pelo menos um dos elementos do array for igual ao valor $search fornecido, caso contrário, retornará falso.

Se $search for uma string - a comparação será feita usando a mesma lógica da função i_equals(): comparação sem distinção entre maiúsculas e minúsculas (o elemento de array de $subject individual e as strings $search serão convertidos em letras minúsculas, somente caracteres alfabéticos da língua inglesa serão convertidos em letras minúsculas).

Se $search não for uma string - a comparação será feita usando o operador == padrão.

i_starts_with

boolean i_starts_with(string $subject, string $prefix)

i_ends_with

boolean i_ends_with(string $subject, string $suffix)

Correspondência de Endereço IP

O WAF inclui suporte para várias funções que podem corresponder a um endereço IP em uma lista de intervalos de CIDR ou recursos da Lista de Endereços de Rede do WAF:

• address_in (corresponde a um endereço IP em uma lista de intervalos de CIDR);

• address_in_network_address_list (corresponde a um endereço IP em um recurso da Lista de Endereços de Rede do WAF);

• vcn_address_in_network_address_list (corresponde a um endereço IP com um ID de VCN em um recurso da Lista de Endereços de Rede do WAF).

address_in

boolean address_in(string $ip_address, array[string] $cidr_subnets)

Retorna verdadeiro se o $ip_address fornecido estiver contido em pelo menos uma das sub-redes de CIDR especificadas em $cidr_subnets. Caso contrário, retorna falso.

$ip_address deve ser uma string que contenha um endereço IP.

$cidr_subnets deve ser um array de strings que contenha uma sub-rede de CIDR cada.

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

address_in_network_address_list

boolean address_in_network_address_list(string $ip_address, array[string] $nal_ids)

$ip_address deve ser uma string que contenha um endereço IP.

Os argumentos $nal_id devem ser um array de strings, referenciando recursos NetworkAddressList do WAF por ID. Todas as NetworkAddressLists referenciadas devem ser do tipo "ADDRESSES".

Exemplo 1

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

{
  "connection": {
    "source": {
      "address": "1.1.1.1"
    }
  }
}

vcn_address_in_network_address_list

boolean vcn_address_in_network_address_list(string $ip_address, string $vcn_id, array[string] $nal_ids)

$ip_address deve ser uma string que contenha um endereço IP.

$vcn_id deve ser uma string que contenha um OCID de uma VCN.

$nal_ids deve ser um array de strings, fazendo referência aos recursos NetworkAddressList do WAF por ID. Todas as NetworkAddressLists referenciadas devem ser do tipo: "VCN_ADDRESSES".

{
  "connection": {
    "source": {
      "address": "10.0.0.1"
    }
  },
  "paResource": {
    "vcnOcid": "ocid1.vcn...a"
  }
}

vcn_address_in_network_address_list(
  connection.source.address,
  connection.paResource.vcnOcid,
  ['ocid1.webappfirewallnetworkaddresslist...a']
)

{
  "connection": {
    "source": {
      "address": "10.0.0.1"
    }
  },
  "paResource": {
    "vcnOcid": "ocid1.vcn...a"
  }
}