例外是一种调整 WAF 策略以与应用程序一起使用的常见方法。以下部分列出了创建例外的常见用例。此外,还介绍了如何配置例外、建议的工作流,以及可作为其中一部分配置的匹配元素和 XML 例外。
这些例外在应用程序的常规流量与特定 WAF 规则匹配时创建。以下是创建例外的一些其他原因:
缓解误报。
应用程序传输的数据可能看起来像攻击。例如,在查询参数中传输 HTML 内容。
应用程序具有在 WAF 策略中不允许的特殊要求。例如,使用应用程序 IP 地址访问应用程序。
您可以使用 NSX Advanced Load Balancer 建议系统创建例外或手动添加例外。有关更多信息,请参阅访问建议。
要手动定义例外,请执行以下操作。
单击 +添加例外以手动配置例外。
为 IP 地址或子网、路径或任何匹配元素配置例外。例如,
Subnet- 10.0.0.0/8, Path- /application , Match Element - REQUEST_BODY
根据需要,为路径和匹配元素配置以下选项:
区分大小写 - 字符的大小写必须匹配。
正则表达式匹配 - 字符串模式必须匹配。
可以在 CRS 组级别或规则级别创建例外。
配置了例外“路径 - /application
”的规则如下所示:
![](images/GUID-BE480668-BE61-4572-A293-4A216437A14D-low.png)
支持的匹配元素
可以为以下匹配元素创建例外:
ARGS、ARGS_GET、ARGS_POST、ARGS_NAMES、FILESQUERY_STRING、REQUEST_BASENAME、REQUEST_BODY、REQUEST_URI、REQUEST_URI_RAW、REQUEST_COOKIES、REQUEST_HEADERS、RESPONSE_HEADERS、XML。
例如,如果在 WAF 规则级别创建 ARGS:password 例外,这意味着该规则不会检查 password HTTP 参数(在 URL 或请求正文中发送 - 以 JSON、XML 或 HTML 形式)。该规则将继续检查 HTTP 请求中未指定为例外的其他部分。