Crear una regla personalizada en la consola

Siga estos pasos para crear una regla personalizada en la consola:

Las reglas personalizadas WAF se configuran utilizando la página de reglas Firewall existentes. Cualquier regla de firewall heredada que se haya creado previamente en su dominio se convierte automáticamente en reglas personalizadas de WAF.

1. En la consola CIS, vaya a Seguridad.

2. Selecciona la pestaña « Reglas personalizadas » y, a continuación, haz clic en « Crear ».

3. Introduzca una descripción opcional.

4. Opcionalmente, especifique una prioridad, si es necesario. Una prioridad cero equivale a una prioridad nula y se evalúa en último lugar.

5. Utilice el constructor de IU en la sección Solicitudes entrantes para añadir una condición. Para crear una expresión con varias condiciones, pulse cualquiera en una de las dos opciones siguientes:

   • Y- para evaluar las condiciones que utilizan y la lógica
   • O bien, para evaluar condiciones o grupos de condiciones precedidas de «y» que utilicen la lógica «o »

   Puede ver que a medida que se crea una condición, la vista previa muestra la expresión en texto sin formato.

   En la vista previa de la expresión, puede pulsar para editar la expresión manualmente en lugar de utilizar el Constructor de expresiones visuales, o ir cambiando del uno al otro. Sin embargo, según la complejidad de una expresión construida manualmente, puede que Visual Expression Builder no sea capaz de representarla.

6. Seleccione una acción en el menú de la lista Respuesta.

7. Para guardar la regla, elija la opción más adecuada pulsando:

   • Guarda como borrador para guardar tu regla, pero manténla desactivada.
   • Guardar y desplegar para guardar la regla y activarla.

Actualización de una regla personalizada en la consola

Siga estos pasos para actualizar una regla personalizada existente en la consola:

1. En la consola CIS, vaya a Seguridad.
2. Selecciona la pestaña « Reglas personalizadas ».
3. En la tabla «Reglas personalizadas», busca la regla que quieras modificar y, a continuación, haz clic en el menú «Acciones» situado a la derecha de la fila.
4. Seleccione Editar.
5. Realice los cambios que desee en la regla.
6. Para guardar la regla, elija la opción más adecuada pulsando:
   • Guarda como borrador para guardar tu regla, pero manténla desactivada.
   • Guardar y desplegar para guardar la regla y activarla.

Para poner en pausa o activar cualquier regla de la lista de reglas existentes, pulse en el conmutador Habilitado.

Eliminar una regla personalizada en la consola

Siga estos pasos para eliminar una regla personalizada existente en la consola:

1. En la consola CIS, vaya a Seguridad.
2. En la tabla «Reglas personalizadas», busca la regla que deseas eliminar y haz clic en el menú «Acciones» situado a la derecha de la fila.
3. Selecciona « Eliminar » en el menú de acciones.
4. Haga clic en Eliminar regla personalizada WAF para eliminar la regla.

Creación de una regla personalizada desde la CLI

Para crear una regla personalizada desde la CLI, siga estos pasos:

1. Configure el entorno de la CLI.

2. Inicia sesión en tu cuenta desde la CLI. Una vez introducida la contraseña, el sistema te pedirá que selecciones la cuenta y la región que deseas utilizar:

   ibmcloud login --sso
   

3. Ejecuta el siguiente comando para crear una regla personalizada:

   ibmcloud cis custom-waf rule-create DNS_DOMAIN_ID --match EXPRESSION --action ACTION [--description DESCRIPTION] [--enabled true|false] [-i, --instance INSTANCE] [--output FORMAT]
   

   También puede crear una regla personalizada proporcionando un archivo JSON o una cadena JSON directamente:

   ibmcloud cis custom-waf rule-create DNS_DOMAIN_ID (--json @JSON_FILE | JSON_STRING) [-i, --instance INSTANCE] [--output FORMAT]
   

         {
           "description": "test-custom-rule",
           "expression": "(http.cookie contains \"test\")",
           "action": "skip",
           "logging": {
                   "enabled": true
               },
           "action_parameters": {
             "ruleset": "current",
               "phases": [
                       "http_ratelimit",
                       "http_request_firewall_managed",
                       "http_request_sbfm"
                   ],
                   "products": [
                       "waf",
                       "rateLimit",
                       "securityLevel",
                       "hot",
                       "bic",
                       "uaBlock",
                       "zoneLockdown"
                   ]
           },
           "enabled": true
         }

Actualización de una regla personalizada desde la CLI

Ejecute el siguiente comando para actualizar una regla personalizada desde la CLI:

ibmcloud cis custom-waf rule-update DNS_DOMAIN_ID [--match EXPRESSION] [--action ACTION] [--description DESCRIPTION] [--enabled true|false] [-i, --instance INSTANCE] [--output FORMAT]

También puede actualizar una regla personalizada proporcionando un archivo JSON o una cadena JSON directamente:

ibmcloud cis custom-waf rule-update DNS_DOMAIN_ID (--json @JSON_FILE | JSON_STRING) [-i, --instance INSTANCE] [--output FORMAT]

         {
           "description": "test-custom-rule",
           "expression": "(http.cookie contains \"test\")",
           "action": "block",
           "action_parameters": {
             "response": {
             "status_code": 429,
             "content_type": "text/xml",
             "content": "reject"
             }
           },
           "enabled": true
         }

Eliminación de una regla personalizada desde la CLI

Ejecute el siguiente comando para eliminar una regla personalizada desde la CLI:

ibmcloud cis custom-waf rule-delete DNS_DOMAIN_ID RULE_ID [-f, --force] [-i, --instance INSTANCE] [--output FORMAT]

Ejemplos de mandato

• Para crear una regla personalizada:

ibmcloud cis custom-waf rule-create 601b728b86e630c744c81740f72570c3 --action challenge --description "rule 1" --enabled true --match "(http.host eq \"www.example.com\")"

• Para actualizar una regla personalizada:

ibmcloud cis custom-waf rule-update 601b728b86e630c744c81740f72570c3 4d37cb6f87654e96a18bc531628a4d27 --enabled true

• Para eliminar una regla personalizada:

ibmcloud cis custom-waf rule-delete 601b728b86e630c744c81740f72570c3 4d37cb6f87654e96a18bc531628a4d27

Obtener el punto de entrada de la regla personalizada para la API

Todas las operaciones de la API de reglas personalizadas requieren un RULESET_ID del conjunto de reglas de punto de entrada para la fase de reglas personalizadas.

Siga estos pasos para obtener el conjunto de reglas del punto de entrada de reglas personalizadas:

1. Configure el entorno de la API con las variables correctas.
2. Almacene los valores siguientes en variables que se utilizarán en el mandato de la API:

CRN: El nombre completo del recurso en la nube (CRN) codificado en URL de la instancia de servicio.

ZONE_ID: el ID de dominio.

1. Cuando se inician todas las variables, obtener el conjunto de reglas de punto de entrada:

   curl -X GET "https://api.cis.cloud.ibm.com/v1/$CRN/zones/$ZONE_ID/rulesets/phases/http_request_firewall_custom/entrypoint" \
   --header "X-Auth-User-Token: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json"
   

   El ID del conjunto de reglas se encuentra en la respuesta de la solicitud correcta. Si la llamada anterior devuelve una respuesta 404 No encontrado, utilice la siguiente API para crear el conjunto de reglas de punto de entrada para la fase de reglas personalizadas:

   curl -X POST https://api.cis.cloud.ibm.com/v1/$CRN/zones/$ZONE_ID/rulesets \
   --header "X-Auth-User-Token: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json" \
   --data '{
      "name": "Zone-level phase entry point",
      "kind": "zone",
      "description": "Custom rule entry point ruleset.",
      "phase": "http_request_firewall_custom"
   }'
   

Creación de una regla personalizada mediante la API

Siga estos pasos para crear una regla personalizada con la API:

1. Configure el entorno de la API con las variables correctas.
2. Almacene los valores siguientes en variables que se utilizarán en el mandato de la API:

CRN: El nombre completo del recurso en la nube (CRN) codificado en URL de la instancia de servicio.

ZONE_ID: el ID de dominio.

RULESET_ID: El ID del conjunto de reglas del punto de entrada de la regla personalizada.

1. Una vez inicializadas todas las variables, crea la regla personalizada:

   curl -X POST "https://api.cis.cloud.ibm.com/v1/$CRN/zones/$ZONE_ID/rulesets/$RULESET_ID/rules" \
   --header "X-Auth-User-Token: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json" \
   --data '{
     "description": "My custom rule with plain text response",
     "expression": "(ip.src.country eq \"GB\" or ip.src.country eq \"FR\") and cf.waf.score lt 20",
     "action": "block",
     "action_parameters": {
       "response": {
         "status_code": 403,
         "content": "Your request was blocked.",
         "content_type": "text/plain"
       }
     }
     }'
   

Actualizar una regla personalizada con la API

Siga estos pasos para actualizar una regla personalizada existente con la API:

1. Configure el entorno de la API con las variables correctas.
2. Almacene los valores siguientes en variables que se utilizarán en el mandato de la API:

CRN: El nombre completo del recurso en la nube (CRN) codificado en URL de la instancia de servicio.

ZONE_ID: el ID de dominio.

RULESET_ID: El ID del conjunto de reglas del punto de entrada de la regla personalizada.

RULE_ID: El ID de la regla personalizada que se va a modificar.

1. Una vez inicializadas todas las variables, actualiza la regla personalizada:

   curl -X PATCH "https://api.cis.cloud.ibm.com/v1/$CRN/zones/$ZONE_ID/rulesets/$RULESET_ID/rules/$RULE_ID" \
   --header "X-Auth-User-Token: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json" \
   --data '{
      "enabled": false,
      "description": "block GB and FR or based on IP Reputation (temporarily disabled)"
   }'
   

Eliminar una regla personalizada con la API

Siga estos pasos para eliminar una regla personalizada existente con la API:

1. Configure el entorno de la API con las variables correctas.
2. Almacene los valores siguientes en variables que se utilizarán en el mandato de la API:

CRN: El nombre completo del recurso en la nube (CRN) codificado en URL de la instancia de servicio.

ZONE_ID: el ID de dominio.

RULESET_ID: El ID del conjunto de reglas del punto de entrada de la regla personalizada.

RULE_ID: El ID de la regla personalizada que se va a modificar.

1. Cuando se hayan inicializado todas las variables, elimina la regla personalizada:

   curl -X DELETE "https://api.cis.cloud.ibm.com/v1/$CRN/zones/$ZONE_ID/rulesets/$RULESET_ID/rules/$RULE_ID" \
   --header "X-Auth-User-Token: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json"
   

Creación de una regla personalizada con Terraform

Para crear una regla personalizada, primero debe crear un punto de entrada y, a continuación, crear la regla personalizada. Para hacerlo, siga estos pasos:

1. Para crear un conjunto de reglas de punto de entrada, ejecute el siguiente comando :

   resource "ibm_cis_ruleset_entrypoint_version" "test" {
       cis_id    = "<cis-id>"
       domain_id = "<domain-id>"
       phase = "http_request_firewall_custom"
       rulesets {
         description = "Entry point ruleset for custom ruleset"
       }
       lifecycle {
         ignore_changes = [
           rulesets
         ]
     }
   }
   

2. Para crear una regla personalizada, ejecuta el siguiente comando :

      resource ibm_cis_ruleset_rule "config" {
         cis_id    = ibm_cis.instance.id
         domain_id = data.ibm_cis_domain.cis_domain.domain_id
         ruleset_id = resource.ibm_cis_ruleset_entrypoint_version.rulesets[0].ruleset_id
         rule {
           action =  "block"
           description = "var.description"
           expression = "true"
           enabled = "false"
           action_parameters {
             response {
               status_code = var.status_code
               content =  var.content
               content_type = "text/plain"
             }
           }
           position {
             index = var.index
             after = <id of any existing rule>
             before = <id of any existing rule>
           }
         }
       }
   

El siguiente ejemplo muestra cómo crear un punto de entrada y una regla personalizada WAF:

resource ibm_cis_ruleset_entrypoint_version test {
cis_id    = ibm_cis.instance.id
domain_id = data.ibm_cis_domain.cis_domain.domain_id
phase = "http_request_firewall_custom"
rulesets {
   description = "Entrypoint ruleset for custom ruleset"
   }
   lifecycle {
   ignore_changes = [
      rulesets
   ]
  }
}
data ibm_cis_ruleset_entrypoint_versions custom_rule_ep {
  cis_id    = ibm_cis.instance.id
  domain_id = data.ibm_cis_domain.cis_domain.domain_id
  phase = "http_request_firewall_custom"
  depends_on = [
  ibm_cis_ruleset_entrypoint_version.test
  ]
}
resource ibm_cis_ruleset_rule "custom_rule1" {
    cis_id    = ibm_cis.instance.id
    domain_id = data.ibm_cis_domain.cis_domain.domain_id
    ruleset_id = data.ibm_cis_ruleset_entrypoint_versions.custom_rule_ep.rulesets[0].ruleset_id
      rule {
        action =  "skip"
        description = "adding custom rule via terraform"
        expression = "true"
        enabled = "true"
        action_parameters{
          ruleset = "current"
          phases = ["http_ratelimit", "http_request_sbfm","http_request_firewall_managed"]
          products = ["zoneLockdown","uaBlock", "bic", "hot", "securityLevel", "rateLimit","waf"]
        }
      }
}
resource ibm_cis_ruleset_rule "custom_rule2" {
    cis_id    = ibm_cis.instance.id
    domain_id = data.ibm_cis_domain.cis_domain.domain_id
    ruleset_id = data.ibm_cis_ruleset_entrypoint_versions.custom_rule_ep.rulesets[0].ruleset_id
      rule {
        action =  "block"
        description = "adding custom rule via terraform2"
        expression = "(http.request.uri.path eq \"/path1\")"
        enabled = "false"
      }
}

Para obtener más información, consulte ibm_cis_ruleset_rule en el registro de Terraform.

Puede actualizar una regla personalizada con Terraform modificando el ejemplo anterior y ejecutando el comando terraform apply. Para eliminar la regla, basta con eliminar la configuración y ejecutar terraform apply.