Création d'une règle personnalisée dans la console

Procédez comme suit pour créer une règle personnalisée dans la console :

Les règles personnalisées du WAF sont configurées à l'aide de la page Règles de pare-feu existantes. Toutes les anciennes règles de pare-feu créées précédemment sur votre domaine sont automatiquement converties en règles personnalisées WAF.

1. Dans la console CIS, naviguez jusqu'à l'onglet Sécurité.

2. Sélectionnez l'onglet « Règles personnalisées », puis cliquez sur « Créer ».

3. Saisissez une description facultative.

4. Entrez éventuellement une priorité, si nécessaire. Une priorité égale à zéro correspond à une priorité nulle et est évaluée en dernier.

5. Utilisez le générateur d'interface utilisateur dans la section Demandes entrantes pour ajouter une condition. Pour générer une expression avec plusieurs conditions, cliquez sur :

   • Et- pour évaluer les conditions qui utilisent et la logique
   • Ou- pour évaluer des conditions ou des groupes de conditions précédemment reliées par « et » qui utilisent la logique « ou »

   Vous pouvez voir que lorsque vous générez une condition, l'Aperçu de l'expression affiche l'expression en texte en clair.

   Dans l'Aperçu de l'expression, vous pouvez cliquer pour éditer manuellement votre expression au lieu d'utiliser le générateur d'expression visuelle ou basculer entre les deux. Toutefois, selon la complexité d'une expression construite manuellement, le générateur d'expression visuelle peut être incapable de l'afficher.

6. Sélectionnez une action dans la liste de menu Réponse.

7. Pour sauvegarder votre règle, choisissez l'option la plus appropriée en cliquant sur :

   • Cliquez sur « Enregistrer comme brouillon » pour enregistrer votre règle, tout en la laissant désactivée.
   • Enregistrer et déployer pour sauvegarder votre règle et l'activer.

Mise à jour d'une règle personnalisée dans la console

Procédez comme suit pour mettre à jour une règle personnalisée existante dans la console :

1. Dans la console CIS, naviguez jusqu'à l'onglet Sécurité.
2. Sélectionnez l'onglet « Règles personnalisées ».
3. Dans le tableau « Règles personnalisées », repérez la règle que vous souhaitez modifier, puis cliquez sur le menu « Actions » situé à droite de la ligne correspondante.
4. Sélectionnez Editer.
5. Modifiez la règle.
6. Pour sauvegarder votre règle, choisissez l'option la plus appropriée en cliquant sur :
   • Cliquez sur « Enregistrer comme brouillon » pour enregistrer votre règle, tout en la laissant désactivée.
   • Enregistrer et déployer pour sauvegarder votre règle et l'activer.

Pour mettre en pause ou activer une règle dans la liste des règles existantes, cliquez sur le bouton Activé.

Suppression d'une règle personnalisée dans la console

Procédez comme suit pour supprimer une règle personnalisée existante dans la console :

1. Dans la console CIS, naviguez jusqu'à l'onglet Sécurité.
2. Dans le tableau « Règles personnalisées », repérez la règle à supprimer, puis cliquez sur le menu « Actions » situé à droite de la ligne correspondante.
3. Sélectionnez « Supprimer » dans le menu des actions.
4. Cliquez sur Supprimer la règle personnalisée WAF pour supprimer la règle.

Création d'une règle personnalisée à partir de l'interface de ligne de commande

Pour créer une règle personnalisée à partir de l'interface de ligne de commande, procédez comme suit :

1. Configurez votre environnement d'interface de ligne de commande.

2. Connectez-vous à votre compte depuis l'interface de ligne de commande (CLI). Une fois le mot de passe saisi, le système vous invite à indiquer le compte et la région que vous souhaitez utiliser :

   ibmcloud login --sso
   

3. Exécutez la commande suivante pour créer une règle personnalisée :

   ibmcloud cis custom-waf rule-create DNS_DOMAIN_ID --match EXPRESSION --action ACTION [--description DESCRIPTION] [--enabled true|false] [-i, --instance INSTANCE] [--output FORMAT]
   

   Vous pouvez également créer une règle personnalisée en fournissant directement un fichier JSON ou une chaîne JSON :

   ibmcloud cis custom-waf rule-create DNS_DOMAIN_ID (--json @JSON_FILE | JSON_STRING) [-i, --instance INSTANCE] [--output FORMAT]
   

         {
           "description": "test-custom-rule",
           "expression": "(http.cookie contains \"test\")",
           "action": "skip",
           "logging": {
                   "enabled": true
               },
           "action_parameters": {
             "ruleset": "current",
               "phases": [
                       "http_ratelimit",
                       "http_request_firewall_managed",
                       "http_request_sbfm"
                   ],
                   "products": [
                       "waf",
                       "rateLimit",
                       "securityLevel",
                       "hot",
                       "bic",
                       "uaBlock",
                       "zoneLockdown"
                   ]
           },
           "enabled": true
         }

Mise à jour d'une règle personnalisée à partir de l'interface de gestion

Exécutez la commande suivante pour mettre à jour une règle personnalisée à partir de l'interface CLI :

ibmcloud cis custom-waf rule-update DNS_DOMAIN_ID [--match EXPRESSION] [--action ACTION] [--description DESCRIPTION] [--enabled true|false] [-i, --instance INSTANCE] [--output FORMAT]

Vous pouvez également mettre à jour une règle personnalisée en fournissant directement un fichier JSON ou une chaîne JSON :

ibmcloud cis custom-waf rule-update DNS_DOMAIN_ID (--json @JSON_FILE | JSON_STRING) [-i, --instance INSTANCE] [--output FORMAT]

         {
           "description": "test-custom-rule",
           "expression": "(http.cookie contains \"test\")",
           "action": "block",
           "action_parameters": {
             "response": {
             "status_code": 429,
             "content_type": "text/xml",
             "content": "reject"
             }
           },
           "enabled": true
         }

Suppression d'une règle personnalisée à partir de l'interface de gestion

Exécutez la commande suivante pour supprimer une règle personnalisée à partir de l'interface CLI :

ibmcloud cis custom-waf rule-delete DNS_DOMAIN_ID RULE_ID [-f, --force] [-i, --instance INSTANCE] [--output FORMAT]

Exemples de commande

• Pour créer une règle personnalisée :

ibmcloud cis custom-waf rule-create 601b728b86e630c744c81740f72570c3 --action challenge --description "rule 1" --enabled true --match "(http.host eq \"www.example.com\")"

• Pour mettre à jour une règle personnalisée :

ibmcloud cis custom-waf rule-update 601b728b86e630c744c81740f72570c3 4d37cb6f87654e96a18bc531628a4d27 --enabled true

• Pour supprimer une règle personnalisée :

ibmcloud cis custom-waf rule-delete 601b728b86e630c744c81740f72570c3 4d37cb6f87654e96a18bc531628a4d27

Obtenir le point d'entrée des règles personnalisées pour l'API

Toutes les opérations de l'API sur les règles personnalisées nécessitent une adresse RULESET_ID de l'ensemble de règles du point d'entrée pour la phase des règles personnalisées.

Procédez comme suit pour obtenir le jeu de règles du point d'entrée personnalisé :

1. Configurez l'environnement de votre API avec les variables appropriées.
2. Stockez les valeurs suivantes dans les variables destinées à être utilisées dans la commande d'API :

CRN: Le nom complet de la ressource cloud (CRN) de l'instance de service, codé sur URL.

ZONE_ID: L'ID de domaine.

1. Lorsque toutes les variables sont initiées, obtenir l'ensemble de règles du point d'entrée :

   curl -X GET "https://api.cis.cloud.ibm.com/v1/$CRN/zones/$ZONE_ID/rulesets/phases/http_request_firewall_custom/entrypoint" \
   --header "X-Auth-User-Token: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json"
   

   L'identifiant de l'ensemble de règles figure dans la réponse à la demande qui a abouti. Si l'appel précédent renvoie une réponse 404 Not Found, utilisez l'API suivante pour créer l'ensemble de règles du point d'entrée pour la phase de règles personnalisées :

   curl -X POST https://api.cis.cloud.ibm.com/v1/$CRN/zones/$ZONE_ID/rulesets \
   --header "X-Auth-User-Token: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json" \
   --data '{
      "name": "Zone-level phase entry point",
      "kind": "zone",
      "description": "Custom rule entry point ruleset.",
      "phase": "http_request_firewall_custom"
   }'
   

Création d'une règle personnalisée à l'aide de l'API

Procédez comme suit pour créer une règle personnalisée à l'aide de l'API :

1. Configurez l'environnement de votre API avec les variables appropriées.
2. Stockez les valeurs suivantes dans les variables destinées à être utilisées dans la commande d'API :

CRN: Le nom complet de la ressource cloud (CRN) de l'instance de service, codé sur URL.

ZONE_ID: L'ID de domaine.

RULESET_ID: L'ID de l'ensemble de règles personnalisées du point d'entrée.

1. Une fois toutes les variables initialisées, créez la règle personnalisée :

   curl -X POST "https://api.cis.cloud.ibm.com/v1/$CRN/zones/$ZONE_ID/rulesets/$RULESET_ID/rules" \
   --header "X-Auth-User-Token: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json" \
   --data '{
     "description": "My custom rule with plain text response",
     "expression": "(ip.src.country eq \"GB\" or ip.src.country eq \"FR\") and cf.waf.score lt 20",
     "action": "block",
     "action_parameters": {
       "response": {
         "status_code": 403,
         "content": "Your request was blocked.",
         "content_type": "text/plain"
       }
     }
     }'
   

Mise à jour d'une règle personnalisée avec l'API

Procédez comme suit pour mettre à jour une règle personnalisée existante à l'aide de l'API :

1. Configurez l'environnement de votre API avec les variables appropriées.
2. Stockez les valeurs suivantes dans les variables destinées à être utilisées dans la commande d'API :

CRN: Le nom complet de la ressource cloud (CRN) de l'instance de service, codé sur URL.

ZONE_ID: L'ID de domaine.

RULESET_ID: L'ID de l'ensemble de règles personnalisées du point d'entrée.

RULE_ID: L'ID de la règle personnalisée à modifier.

1. Une fois toutes les variables initialisées, mettez à jour la règle personnalisée :

   curl -X PATCH "https://api.cis.cloud.ibm.com/v1/$CRN/zones/$ZONE_ID/rulesets/$RULESET_ID/rules/$RULE_ID" \
   --header "X-Auth-User-Token: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json" \
   --data '{
      "enabled": false,
      "description": "block GB and FR or based on IP Reputation (temporarily disabled)"
   }'
   

Suppression d'une règle personnalisée avec l'API

Procédez comme suit pour supprimer une règle personnalisée existante à l'aide de l'API :

1. Configurez l'environnement de votre API avec les variables appropriées.
2. Stockez les valeurs suivantes dans les variables destinées à être utilisées dans la commande d'API :

CRN: Le nom complet de la ressource cloud (CRN) de l'instance de service, codé sur URL.

ZONE_ID: L'ID de domaine.

RULESET_ID: L'ID de l'ensemble de règles personnalisées du point d'entrée.

RULE_ID: L'ID de la règle personnalisée à modifier.

1. Une fois toutes les variables initialisées, supprimez la règle personnalisée :

   curl -X DELETE "https://api.cis.cloud.ibm.com/v1/$CRN/zones/$ZONE_ID/rulesets/$RULESET_ID/rules/$RULE_ID" \
   --header "X-Auth-User-Token: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json"
   

Créer une règle personnalisée avec Terraform

Pour créer une règle personnalisée, vous devez d'abord créer un point d'entrée, puis créer la règle personnalisée. Pour ce faire, procédez comme suit :

1. Pour créer un jeu de règles de point d'entrée, exécutez la commande suivante :

   resource "ibm_cis_ruleset_entrypoint_version" "test" {
       cis_id    = "<cis-id>"
       domain_id = "<domain-id>"
       phase = "http_request_firewall_custom"
       rulesets {
         description = "Entry point ruleset for custom ruleset"
       }
       lifecycle {
         ignore_changes = [
           rulesets
         ]
     }
   }
   

2. Pour créer une règle personnalisée, exécutez la commande suivante :

      resource ibm_cis_ruleset_rule "config" {
         cis_id    = ibm_cis.instance.id
         domain_id = data.ibm_cis_domain.cis_domain.domain_id
         ruleset_id = resource.ibm_cis_ruleset_entrypoint_version.rulesets[0].ruleset_id
         rule {
           action =  "block"
           description = "var.description"
           expression = "true"
           enabled = "false"
           action_parameters {
             response {
               status_code = var.status_code
               content =  var.content
               content_type = "text/plain"
             }
           }
           position {
             index = var.index
             after = <id of any existing rule>
             before = <id of any existing rule>
           }
         }
       }
   

L'exemple suivant montre comment créer un point d'entrée et une règle personnalisée WAF :

resource ibm_cis_ruleset_entrypoint_version test {
cis_id    = ibm_cis.instance.id
domain_id = data.ibm_cis_domain.cis_domain.domain_id
phase = "http_request_firewall_custom"
rulesets {
   description = "Entrypoint ruleset for custom ruleset"
   }
   lifecycle {
   ignore_changes = [
      rulesets
   ]
  }
}
data ibm_cis_ruleset_entrypoint_versions custom_rule_ep {
  cis_id    = ibm_cis.instance.id
  domain_id = data.ibm_cis_domain.cis_domain.domain_id
  phase = "http_request_firewall_custom"
  depends_on = [
  ibm_cis_ruleset_entrypoint_version.test
  ]
}
resource ibm_cis_ruleset_rule "custom_rule1" {
    cis_id    = ibm_cis.instance.id
    domain_id = data.ibm_cis_domain.cis_domain.domain_id
    ruleset_id = data.ibm_cis_ruleset_entrypoint_versions.custom_rule_ep.rulesets[0].ruleset_id
      rule {
        action =  "skip"
        description = "adding custom rule via terraform"
        expression = "true"
        enabled = "true"
        action_parameters{
          ruleset = "current"
          phases = ["http_ratelimit", "http_request_sbfm","http_request_firewall_managed"]
          products = ["zoneLockdown","uaBlock", "bic", "hot", "securityLevel", "rateLimit","waf"]
        }
      }
}
resource ibm_cis_ruleset_rule "custom_rule2" {
    cis_id    = ibm_cis.instance.id
    domain_id = data.ibm_cis_domain.cis_domain.domain_id
    ruleset_id = data.ibm_cis_ruleset_entrypoint_versions.custom_rule_ep.rulesets[0].ruleset_id
      rule {
        action =  "block"
        description = "adding custom rule via terraform2"
        expression = "(http.request.uri.path eq \"/path1\")"
        enabled = "false"
      }
}

Pour plus d'informations, voir ibm_cis_ruleset_rule dans le registre Terraform.

Vous pouvez mettre à jour une règle personnalisée avec Terraform en modifiant l'exemple précédent et en exécutant la commande terraform apply. Pour supprimer la règle, il suffit de supprimer la configuration et d'exécuter terraform apply.