Über Regelsätze

Sie können die CIS Ruleset Engine verwenden, um Regeln und Regelsätze in CIS mit der gleichen grundlegenden Syntax zu erstellen und bereitzustellen.

Hauptfunktionen

Die folgenden Funktionen gelten für Regelsätze:

  • Leistungsfähige Syntax: Regelausdrücke verwenden eine leistungsfähige Regelsprache ähnlich der wirefilter-Syntax, mit der Sie komplexe Regeln erstellen können.
  • Hochleistungs-Regelauswertung: Ermöglicht Ihnen, viele Regeln in CIS mit minimalen Auswirkungen auf die Leistung zu haben.
  • Engine, die CIS antreibt: CIS baut weiterhin Produkte auf der Ruleset Engine auf, was bedeutet, dass Sie dieselben API-Methoden für die Konfiguration verschiedener Produkte mit denselben Anpassungsmöglichkeiten verwenden können. Die Ruleset Engine unterstützt zudem die verschiedenen Phasen des Anforderungslebenszyklus.

Phasen

Eine Phase definiert einen Abschnitt im Leben einer Anfrage, in dem Sie Regelsätze ausführen können. Die Phasen werden von CIS festgelegt und können nicht geändert werden.

Phasen existieren auf Instanzebene und auf Zonenebene. Für dieselbe Phase werden Regeln, die auf Instanzebene definiert sind, vor den Regeln ausgewertet, die auf Zonenebene definiert sind.

Jede Phase hat höchstens einen Eingangspunkt-Regelsatz auf der Ebene der Instanz und der Zone.

Derzeit sind nur Phasen auf Zonenebene verfügbar. Diese Seite wird aktualisiert, sobald Phasen auf Instanz- und Zonenebene in späteren Versionen verfügbar werden.

Phasenliste

In der folgenden Tabelle sind die Phasen aufgeführt, die in den APIs der Ruleset Engine verfügbar sind. Die Phasen werden in der Reihenfolge ausgeführt, in der sie in der Tabelle aufgeführt sind.

Verfügbare Phasen
Phasenname Beschreibung Unterstützte Schnittstellen
http_config_settings Konfigurationsregeln API
http_request_origin Ursprungsregeln API
ddos_l7 HTTP DDoS Regeln zum Schutz vor Angriffen API
http_request_firewall_custom Angepasste Regeln API, CLI, Benutzeroberfläche
http_ratelimit Regeln zur Ratenbegrenzung API, CLI, Benutzeroberfläche
http_request_firewall_managed Web Application Firewall (WAF) API, CLI, Benutzeroberfläche

Eingangspunkt-Regelsatz

Wenn Sie die Benutzeroberfläche CIS verwenden, werden die Einstiegsregelsätze abstrahiert. Sie werden benötigt, um Regelsätze bereitzustellen und außer Kraft zu setzen, wenn Sie die API, CLI, SDK oder Terraform verwenden.

Ein Einstiegsregelsatz enthält eine Liste von geordneten Regeln, die in einer Phase auf Instanz- oder Zonenebene ablaufen. Dieser Regelsatz ist ein Einstiegspunkt für alle Regeln, die in einer Phase ablaufen. Einige dieser Regeln könnten andere Regelsätze ausführen.

Jede Phase hat höchstens einen Eingangspunkt-Regelsatz auf Instanz- und Zonenebene.

Das Feld kind eines Phaseneinstiegsregelsatzes hat einen der folgenden Werte:

  • root: Verwendet für einen Phaseneingangspunkt-Regelsatz auf Instanzebene
  • zone: Wird für einen Phaseneingangspunkt-Regelsatz auf Zonenebene verwendet

Wenn beim Abrufen eines Eintrittspunkt-Regelsatzes ein 404-Statuscode zurückgegeben wird, existiert die betreffende Regelsatzphase wahrscheinlich nicht. Erstellen Sie ihn mit Hilfe der aktualisierten API für den Einstiegspunkt auf Zonen- oder Instanzebene. Wenn Sie den Regelsatz erstellen, verwenden Sie die vorgesehene Phase und setzen Sie den Anfragekörper auf { "rules": [] }.

Anweisungen zur Bereitstellung von Regelsätzen, die Einstiegsregelsätze für verwaltete WAF-Regeln verwenden, finden Sie unter Bereitstellen von verwalteten Regelsätzen. Wie Sie Regelsätze mit Einstiegsregelsätzen außer Kraft setzen können, erfahren Sie unter Außerkraftsetzen von verwalteten Regelsätzen.