Acerca de los conjuntos de reglas
Puede utilizar el conjunto de funciones CIS Ruleset Engine para crear y desplegar reglas y conjuntos de reglas en CIS con la misma sintaxis básica.
Características principales
Las siguientes características se aplican a los conjuntos de reglas:
- Sintaxis potente: Las expresiones de regla utilizan un lenguaje de reglas potente similar a la sintaxis de
wirefilterque le permite crear reglas complejas. - Evaluación de reglas de alto rendimiento: le permite tener muchas reglas en CIS con un impacto mínimo en el rendimiento.
- Motor que impulsa CIS: CIS continúa creando productos sobre el motor de reglas, lo que significa que puede utilizar los mismos métodos de API para configurar diferentes productos con las mismas posibilidades de personalización. El motor Ruleset Engine también da soporte a las diferentes fases del ciclo de vida de las solicitudes.
Fases
Una fase define una etapa en la vida de una solicitud en la que se pueden ejecutar conjuntos de reglas. Las fases están definidas por CIS y no pueden modificarse.
Las fases existen en el nivel de instancia y en el nivel de zona. Para la misma fase, las reglas que se definen a nivel de instancia se evalúan antes que las reglas definidas a nivel de zona.
Cada fase tiene, como máximo, un conjunto de reglas de entrada a nivel de instancia y de zona.
Actualmente, sólo están disponibles las fases a nivel de zona. Esta página se actualiza a medida que las fases de nivel de instancia y zona están disponibles en versiones posteriores.
Lista de fases
En la siguiente tabla se enumeran las fases disponibles en las API del motor de conjuntos de reglas; estas fases se ejecutan en el orden en que aparecen en la tabla.
| Nombre de fase | Descripción | Interfaces soportadas |
|---|---|---|
http_config_settings |
Reglas de configuración | API |
http_request_origin |
Normas de origen | API |
ddos_l7 |
HTTP DDoS Normas de protección contra ataques | API |
http_request_firewall_custom |
Reglas personalizadas | API, CLI, interfaz de usuario |
http_ratelimit |
Normas de limitación de velocidad | API, CLI, interfaz de usuario |
http_request_firewall_managed |
Cortafuegos de aplicaciones web (WAF) | API, CLI, interfaz de usuario |
Conjunto de normas de punto de entrada
Cuando se utiliza la interfaz de usuario de CIS, las reglas de los puntos de entrada desaparecen. Son necesarios para desplegar y anular conjuntos de reglas cuando se utiliza la API, CLI, SDK o Terraform.
Un conjunto de reglas de entrada contiene una lista de reglas ordenadas que se ejecutan en una fase a nivel de instancia o zona. Este conjunto de reglas es un punto de entrada para todas las reglas que se ejecutan en una fase. Algunas de estas reglas pueden ejecutar otros conjuntos de reglas.
Cada fase tiene, como máximo, un conjunto de reglas de entrada a nivel de instancia y a nivel de zona.
El campo kind de un conjunto de reglas de entrada de fase tiene uno de los siguientes valores:
root: Utilizado para un conjunto de reglas de entrada de fase a nivel de instanciazone: Utilizado para un conjunto de reglas de punto de entrada de fase a nivel de zona
Si se devuelve un código de estado 404 al recuperar un conjunto de reglas de punto de entrada, es probable que esa fase concreta del conjunto de reglas no exista. Créelo utilizando la API actualizada para punto de entrada a nivel de zona o nivel de instancia punto de entrada. Cuando cree el conjunto de reglas, utilice la fase prevista y establezca el cuerpo de la solicitud en { "rules": [] }.
Para obtener instrucciones sobre el despliegue de conjuntos de reglas que utilizan conjuntos de reglas de punto de entrada para reglas gestionadas WAF, consulte Despliegue de conjuntos de reglas gestionados. Para saber cómo anular conjuntos de reglas con conjuntos de reglas de punto de entrada, consulte Anulación de conjuntos de reglas gestionados.