Informazioni sui set di regole
È possibile utilizzare la suite di funzioni di CIS Ruleset Engine per creare e distribuire regole e ruleset in CIS con la stessa sintassi di base.
Funzioni principali
Le seguenti caratteristiche si applicano ai set di regole:
- Sintassi potente: le espressioni di regole utilizzano un potente linguaggio delle regole simile a
wirefilterche consente di creare regole complesse. - Valutazione delle regole ad alte prestazioni: ti consente di avere molte regole in CIS con un impatto minimo sulle prestazioni.
- Motore che alimenta CIS: CIS continuare a creare prodotti basati sul motore Ruleset, il che significa che è possibile utilizzare gli stessi metodi API per configurare prodotti diversi con le stesse possibilità di personalizzazione. Il Ruleset Engine supporta inoltre le diverse fasi del ciclo di vita delle richieste.
Fasi
Una fase definisce uno stadio della vita di una richiesta in cui è possibile eseguire i set di regole. Le fasi sono definite dall' CIS e e non possono essere modificate.
Le fasi sono presenti a livello dell'istanza e a livello della zona. Per la stessa fase, le regole definite a livello di istanza vengono valutate prima delle regole definite a livello di zona.
Ogni fase ha al massimo un set di regole di ingresso a livello di istanza e di zona.
Attualmente sono disponibili solo le fasi a livello di zona. Questa pagina viene aggiornata man mano che le fasi a livello di istanza e di zona diventano disponibili nelle release successive.
Elenco fasi
La tabella seguente elenca le fasi disponibili nelle API del Ruleset Engine; tali fasi vengono eseguite nell'ordine in cui compaiono nella tabella.
| Nome fase | Descrizione | Interfacce supportate |
|---|---|---|
http_config_settings |
Regole di configurazione | API |
http_request_origin |
Regole di origine | API |
ddos_l7 |
HTTP DDoS Regole di protezione dell'attacco | API |
http_request_firewall_custom |
Regole personalizzate | API, CLI, interfaccia utente |
http_ratelimit |
Regole di limitazione della velocità | API, CLI, interfaccia utente |
http_request_firewall_managed |
WAF (Web Application Firewall) | API, CLI, interfaccia utente |
Set di regole per i punti di ingresso
I set di regole dei punti di ingresso sono astratti quando si utilizza l'interfaccia utente CIS. Sono necessari per distribuire e sovrascrivere i set di regole quando si utilizzano API, CLI, SDK o Terraform.
Un set di regole entrypoint contiene un elenco di regole ordinate che vengono eseguite in una fase a livello di istanza o di zona. Questo set di regole è un punto di ingresso per tutte le regole che vengono eseguite in una fase. Alcune di queste regole potrebbero gestire altri set di regole.
Ogni fase ha al massimo un set di regole di ingresso a livello di istanza e di zona.
Il campo kind di un set di regole per gli entrypoint di fase ha uno dei seguenti valori:
root: Utilizzato per un set di regole di ingresso alla fase a livello di istanzazone: Utilizzato per un set di regole per i punti di ingresso di fase a livello di zona
Se durante il recupero di un set di regole dell'entrypoint viene restituito un codice di stato 404, è probabile che quella specifica fase del set di regole non esista. Crearlo utilizzando l'API aggiornata per l'entrypoint a livello di zona o di istanza. Quando si crea il set di regole, utilizzare la fase prevista e impostare il corpo della richiesta su { "rules": [] }.
Per istruzioni sulla distribuzione di set di regole che utilizzano set di regole entrypoint per le regole gestite del WAF, vedere Distribuzione di set di regole gestite. Per sapere come sovrascrivere i set di regole con i set di regole entrypoint, vedere Sovrascrittura dei set di regole gestiti.