預先設定的網路應用程式防火牆規則總覽

Google Cloud Armor 預先設定的 WAF 規則是複雜的網頁應用程式防火牆 (WAF) 規則，包含數十個依開放原始碼業界標準編譯的簽章。每個簽章都對應到規則集中的攻擊偵測規則。Google 依現狀提供這些規則。Cloud Armor 可透過這些規則，參照命名方便的規則來評估數十種不同的流量特徵，而不必手動定義每個特徵。

您可以調整 Cloud Armor 預先設定的 WAF 規則，以符合需求。如要進一步瞭解如何調整規則，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

下表列出可在 Cloud Armor 安全性政策中使用的預先設定 WAF 規則。這些規則是以 OWASP ModSecurity 核心規則集 (CRS) 為基礎，例如 OWASP 核心規則集 4.22。建議使用 4.22 版，以最新防護機制抵禦現代威脅。雖然我們仍支援 CRS 3.3 和 3.0，但如果工作負載允許使用 4.22 版，建議您避免使用舊版，尤其是 CRS 3.0 版。

此外，所有 Cloud Armor 客戶都能使用下列 cve-canary 規則，偵測並視需要封鎖下列安全漏洞：

• CVE-2021-44228 和 CVE-2021-45046 Log4j RCE 安全漏洞
• 942550-sqli JSON 格式內容安全漏洞
• google-mrs-v202512-id000001-rce和google-mrs-v202512-id000002-rce React RCE 安全漏洞

最佳做法

如要充分運用預先設定的 WAF 規則，建議您採用下列最佳做法：

• 調整和敏感度：在預覽模式中，先從敏感度等級 1 開始，瞭解規則對應用程式的影響。詳情請參閱「選擇預先設定的 WAF 規則敏感度層級」。
• 要求主體檢查限制：依據需求設定檢查限制。Cloud Armor 預先設定的 WAF 規則最多可檢查 64 kB 的要求主體。詳情請參閱「更新預先設定 WAF 規則的檢查限制」。
• 初期測試版和穩定版規則集：在預先發布版模式中，以較高優先順序維護初期測試版規則集，並在強制執行模式中，以較低優先順序保留穩定版規則集。這種做法可讓您先驗證規則變更，再套用至實際工作環境流量。

如需完整的建議清單，請參閱「Cloud Armor 最佳做法」。

預先設定的 OWASP 規則

每項預先設定的 WAF 規則都有一個敏感度等級，對應至 OWASP CRS 偏執等級。敏感度等級越低，表示可信度特徵越高，產生偽陽性的可能性越低。敏感度等級越高，安全性就越高，但產生偽陽性的風險也越高。Cloud Armor 預設會以敏感度等級 4 執行，並在啟用後評估規則集中的所有簽章。

SQL 注入 (SQLi)

下表列出 SQLi 預先設定 WAF 規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

跨網站指令碼攻擊 (XSS)

下表列出 XSS 預先設定 WAF 規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

本機檔案包含 (LFI)

下表列出 LFI 預先設定 WAF 規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

遠端程式碼執行 (RCE)

下表列出 RCE 預先設定 WAF 規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

遠端檔案包含 (RFI)

下表列出 RFI 預先設定 WAF 規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

方法違規處置

下表列出方法強制執行預先設定規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

掃描工具偵測

下表列出掃描器偵測預先設定規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

通訊協定攻擊

下表列出通訊協定攻擊預先設定規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

PHP

下表列出 PHP 預先設定 WAF 規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

工作階段固定攻擊

下表列出工作階段固定預先設定規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

Java 攻擊

下表列出 Java 攻擊預先設定規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

一般攻擊

下表列出一般攻擊預先設定規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

Cloud Armor WAF 規則比較：CRS 3.3 和 CRS 4.22

下表完整列出 Cloud Armor CRS 3.3 和 CRS 4.22 規則集的差異。

CRS 3.3 的 nodejs 類別在 CRS 4.22 中已重新命名為 generic，但兩者共用相同的規則 ID 前置字串「934」。建議使用 CRS 4.22，防範現代威脅。

CVE 和其他安全漏洞

下表列出 React RCE 安全漏洞規則中，各項支援簽章的簽章 ID、敏感度等級和說明，協助您偵測及緩解 CVE-2025-55182。

請使用下列運算式，偵測並降低 CVE-2025-55182 的風險：

(has(request.headers['next-action']) || has(request.headers['rsc-action-id']) ||request.headers['content-type'].contains('multipart/form-data') || request.headers['content-type'].contains('application/x-www-form-urlencoded') ) && evaluatePreconfiguredWaf('cve-canary',{'sensitivity': 0, 'opt_in_rule_ids': ['google-mrs-v202512-id000001-rce', 'google-mrs-v202512-id000002-rce']})

下表列出 CVE Log4j RCE 漏洞預先設定規則中，各項支援簽章的簽章 ID、敏感度等級和說明。

您可以使用 evaluatePreconfiguredWaf() 搭配預設敏感度參數，設定特定敏感度層級的規則。根據預設，Cloud Armor 會以敏感度等級 4 運作，並在啟用後評估規則集中的所有簽章。如要進一步瞭解敏感度等級，請參閱「調整 Cloud Armor 預先設定的 WAF 規則」。

JSON 格式內容 SQLi 漏洞

下表列出支援的簽章 942550-sqli 的簽章 ID、敏感度等級和說明，該簽章涵蓋的安全漏洞，可讓惡意攻擊者將 JSON 語法附加至 SQL 注入酬載，藉此略過 WAF。

請使用下列運算式部署簽章：

  evaluatePreconfiguredWaf('json-sqli-canary', {'sensitivity':0, 'opt_in_rule_ids': ['owasp-crs-id942550-sqli']})
  

建議您也啟用 sqli-v33-stable，並將敏感度層級設為 2，徹底解決 JSON 格式 SQL 注入略過問題。

限制

Cloud Armor 預先設定的 WAF 規則有下列限制：

• WAF 規則變更通常需要幾分鐘才會生效。
• 在含有要求主體的 HTTP 要求類型中，Cloud Armor 只會處理含有主體的要求。Cloud Armor 會根據要求主體內容的前 64 KB，評估預先設定的規則。詳情請參閱「要求主體檢查限制」。
• 啟用 JSON 剖析功能後，Cloud Armor 就能剖析 JSON 格式的內容，並套用預先設定的 WAF 規則。詳情請參閱「要求主體內容剖析」。
• 如果您將要求欄位從預先設定的 WAF 規則檢查中排除，以減少偽陽性，則無法對該規則使用 allow 動作。系統會自動允許明確排除在檢查範圍外的要求欄位。
• Cloud Armor 預先設定的 WAF 規則，只能與負載平衡器後方的後端服務搭配使用。因此，負載平衡配額和限制適用於您的部署作業。詳情請參閱負載平衡配額。

後續步驟

• 調整預先設定的 WAF 規則
• 建立及查看安全性政策規則