Ihre Azure Front Door (Standard/Premium) schützt eine App mit einer WAF-Richtlinie, die den verwalteten Regelsatz verwendet. Nach dem Aktivieren von WAF werden legitime GraphQL-POST-Anfragen von einer SQL-Injection-Regel blockiert, die das JSON-Body-Feld namens „query“ inspiziert. Sie müssen den SQL-Injection-Schutz für andere Anfragen beibehalten und auch den Login-Endpunkt auf 100 Anfragen pro Minute beschränken. Was sollten Sie tun?

Die korrekte Antwort löst beide Probleme präzise. Durch das Hinzufügen einer Ausnahme für das spezifische JSON-Body-Argument „query“ wird verhindert, dass legitime GraphQL-Anfragen fälschlicherweise von SQLi-Regeln blockiert werden, während der SQL-Injection-Schutz für andere Anfragen erhalten bleibt. Die benutzerdefinierte Ratenbegrenzungsregel für den Pfad /login mit höherer Priorität stellt sicher, dass der Anmelde-Endpunkt effektiv auf 100 Anfragen pro Minute begrenzt wird, ohne andere WAF-Regeln zu beeinträchtigen. Das Deaktivieren der gesamten SQL-Injection-Regelgruppe würde den Schutz für alle Anfragen eliminieren, was ein Sicherheitsrisiko darstellt. Eine benutzerdefinierte Regel, die alle POST-Anfragen zulässt, wäre zu breit und würde den Schutz für andere POST-Anfragen aufheben. Das Erhöhen des Anomalie-Score-Schwellenwerts würde zwar Fehlalarme reduzieren, aber nicht die spezifische Anforderung der Ratenbegrenzung für den Login-Endpunkt erfüllen.