Votre Azure Front Door (Standard/Premium) protège une application avec une politique WAF utilisant l'ensemble de règles gérées. Après avoir activé le WAF, des requêtes GraphQL POST légitimes sont bloquées par une règle d'injection SQL qui inspecte le champ de corps JSON nommé query. Vous devez maintenir la protection contre les injections SQL pour les autres requêtes et également limiter le taux de l'endpoint de connexion à 100 requêtes par minute. Que devez-vous faire ?

La bonne approche consiste à utiliser une exclusion WAF ciblée et une règle de limitation de débit personnalisée. L'exclusion pour l'argument de corps JSON query empêche les règles d'injection SQL de bloquer les requêtes GraphQL légitimes sans désactiver complètement la protection SQLi pour d'autres requêtes. La règle de limitation de débit personnalisée pour /login avec une priorité plus élevée garantit que le contrôle du taux est appliqué avant que d'autres règles ne soient évaluées, protégeant ainsi l'endpoint de connexion. Désactiver le groupe de règles SQLi est trop large et réduit la sécurité. Créer une règle personnalisée pour autoriser toutes les requêtes POST est également trop permissif. Augmenter le seuil du score d'anomalie ne résout pas le problème spécifique des faux positifs GraphQL et n'adresse pas la limitation de débit.