Azure Front Door(Standard/Premium)가 관리형 규칙 세트를 사용하는 WAF 정책으로 앱을 보호합니다. WAF를 활성화한 후, JSON 본문 필드 query를 검사하는 SQL injection 규칙에 의해 정상적인 GraphQL POST 요청이 차단됩니다. 다른 요청에 대한 SQL injection 보호는 유지하고, 로그인 엔드포인트에 대한 요청은 분당 100개로 제한해야 합니다. 어떻게 해야 할까요?

정상적인 GraphQL POST 요청이 SQLi 규칙에 의해 차단되는 것은 오탐(false positive)이므로, query라는 JSON 본문 인수에 대한 제외(exclusion)를 추가하여 해당 필드는 SQLi 검사에서 제외하되 다른 SQLi 보호는 유지해야 합니다. 로그인 엔드포인트에 대한 요청을 제한하려면, 관리형 규칙보다 우선순위가 높은 사용자 지정 속도 제한 규칙을 생성하여 /login 경로에 대해 분당 100개 요청으로 설정해야 합니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. SQL injection 규칙 그룹 전체를 비활성화하면 다른 중요한 SQLi 보호 기능까지 상실됩니다. 모든 POST 요청을 허용하는 사용자 지정 규칙은 보안을 약화시킵니다. WAF 이상 점수 임계값을 높이는 것은 오탐을 줄일 수 있지만, 특정 엔드포인트에 대한 속도 제한 요구사항을 충족시키지 못합니다.