Delta E-Commerce gebruikt Application Gateway v2 met WAF_v2 om checkout-endpoints te beschermen. Ze observeren false positives van de OWASP CRS 3.2 SQLi-regel voor een legitieme JSON-payload die de strings '=' en 'or' bevat. Ze willen de globale OWASP-regelset actief houden, maar de specifieke regel voor het pad /api/checkout uitsluiten zonder de regel globaal uit te schakelen. Welke configuratie zal dit bewerkstelligen?

De correcte aanpak is het maken van een aangepaste WAF-uitsluiting. Deze methode stelt u in staat om specifiek de SQLi-regel-ID uit te sluiten voor de /api/checkout URI, zonder de regel globaal uit te schakelen. Dit is de meest granulaire en veilige oplossing, omdat het de WAF-bescherming voor andere endpoints behoudt en alleen de specifieke false positive aanpakt. Het globaal uitschakelen van de SQLi-regel (optie 2) vermindert de algehele beveiliging. Een aparte Application Gateway (optie 3) is een dure en complexe oplossing die de WAF-bescherming volledig omzeilt voor dat pad. Het verlagen van de WAF-modus naar 'Detection' (optie 4) lost het probleem van false positives niet op en schakelt de preventieve blokkering uit, wat de beveiliging aanzienlijk vermindert.