Exclusiones_basadas_en_uri

Application Gateway: cómo crear una exclusión basada en la URI, y qué limitaciones tiene

Con el producto de reverse proxy de Microsoft (Application Gateway), puede parecer sencillo añadir una exclusión por URI para una determinada regla.

Es decir, imaginemos que una determinada URL como https://www.dominio.com/shell.php?q=%22delete%20*%20from%22, genera una excepción en la regla WAF 942110, y desemboca en un HTTP STATUS 403 (Forbidden).

No podemos simplemente ir a crear una exclusión por URI en la regla WAF, ya que las exclusiones por URI no funcionan en las reglas gestionadas por Microsoft.

Los parámetros que se pueden usar para las exclusiones por URI son:

RequestHeaderNames
RequestCookieNames
RequestArgNames
RequestArgValues

Una imagen vale más que mil palabras:



Sin embargo, existe una solución alternativa que puede funcionar en muchos casos. Crear una custom rule que si que pueden estar basadas en la URI


El problema que tiene esto es que en cuanto una custom rule hace match, ya no se evalúa ninguna de las restantes.

Por tanto no hay una solución que permita añadir una exclusión basada en URI para una regla determinada.