Azure WAF에서 웹 애플리케이션 공격 경보가 발생하는 경우 이벤트를 생성합니다.

Overview

Priority	Medium
Type	Stream
Log schema	azure-waf-detect
Message	웹 애플리케이션 공격 탐지: $src_ip ($rule_group)
Output field order	_log_time, gw_instance_id, session_id, src_ip, signature, reason, action, matched_data, host, path, query, sid, rule_group
MITRE Techniques	T1190 Exploit Public-Facing Application
MITRE tactics	TA0001 Initial Access

Query

Azure WAF 탐지 로그에서 rule_group 이 APPLICATION-ATTACK 문자열을 포함한 경우에 탐지합니다.

탐지 대상 rule_group은 구체적으로 아래와 같습니다:

• REQUEST-930-APPLICATION-ATTACK-LFI
• REQUEST-932-APPLICATION-ATTACK-RCE
• REQUEST-933-APPLICATION-ATTACK-PHP
• REQUEST-942-APPLICATION-ATTACK-SQLI

탐지되지 않는 rule_group은 구체적으로 아래와 같습니다:

• REQUEST-913-SCANNER-DETECTION
• REQUEST-920-PROTOCOL-ENFORCEMENT
• REQUEST-949-BLOCKING-EVALUATION

Target logger models

• Azure WAF azure-event-hubs

Threat analysis

• 공격자는 Azure WAF에서 탐지하지 못하는 취약점 공격을 성공할 때까지 반복해서 시도할 수 있습니다.

Response actions

• 지속적으로 취약점을 탐색하거나 취약점 공격을 시도하는 경우 위협 IP 주소를 방화벽, 침입방지시스템, 웹방화벽 등에서 일정 기간 동안 차단 조치합니다.