ADC

Comprobación de denegación de servicio XML

La comprobación de denegación de servicio XML (XML DoS o XDoS) examina las solicitudes XML entrantes para determinar si coinciden con las características de un ataque de denegación de servicio (DoS). Si hay una coincidencia, bloquea esas solicitudes. El objetivo de la comprobación XML DoS es evitar que un atacante utilice solicitudes XML para lanzar un ataque de denegación de servicio en su servidor web o sitio web.

Si usa el asistente o la GUI, en el cuadro de diálogo Modificar la verificación de denegación de servicio XML, en la ficha General, puede habilitar o inhabilitar las acciones Bloquear, Registrar, Estadísticas y Aprender:

Si utiliza la interfaz de línea de comandos, puede introducir el siguiente comando para configurar la comprobación de denegación de servicio XML:

  • set appfw profile <name> -xmlDoSAction [**block**] [**log**] [**learn**] [**stats**] [**none**]

Para configurar reglas de denegación de servicio XML individuales, debe usar la GUI. En la ficha Comprobaciones del cuadro de diálogo Modificar verificación de denegación de servicio XML, seleccione una regla y haga clic en Abrir para abrir el cuadro de diálogo Modificar denegación de servicio XML para esa regla. Los cuadros de diálogo individuales difieren según las diferentes reglas, pero son simples. Algunas solo permiten habilitar o inhabilitar la regla; otras permiten modificar un número escribiendo un valor nuevo en un cuadro de texto.

Nota:

El comportamiento esperado del motor de aprendizaje para un ataque de denegación de servicio se basa en la acción configurada. Si la acción se establece como “Bloquear”, el motor aprende el valor de enlace configurado +1 y el análisis de XML se detiene cuando se produce una infracción. Si la acción configurada no está configurada como “Bloquear”, el motor aprende el valor real de la longitud de la infracción entrante.

Las reglas de denegación de servicio XML individuales son:

  • Profundidad máxima del elemento. Restrinja el número máximo de niveles anidados en cada elemento individual a 256. Si esta regla está habilitada y el Web App Firewall detecta una solicitud XML con un elemento que tiene más niveles que el máximo permitido, bloquea la solicitud. Puede modificar el número máximo de niveles a cualquier valor de uno (1) a 65.535.

  • Longitud máxima del nombre del elemento. Restrinja la longitud máxima del nombre de cada elemento a 128 caracteres. Esto incluye el nombre dentro del espacio de nombres expandido, que incluye la ruta XML y el nombre del elemento en el siguiente formato:

     {http://prefix.example.com/path/}target_page.xml
     <!--NeedCopy-->
    

El usuario puede modificar la longitud máxima del nombre a cualquier valor entre un (1) carácter y 65.535.

  • Número máximo de elementos. Restrinja el número máximo de cualquier tipo de elemento por documento XML a 65.535. Puede modificar el número máximo de elementos a cualquier valor entre uno (1) y 65.535.

  • Número máximo de elementos secundarios. Restrinja el número máximo de niños (incluidos otros elementos, información del personaje y comentarios) que puede tener cada elemento individual a 65 535. Puede modificar el número máximo de elementos secundarios a cualquier valor entre uno (1) y 65.535.

  • Número máximo de atributos. Restrinja el número máximo de atributos que puede tener cada elemento individual a 256. Puede modificar el número máximo de atributos a cualquier valor entre uno (1) y 256.

  • Longitud máxima del nombre de atributo. Restrinja la longitud máxima de cada nombre de atributo a 128 caracteres. Puede modificar la longitud máxima del nombre del atributo a cualquier valor entre uno (1) y 2048.

  • Longitud máxima del valor del atributo. Restrinja la longitud máxima de cada valor de atributo a 2048 caracteres. Puede modificar la longitud máxima del nombre del atributo a cualquier valor entre uno (1) y 2048.

  • Longitud máxima de datos de caracteres. Restrinja la longitud máxima de datos de caracteres para cada elemento a 65.535. Puede modificar la longitud a cualquier valor entre uno (1) y 65.535.

  • Tamaño máximo de archivo. Restrinja el tamaño de cada archivo a 20 MB. Puede modificar el tamaño máximo del archivo a cualquier valor.

  • Tamaño mínimo de archivo. Exija que cada archivo tenga una longitud mínima de 9 bytes. Puede modificar el tamaño mínimo del archivo a cualquier número entero positivo que represente varios bytes.

  • Número máximo de expansiones de entidades. Limite la cantidad de expansiones de entidades permitidas al número especificado. Predeterminado: 1024.

  • Profundidad máxima de expansión de la entidad. Restrinja el número máximo de expansiones de entidades anidadas a no más del número especificado. Predeterminado: 32.

  • Número máximo de espacios de nombres. Limite el número de declaraciones de espacio de nombres en un documento XML a no más del número especificado. Valor predeterminado: 16.

  • Longitud máxima de URI del espacio de nombres. Limite la longitud de la URL de cada declaración de espacio de nombres a no más del número de caracteres especificado. Predeterminado: 256.

  • Instrucciones de procesamiento de bloques. Bloquee cualquier instrucción de procesamiento especial incluida en la solicitud. Esta regla no tiene valores modificables por el usuario.

  • Bloquear DTD. Bloquee cualquier definición de tipo de documento (DTD) incluida en la solicitud. Esta regla no tiene valores modificables por el usuario.

  • Bloquear entidades externas. Bloquee todas las referencias a entidades externas en la solicitud. Esta regla no tiene valores modificables por el usuario.

  • Verificación de matriz SOAP. Habilite o inhabilite las siguientes comprobaciones de matrices SOAP:

    • Tamaño máximo de matriz SOAP. El tamaño total máximo de todas las matrices SOAP de una solicitud XML antes de que se bloquee la conexión. Puede modificar este valor. Predeterminado: 20000000.
    • Rango máximo de matriz SOAP. El rango o las dimensiones máximos de cualquier matriz SOAP individual en una solicitud XML antes de que se bloquee la conexión. Puede modificar este valor. Valor predeterminado: 16.
Comprobación de denegación de servicio XML

En este artículo