Cómo agregar una excepción en una firma

Echemos un vistazo a un registro de ataque de muestra (Primera foto) generado en FortiWeb y luego veamos cómo es posible agregar una excepción para la solicitud HTTP activada en la firma.

El registro de ataques dice que FortiWeb bloqueó la solicitud HTTP que contenía el patrón coincidente .jsp%00 en el URI.

Verifiquemos de qué se trata esta firma simplemente seleccionando el ‘Mensaje: RAWURI activó la firma ID 050160001 de la política de firma Signature_Policy’ y luego seleccionando la opción ‘Ver firma’.

La descripción de la firma dice: ‘Esta firma impide la divulgación de información. Esta inyección se puede lograr en URL HTTP.’ 

Para explicar en detalle, un atacante puede hacer que el servidor web remoto revele el código fuente de sus páginas JSP agregando un carácter NULL al nombre de los archivos JSP solicitados (por ejemplo, ‘foo.jsp%00’, ‘test.jsp% 00’ ) Con esta firma habilitada, la solicitud HTTP contiene URI con un carácter NULL %00 agregado al nombre de los archivos JSP. La solicitud activa la firma y, según el conjunto de acciones, Fortiweb realizará una acción.

Si este tipo de solicitud es legítima en el entorno, es posible agregar una excepción mediante uno de los métodos que se mencionan a continuación.

Método 1 :
Seleccione el ‘Mensaje: RAWURI activó el ID de firma 050160001 de la política de firma Signature_Policy’ y luego haga clic en el botón ‘Agregar excepción’.

Es posible seleccionar el tipo de elemento deseado en función del nivel de rigurosidad de la excepción a agregar.

Método 2 :
anote el subtipo (ataques genéricos), el tipo de subclase de firma (divulgación de SRC) y el ID de firma (050160001) que se ven en el registro de ataques. 

Vaya a Protección web -> Ataques conocidos -> Firmas -> Ataques genéricos (Subtipo) -> Divulgación de SRC (tipo de subclase de firma) y busque el ID de firma 050160001 en la lista.

Seleccione el botón Excepción y agregue una excepción.

Método 3:
la tercera forma de agregar una excepción es mediante la opción de búsqueda. Agregue la ID de firma que se ve en los registros de ataque en el cuadro de texto de búsqueda y presione el botón «Buscar».

En este caso, el ID de firma activado es 050160001.

Una vez que se agrega la excepción, no se bloqueará la solicitud HTTP que coincida con la regla de excepción.