Políticas

A política é o conjunto de decisões que o WAF aplica a um domínio.

A política do domínio

Cada domínio aponta para uma política, que define em que modo o WAF opera, com que sensibilidade avalia as regras OWASP, qual o limite de corpo inspecionado e quais regras personalizadas e limites de taxa valem ali.

Mudanças na política passam a valer para o tráfego do domínio assim que são gravadas, e cada gravação gera uma nova revisão — a revisão aparece nos eventos, para você saber qual configuração decidiu cada bloqueio.

Modos de operação

Modo	O que faz	Quando usar
Detecção (DETECTION)	Avalia as regras OWASP e registra o que casaria como ataque, sem bloquear por elas	Primeiro contato, ajuste de falsos positivos, aplicação legada
Prevenção (PREVENTION)	Bloqueia quando a pontuação de anomalia da requisição alcança o limite	Produção, depois de validar o tráfego real

A diferença entre os modos vale só para as regras OWASP. Estes controles agem nos dois modos:

• regras personalizadas com ação de bloqueio;
• a linha de base da plataforma;
• a limitação de taxa.

Ou seja: em detecção você já está protegido contra o que configurou explicitamente; o que fica em observação é o julgamento do conjunto OWASP.

OWASP CRS

O conjunto de regras é o OWASP Core Rule Set 4.25.2 (LTS), aplicado pelo motor Coraza 3.8.1.

Parâmetro	Padrão	Faixa	Efeito
Conjunto OWASP	Ligado	ligado ou desligado	Avaliar ou não as regras da comunidade
Nível de paranoia	1	1 a 4	Quanto o conjunto é rigoroso
Limite de anomalia de entrada	5	ajustável	Pontuação a partir da qual a requisição é bloqueada em prevenção

Nível de paranoia é o ajuste mais importante. No nível 1, o conjunto barra os ataques claros com poucos falsos positivos. Cada nível acima amplia a cobertura e aumenta a chance de bloquear tráfego legítimo: suba um nível por vez e acompanhe os eventos antes de subir de novo.

Pontuação de anomalia é a soma dos pontos das regras que casaram com a requisição. Cada regra tem um peso; quando a soma alcança o limite, a requisição é bloqueada em prevenção. No evento, o campo de pontuação mostra esse valor.

O que é inspecionado no corpo

Tipo de conteúdo	Inspecionado
application/x-www-form-urlencoded	Sim
multipart/form-data	Sim
application/json e subtipos +json	Sim
XML	Sim
Outros tipos	Depende da lista do conjunto OWASP

Tamanho do corpo inspecionado. O WAF inspeciona o corpo das requisições até um limite. O padrão de cada política é 64 KiB e o máximo que uma política pode declarar é 1 MiB. O custo da inspeção cresce de forma linear com o tamanho do corpo, então acima disso a requisição passa a custar mais processamento do que o serviço permite. Requisição com corpo maior que o limite da política é recusada com 413. Se você precisa aceitar uploads maiores, use a isenção de inspeção de corpo no endpoint — não aumente o limite da política.

Tipos de conteúdo fora da lista do conjunto OWASP são bloqueados no nível de paranoia 1 pela regra 920420. Isso costuma aparecer com text/plain e com +json de fornecedor. O caminho correto é criar uma exceção para o tipo naquele caminho, e não desligar a família de regras: veja Eventos e exceções.

Isenção de inspeção de corpo para upload

Isenção de corpo para upload. Em endpoints de upload delimitados, você pode isentar apenas o corpo da requisição da inspeção: cabeçalhos, caminho e parâmetros de URL continuam inspecionados. A isenção tem escopo por caminho (exato ou prefixo), métodos e domínio opcionais, motivo obrigatório, expiração opcional e tamanho máximo de corpo obrigatório (até 100 MiB). Enquanto ela vale, o WAF: recusa com 413 a requisição cujo Content-Length passe do tamanho máximo declarado; recusa com 411 a requisição que chegue com Transfer-Encoding (upload em chunked/streaming), porque sem tamanho declarado não há como garantir o teto — envie Content-Length; registra a isenção na auditoria. Ultrapassar o limite da política não libera nada automaticamente: sem isenção, o corpo acima do limite é recusado. Gerenciar a isenção exige o papel WAF Editor ou WAF Admin e ela conta na mesma cota das exceções.

Ajustando a política

1. Comece em detecção, com o conjunto OWASP ligado e paranoia 1.
2. Deixe o tráfego real passar por alguns dias e leia os eventos.
3. Para cada bloqueio que for falso positivo, crie uma exceção pontual pelo próprio evento.
4. Só então mude para prevenção.
5. Se precisar de mais cobertura, suba o nível de paranoia um degrau e repita a leitura dos eventos.

Prevenção não é tudo ou nada

As regras personalizadas e a limitação de taxa funcionam em detecção. Você pode começar bloqueando o que é inequívoco — um país, um caminho administrativo, um método — e deixar o conjunto OWASP em observação até confiar no resultado.

Próximos passos

• Regras personalizadas — bloquear e liberar por condição.
• Eventos e exceções — ler a decisão da política e tratar falso positivo.
• API — administrar política por API.