Bloqueio de pesquisas legítimas no Cloud WAF devido a apóstrofos e hífenes

Question

Bloqueio de pesquisas legítimas no Cloud WAF devido a apóstrofos e hífenes

Noah Deboer 40

Preciso de resolver um problema com as nossas aplicações web corporativas nos postos de trabalho Windows for Business, que estão a enfrentar bloqueios de pedidos todos os dias devido à filtragem rigorosa do Cloud WAF.

Indica que durante consultas de pesquisa legítimas feitas pelos utilizadores, as entradas que contêm apóstrofos e hífenes disparam imediatamente as regras de inspeção, fazendo com que a firewall descarte as submissões e congele as operações dos colaboradores.

E a nossa equipa operacional está a realizar as suas tarefas diárias críticas exclusivamente através destas máquinas corporativas. Como podemos ajustar a sensibilidade das regras do WAF e definir exclusões direcionadas por caminho (targeted path exclusions) para evitar este bloqueio de tráfego legítimo

0 opmerkingen

Answer accepted by question author

0 extra antwoorden

Uw antwoord

Answer 1

Tracy Le 13,690 Independent Advisor

Olá Noah Deboer,

Apóstrofos e sequências como "--" podem acionar regras SQL Injection da família 942xx do OWASP CRS e gerar falsos positivos em pesquisas legítimas. Antes de alterar a política, recomendo identificar exatamente qual regra está a ser acionada.

No Azure WAF, verifique os registos em Log Analytics:

Application Gateway: AzureDiagnostics com Category == "ApplicationGatewayFirewallLog"

Front Door: FrontDoorWebApplicationFirewallLog

Registe os valores de ruleId, requestUri e matchVariable, que normalmente indica o parâmetro afetado (por exemplo, ARGS:q).

Em vez de reduzir a sensibilidade global ou desativar regras inteiras, considere criar uma exclusão direcionada para o parâmetro de pesquisa afetado, aplicada apenas aos ruleIds que estão a gerar os falsos positivos. Em versões recentes do DRS/CRS, isso pode ser configurado em Managed Rules > Exclusions.

Se estiver a utilizar o Application Gateway e pretender limitar a alteração apenas ao endpoint de pesquisa, pode associar uma política WAF específica à regra de encaminhamento baseada em caminho (por exemplo /search/*), mantendo a proteção completa para o restante tráfego.

Depois de aplicar a alteração, valide o comportamento em modo de Deteção e confirme que apenas os pedidos legítimos deixaram de ser bloqueados antes de voltar ao modo de Prevenção.

Tracy Le.

Noah Deboer 40 Reputatiepunten

2026-10-13T16:45:19.62+00:00

Olá Tracy,

Obrigado pela explicação detalhada. Consultei os registos e confirmei que o bloqueio vem da regra 942440 no parâmetro ARGS:q, por isso vou testar a exclusão em modo de Deteção.

Só uma dúvida: como uma parte dos nossos portais está atrás do Front Door e não do Application Gateway, existe alguma forma equivalente de limitar a exclusão apenas ao caminho /search/* nesse caso?
Tracy Le 13,690 Reputatiepunten Independent Advisor

2026-10-14T16:19:28.63+00:00

Olá Noah Deboer,

No Front Door não existe um equivalente direto. A política WAF é associada ao domínio, através da política de segurança, e não a uma rota ou caminho. As exclusões também não aceitam condição de caminho. A opção mais segura é criar a exclusão por regra apenas para a 942440, com a variável QueryStringArgNames igual a q, ou RequestBodyPostArgNames se a pesquisa for enviada por POST. Embora se aplique a todo o domínio, só afeta esse parâmetro e essa regra. O risco é baixo se o q for usado apenas na pesquisa, algo que pode confirmar nos registos.

Se precisar mesmo de isolar por caminho, publique a pesquisa num domínio próprio, como pesquisa.contoso.com, com uma política WAF dedicada. Evite criar uma regra personalizada do tipo Allow para /search/*, porque essa ação ignora todas as regras geridas nesse tráfego.

Tracy Le