Konfigurieren Sie eine Regel zur Verhinderung von SQL-Injection

Was ist ein SQL-Injection-Angriff?

Welche gängigen Zeichen und Zeichenfolgen werden bei SQL-Injection-Angriffen verwendet?

• ('
• %27
• \x22
• %22
• char
• ;
• ascii
• %3B
• %2B
• --
• %2D%2D
• /*
• %2F%2A
• */
• %2A%2F
• substring
• drop table
• drop+table
• insert into
• insert+into
• version(
• values
• group by
• group+by
• create table
• create+table
• delete
• update
• bulk insert
• bulk+insert
• load_file
• shutdown
• union
• having
• select
• declare
• exec
• and
• or
• like
• @@hostname
• @@tmpdir
• is null
• is+null
• is not null
• is+not+null
• %3D
• CONCAT
• %40%40basedir
• version%28,user(
• user%28,system_user(
• (,%28,)
• %29
• @
• %40
• cast

Wie funktioniert die Regel zur Verhinderung von generischen SQL-Injektionen?

1. Pakete von Ihrer Anwendung kommen beim Agenten zur Analyse an.
2. Die generische SQL-Injektionspräventionsregel überprüft die Pakete und bestimmt, ob einer der im Folgenden aufgeführten Zeichenfolgen vorhanden ist. Beachten Sie, dass die Zeichenfolgen durch Kommas getrennt und in zehn Gruppen unterteilt sind.
3. Wenn Zeichenfolgen gefunden werden, wird eine Punktzahl wie folgt berechnet:
   • Wenn eine einzelne Zeichenfolge gefunden wird, dann stellt die mit ihrer Gruppe verbundene Punktzahl die Gesamtpunktzahl dar.
   • Wenn mehrere Zeichenfolgen in verschiedenen Gruppen gefunden werden, werden die Punktzahlen dieser Gruppen zusammengezählt.
   • Wenn mehrere Zeichenfolgen in der gleichen Gruppe gefunden werden, wird die Punktzahl dieser Gruppe nur einmal gezählt. Siehe Beispiele für die Regel und das Punktesystem in Aktion zur Klärung.
4. Anhand der Gesamtpunktzahl bestimmt Server- und Workload Protection, ob die Verbindung abgebrochen oder protokolliert wird. Wenn die Gesamtpunktzahl den Drop Threshold-Wert überschreitet, wird die Verbindung abgebrochen, und wenn sie den Log Threshold-Wert überschreitet, wird sie protokolliert.

Hinweis Trend Micro aktualisiert seine Regeln häufig, daher stimmen die Zeichenfolgen in der Tabelle unten möglicherweise nicht genau mit denen in Server- und Workload Protection überein.

Hinweis Die Verwendung von '\W' in den folgenden Zeilen bedeutet 'gefolgt von einem nicht-alphanumerischen Zeichen'.

Beispiele für die Regel und das Bewertungssystem in Aktion

Beispiel 1: Protokollierter und verworfener Datenverkehr

• Die Zeichenfolge UNION/ entspricht der vierten Gruppe für eine Punktzahl von 2.
• Die Zeichenfolge /* entspricht der sechsten Gruppe für eine Punktzahl von 1.
• Die Zeichenfolge */ entspricht der sechsten Gruppe für eine Punktzahl von 0 (da die Punktzahl der sechsten Gruppe bereits gezählt wurde).
• Die Zeichenfolge SELECT+ entspricht der zweiten Gruppe für eine Punktzahl von 2.

Beispiel 2: Kein protokollierter oder verworfener Datenverkehr

• Die Zeichenfolge UNION/ entspricht der vierten Gruppe für eine Punktzahl von 2.
• Die Zeichenfolge /* entspricht der sechsten Gruppe für eine Punktzahl von 1.
• Die Zeichenfolge */ entspricht der sechsten Gruppe für eine Punktzahl von 0 (da die Punktzahl der sechsten Gruppe bereits gezählt wurde).
• Die Zeichenfolge SELECT+ entspricht der vierten Gruppe für eine Punktzahl von 0 (da die Punktzahl der vierten Gruppe bereits gezählt wurde).

Konfigurieren Sie die generische SQL-Injection-Präventionsregel

1. Melden Sie sich bei der Server- und Workload Protection-Konsole an.
2. Oben klicken Sie auf Richtlinien.
3. Geben Sie im Suchfeld auf der rechten Seite 1000608 ein, die numerische Kennung der Regel zur generischen SQL-Injektionsprävention. Drücken Sie die Eingabetaste. Die Regel erscheint im Hauptfenster.
4. Doppelklicken Sie auf die Regel.
5. Klicken Sie auf die Registerkarte Konfiguration. Sie sehen das SQL-Injektionsmuster im Textfeld oben.
6. Aktualisieren Sie das SQL-Injektionsmuster auf die neueste Version, wenn Sie es noch nicht angepasst haben. Um auf das neueste Muster zu aktualisieren, gehen Sie zur Registerkarte Details, kopieren Sie den Text unter der Überschrift Default SQL Pattern und fügen Sie ihn in das Textfeld SQL Injection Patterns auf der Registerkarte Konfiguration ein. Sie arbeiten nun mit dem aktuellsten Muster von Trend Micro.
7. Bearbeiten Sie die Felder wie folgt:
   • SQL Injection Patterns: Hier geben Sie die Liste der Zeichen und Zeichenfolgen an, die bei SQL-Injection-Angriffen verwendet werden. Zeichen und Zeichenfolgen werden gruppiert und mit einem Punktwert versehen. Wenn Sie Zeichenfolgen hinzufügen oder ändern möchten, stellen Sie sicher, dass Sie die richtige Kodierung verwenden. Siehe Zeichenkodierungsregeln unten für Details.
   • Drop Threshold: Hier legen Sie den Abbruchwert fest. Die Verbindung wird abgebrochen, wenn der Wert diesen Schwellenwert überschreitet. (Wenn der Wert dem Abbruchschwellenwert entspricht, wird die Verbindung aufrechterhalten.) Der Standardwert ist 4.
   • Log Threshold: Hier geben Sie den Protokollierungswert an. Die Verbindung wird protokolliert, wenn der Wert diesen Schwellenwert überschreitet. (Wenn der Wert dem Protokollierungsschwellenwert entspricht, wird nichts protokolliert.) Der Standardwert ist 4.
   • Max distance between matches: Hier geben Sie die Anzahl der Byte an, die ohne Übereinstimmung übergehen können, um die Punktzahl auf 0 zurückzusetzen. Der Standardwert ist 35.

   Hinweis Erwägen Sie, die folgenden zwei Optionen zu verwenden, um Überschreibungen für Seiten und Felder zu erstellen, die dazu führen könnten, dass die normalen Schwellenwerte überschritten werden.

   • Pages (resource) with a non-default score to drop on: Hier können Sie die Drop Threshold für bestimmte Ressourcen überschreiben. Zum Beispiel, wenn Ihre Drop Threshold 4 ist, aber Sie für eine Fragebogenseite einen Abbruchwert von 8 wünschen, geben Sie /example/questionnaire.html:8 an. Mit dieser Konfiguration muss /example/questionnaire.html einen Wert höher als 8 haben, damit die Verbindung abgebrochen wird, während alle anderen Ressourcen nur einen Wert höher als 4 benötigen. Geben Sie jede Ressource in einer separaten Zeile an.
   • Form parameters with a non-default score to drop on: Hier können Sie die in Drop Threshold oder den Pages (resources)with a non-default score to drop on-Feldern definierten Schwellenwerte für bestimmte Formularfelder überschreiben. Zum Beispiel, wenn Ihr Drop Threshold-Wert 4 ist, Sie aber einen höheren Abbruchwert von 10 für ein Benutzername-Feld wünschen, geben Sie /example/login.html:username=10 an, wobei /example/login.html durch den Pfad und Namen der Seite ersetzt wird, auf der das Benutzername-Feld erscheint, und username durch das Benutzername-Feld, das von Ihrer Anwendung verwendet wird. Mit dieser Konfiguration muss das Benutzername-Feld einen Wert höher als 10 haben, damit die Verbindung abgebrochen wird, während die Seite selbst nur einen Wert höher als 4 benötigt. Geben Sie jedes Formularfeld in einer separaten Zeile an.

   Hinweis Der Log Threshold tritt nicht in Kraft, wenn Verbindungen aufgrund eines Treffers in den Feldern Pages (resources) with a non-default score to drop on oder Form parameters with a non-default score to drop on abgelehnt werden. Wenn Sie beispielsweise das Formularparameterfeld auf /example/login.html:username=10 setzen und das Benutzernamefeld 11 erreicht, wird die Verbindung abgelehnt, aber es gibt kein Protokoll dieses Ereignisses.

8. Klicken Sie auf OK.

Richtlinien zur Zeichenkodierung