OWASP CRS 托管规则

概念复制链接

开启 CRS复制链接

前提：网站所在集群的全部活动节点支持 modsecurity-v1（安装了 edgeweir-openresty-modsecurity，见接入节点）。

1. 打开 网站，选择网站，进入「安全」页签。

2. 在「OWASP CRS 托管规则」卡片的「模式」中选择「仅检测」。

3. 按需在「预设」中选择宽松、标准（默认）或严格，或选择「自定义」设置「Paranoia 等级」「异常分数阈值」「请求体检查上限（字节）」；按需添加「排除的规则 ID」。

4. 点击「保存」。控制台提示「已保存」，并为网站所在集群发布新的配置版本。

5. 验证：节点应用该版本后发送一个测试载荷：

   复制

   curl -s -o /dev/null -w '%{http_code}\n' --resolve www.example.com:443:<节点 IP> \
     'https://www.example.com/?q=%3Cscript%3Ealert(1)%3C/script%3E'

   「仅检测」模式返回源站的正常状态码；一分钟内「命中最多的 CRS 规则」出现该请求命中的规则（如 941100）。

6. 观察命中与误报后，把「模式」改为「拦截」并保存。同一请求返回 403。

字段复制链接

预设不改变「模式」与「排除的规则 ID」。保存的取值与任何预设都不同时显示为「自定义」。

排除规则：在「排除的规则 ID」输入框输入一个或多个 ID（逗号或空格分隔），点击「添加」或按回车；点击 ID 旁的 × 移除。修改在点击「保存」后生效。

行为复制链接

查看命中复制链接

命中统计与日志在「仅检测」和「拦截」模式下都会记录。误报的规则可以就地排除：在「命中最多的 CRS 规则」或日志行右侧点击「⋯」→「排除 CRS 规则 N」并确认，规则 ID 追加到「排除的规则 ID」并立即保存，CRS 卡片随之更新。初始化、拦截判定与关联类规则（901xxx、949xxx、959xxx、980xxx）只负责计分与判定，例如 949110 在每个被拦截的请求上都命中：它们不进入「命中最多的 CRS 规则」，也不能排除（控制台与 API 都拒绝，WAF_RULE_NOT_EXCLUDABLE），因为排除它们会让 CRS 失效或关闭拦截；误报时排除日志行中真正检测到问题的规则，不想拦截时把模式改为「仅检测」。「安全」页签顶部的状态行显示 CRS 的模式与预设，点击跳到 CRS 卡片。访问日志见访问日志。

性能复制链接

开启 CRS 的网站每个请求都要经过 ModSecurity 规则匹配，节点 CPU 占用与请求延迟随 Paranoia 等级、请求体检查上限和请求大小增加。未开启 CRS 的网站不经过 ModSecurity。建议先以「仅检测」运行，观察命中、误报和节点负载，再改为「拦截」；只对需要的网站开启，并尽量保持较低的 Paranoia 等级和请求体检查上限。

节点上有网站开启 CRS 时，节点加载 ModSecurity 与内置规则，nginx 内存增加约 40 MiB，持续负载下更多。最后一个网站关闭 CRS 后，这部分内存要到节点下次重启 nginx（例如节点升级或重启服务）才释放。

节点能力复制链接

集群中有活动节点不支持 modsecurity-v1 时，未开启 CRS 的网站「模式」不可选，并显示「所在集群有节点不支持，暂时无法开启」（GET /sites/{id}/features 的 crs.reason 为 nodes）；已开启的 CRS 仍可修改或关闭。通过 API 仍可开启：配置照常发布，缺少该能力的节点保留 last-known-good 配置并显示「需要升级」，直到节点安装 edgeweir-openresty-modsecurity 或升级。

限制复制链接

故障排查复制链接