OWASP CRS expliqué : les catégories de règles derrière le blocage

Ce qu’est le Core Rule Set

Le Core Rule Set (CRS) de l’OWASP est un ensemble ouvert et maintenu par la communauté de règles de détection pour pare-feu applicatifs web. Plutôt que chaque éditeur rédige ses propres signatures d’injection SQL ou de XSS à partir de zéro, le CRS fournit une base éprouvée que le moteur du WAF charge et applique. Smart WAF fige le jeu de règles OWASP et l’exécute sur ses deux moteurs WAF à signatures — un dans un bac à sable WASM en interne, un natif — vous héritez ainsi du jeu de règles maintenu par la communauté, et non d’un jeu maison que personne d’autre ne relit.

Les catégories de règles, en clair

Les règles sont regroupées par famille d’attaques. Les principales :

• Injection SQL — tentatives de glisser des commandes de base de données via des champs de formulaire, des paramètres d’URL ou des en-têtes.
• Script inter-sites (XSS) — injection de scripts qui s’exécuteraient dans le navigateur d’un autre visiteur.
• Exécution de code et injection de commandes — pousser le serveur à exécuter des commandes fournies par l’attaquant.
• Inclusion de fichiers (LFI/RFI) et traversée de chemin — accéder à des fichiers hors de la racine web prévue.
• Anomalies de protocole et de requête — requêtes malformées, surdimensionnées ou contradictoires que les clients légitimes n’envoient pas.
• Détection de scanners — empreintes des outils d’attaque automatisés courants.

Pourquoi un scoring d’anomalie, et non un blocage au premier coup

Un seul motif suspect prouve rarement une attaque — un champ de recherche peut légitimement contenir une apostrophe. Le CRS gère cela par un scoring d’anomalie : chaque règle déclenchée ajoute des points à un score courant, et la requête n’est actionnée que lorsque le total franchit un seuil. Ce principe réduit les faux positifs tout en attrapant une requête qui déclenche plusieurs règles à la fois. C’est aussi pourquoi les décisions d’un WAF sont explicables : le score et les règles qui le composent sont consignés.

Comment Smart WAF l’exécute

Charger le CRS n’est que la moitié du travail ; l’exécuter correctement est le reste :

• Deux moteurs, une image. Le moteur wasm est isolé en bac à sable pour les règles écrites par le tenant ; le moteur FFI offre un journal d’audit plus riche pour les routes de confiance ops. Vous obtenez la même base CRS dans les deux cas, au choix par route.
• Une échelle, pas seulement un mur. Une correspondance CRS ne signifie pas toujours un blocage immédiat — un client suspect peut gravir preuve de travail, CAPTCHA, puis Web Bot Auth (signatures de messages HTTP cryptographiques).
• Un journal d’audit complet. Chaque décision atterrit dans un journal immuable (en ajout seul), une requête bloquée se retrace jusqu’aux règles exactes qui l’ont signalée.

Nous tenons un budget de latence ajoutée de ≤5 ms par conception et étiquetons tout chiffre mesuré comme mesuré en staging tant que du matériel de production ne prouve pas mieux. Envie de la base CRS maintenue devant votre site hébergé dans l’UE ? Écrivez-nous.