envoyproxy/envoy

Parsing args in URIs and request body and matching them in the Generic Matching Engine

Open

#24.615 geöffnet am 18. Dez. 2022

Auf GitHub ansehen
 (5 Kommentare) (0 Reaktionen) (0 zugewiesene Personen)C++ (5.373 Forks)batch import
area/matchinghelp wanted

Repository-Metriken

Stars
 (27.997 Stars)
PR-Merge-Metriken
 (Durchschn. Merge 8T) (378 gemergte PRs in 30 T)

Beschreibung

The Ability to Parse Args Is Essential for a WAF

We, Curiefense maintainers, willing to extend Generic Matching so it can act as de-facto Native WAF for Envoy users.

The vision is simple: Curiefense users will be able to activate the security policy in a given runnign environemtn, using generic-matching, since the rules will be renderd as such.

We have work on a PoC that already has the capabilitied to do so (attached yaml), yet, without the ability to parse and match entries in the queryString and request body, the WAF cannot be considered useful.

The table below describe the current capabilities and the missing ones, and tagged them with their priority (P1..P4)

Capabilities map

Function y/n Remarks
Match headers Yes
Match CIDR Yes
Query string args No P1
Body args No P1 form-url-encoded and multipart
JSON body No P2 nested structures
GraphQL body No P3
XML body No P4
Geo, ASN, IP INfo No Require MaxMind integration

So far, we have added support for the following Curiefense policy generation * WAF rules (signatures) * Global filters tagging * ACL

Curiefense team involved:

Contributor Guide

Research-Richtung
Beginnen Sie mit der Untersuchung der vorhandenen Header Matching Implementierung in der Generic Matching Engine (wahrscheinlich in source/extensions/filters/http/generic/). Verstehen Sie, wie Header geparst und gematcht werden. Implementieren Sie dann das Parsen von Query String Parametern aus der HTTP Anfrage URI (verwenden Sie Envoys Http::Utility::parseQueryString). Für den Anfragekörper behandeln Sie form url encoded und multipart Daten. Sehen Sie sich die an das Issue angehängte PoC YAML als Leitfaden an. Fügen Sie nach der Implementierung entsprechende Matcher und Tests hinzu.
Tech Stack
cpp
Domain
backend
Issue Type
Funktion
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
4
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
3-5 Tage
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
C++Envoy development environment
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
50