← Dokumentace WAF / account

Spravované sady pravidel

Cloudflare poskytuje předkonfigurované spravované sady pravidel, které chrání před exploity webových aplikací, jako jsou například tyto:

Zero-day zranitelnosti
10 nejčastějších technik útoků
Použití odcizených nebo uniklých přihlašovacích údajů
Extrakce citlivých dat

Spravované sady pravidel jsou pravidelně aktualizované. Každé pravidlo má výchozí akci, která se liší podle závažnosti pravidla. Chování konkrétních pravidel můžete upravit výběrem z několika možných akcí.

Pravidla ve spravovaných sadách pravidel mají přiřazené štítky (například wordpress), pomocí kterých můžete vyhledat konkrétní skupinu pravidel a nakonfigurovat je hromadně.

Nasazení na úrovni účtu

Na úrovni zóny každou Spravovaná sada pravidel WAF lze nasadit pouze jednou. Na úrovni účtu můžete každou spravovanou sadu pravidel nasadit vícekrát. Díky tomu můžete stejnou sadu pravidel s různými konfiguracemi použít na různé podmnožiny příchozího provozu napříč zónami Enterprise ve vašem účtu.

Můžete například nasadit Cloudflare OWASP Core Ruleset opakovaně s různými úrovně paranoia a jiná akce (Managed Challenge akce pro PL3 a Log akce pro PL4). Vyšší hodnoty paranoia level aktivují další pravidla, u kterých je pravděpodobnější, že způsobí falešně pozitivní výsledky.

Příklad: nasazení OWASP se dvěma různými konfiguracemi

Následující příklad nasadí Cloudflare OWASP Core Ruleset opakovaně na úrovni účtu pomocí následujícího spouštění pravidel:

První prováděné pravidlo: Povolte pravidla OWASP až po úroveň paranoie 3 (PL3) a nastavte akci na Managed Challenge.
Druhé prováděné pravidlo: povolte pravidla OWASP až do úrovně PL4 a nastavte akci na Log.

Tato konfigurace vám poskytuje dodatečnou ochranu tím, že povolí pravidla PL3, ale bez blokování požadavků, protože vyšší úrovně paranoia level jsou náchylnější k falešně pozitivním výsledkům.

Druhé pravidlo zaznamenává veškeré shody pro pravidla PL4, tedy nejpřísnější sadu pravidel v této sadě pravidel, aby to neovlivnilo živý provoz. Tuto konfiguraci můžete použít ke zjištění, který provoz by pravidla PL4 ovlivnila.

Nasaďte Cloudflare OWASP Core Ruleset podle pokyny pro dashboard, a přizpůsobte tak chování sady pravidel pomocí těchto nastavení:
- Práh skóre anomálie OWASP: Střední: 40 a více
- Úroveň paranoje OWASP: PL3
- OWASP Action: Managed Challenge
Vyberte Nasadit.
Zopakujte postup nasazení pro sadu pravidel OWASP, tentokrát ale s následující konfigurací sady pravidel:
- Práh skóre anomálie OWASP: Střední: 40 a více
- Úroveň paranoje OWASP: PL4
- OWASP Action: Log

Jakmile dokončíte konfiguraci, Nasazené spravované sady pravidel seznam zobrazí dvě Spustit pravidla pro Cloudflare OWASP Core Ruleset.

Následující POST požadavek pro Vytvořte account ruleset operace vytvoří vstupní sada pravidel pro http_request_firewall_managed fáze na úrovni účtu. Sada pravidel obsahuje dvě pravidla, která nasazují Cloudflare OWASP Core Ruleset dvakrát s různými konfiguracemi.

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:

Account WAF Write
Account Rulesets Write

Vytvořte account ruleset

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/rulesets" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "My ruleset",
		"description": "Entry point ruleset for WAF managed rulesets (account)",
		"kind": "root",
		"phase": "http_request_firewall_managed",
		"rules": [
				{
						"action": "execute",
						"action_parameters": {
								"id": "4814384a9e5d4991b9815dcfc25d2f1f",
								"overrides": {
										"categories": [
												{
														"category": "paranoia-level-4",
														"enabled": false
												}
										],
										"rules": [
												{
														"id": "6179ae15870a4bb7b2d480d4843b323c",
														"action": "managed_challenge"
												}
										]
								}
						},
						"expression": "cf.zone.plan eq \"ENT\"",
						"description": "Execute OWASP ruleset at PL3 with Managed Challenge action"
				},
				{
						"action": "execute",
						"action_parameters": {
								"id": "4814384a9e5d4991b9815dcfc25d2f1f",
								"overrides": {
										"rules": [
												{
														"id": "6179ae15870a4bb7b2d480d4843b323c",
														"action": "log"
												}
										]
								}
						},
						"expression": "cf.zone.plan eq \"ENT\"",
						"description": "Execute OWASP ruleset at PL4 with Log action"
				}
		]
	}'

Přizpůsobte chování spravovaných sad pravidel

Chcete-li přizpůsobit chování spravovaných sad pravidel, proveďte jedno z následujícího:

Vytvoření výjimek, abyste za určitých podmínek přeskočili vyhodnocení spravovaných sad pravidel nebo některých jejich pravidel.
Konfigurace přepisů ke změně akce pravidla nebo deaktivaci jednoho či více pravidel spravovaných sad pravidel. Přepisy mohou ovlivnit celou spravovanou sadu pravidel, konkrétní štítky nebo konkrétní pravidla ve spravované sadě pravidel.

Výjimky mají přednost před přepsáními.