← Dokumentace WAF / detections

Skóre útoku WAF

Skóre útoku detekce provozu klasifikuje každý požadavek pomocí algoritmu strojového učení a přiděluje mu skóre od 1 do 99 podle pravděpodobnosti, že je škodlivý. Tato detekce doplňuje WAF Managed Rules.

Managed Rules porovnávají požadavky se známými signaturami útoků, tedy konkrétními vzory zavedených vektorů útoku. Mají velmi nízkou míru falešně pozitivních výsledků. Útočníci ale mohou známé payloady upravit, například pomocí fuzzing technik (testovací techniky, která odesílá upravené vstupy za účelem odhalení zranitelností), a tím se přesné shodě signatur vyhnout.

Attack score tuto mezeru řeší. Pomocí tohoto skóre můžete identifikovat potenciálně škodlivý provoz, který přesně neodpovídá žádnému pravidlu ve WAF Managed Rules.

Chcete-li ochranu maximalizovat, Cloudflare doporučuje používat současně Managed Rules i attack score.

Cloudflare WAF poskytuje následující pole attack score:

Tato pole můžete použít ve výrazech vlastní pravidla a pravidla rate limitingu. Číselná pole skóre se pohybují v rozsahu od 1 na 99:

• Skóre 1 značí, že požadavek je téměř jistě škodlivý.
• Skóre 99 značí, že požadavek je pravděpodobně neškodný.

Skóre 100 znamená, že požadavek se dostal do systému WAF attack score, ale systém se rozhodl jej neohodnotit.

V Logpush data, skóre 0 znamená, že požadavek se nedostal do fáze výpočtu attack score, například proto, že jej již zmírnilo předchozí pravidlo nebo ochranný systém. Hodnota 0 se v dashboardu Cloudflare nezobrazuje.

Globální WAF Attack Score se matematicky odvozuje z jednotlivých skóre útoku (například ze SQLi Attack Score a XSS Attack Score), a odráží tak jejich vzájemnou závislost. Globální skóre však není součtem jednotlivých skóre. Nízké globální skóre obvykle znamená střední až nízká jednotlivá skóre, zatímco vysoké globální skóre naznačuje vyšší jednotlivá skóre.

Pole WAF Attack Score Class může mít jednu z následujících hodnot v závislosti na vypočítaném attack score požadavku:

Požadavky se speciálním skóre útoku 100 bude mít WAF Attack Score Class nastavenou na Bez skóre na řídicím panelu Cloudflare, ale tuto hodnotu třídy nelze použít ve výrazech pravidel.

Attack score automaticky zjišťuje a dekóduje obsah kódovaný v Base64, JavaScriptu (únikové sekvence Unicode) nebo URL kdekoli v požadavku: v URL, hlavičkách i těle.

Blokování provozu pouze na základě skóre útoku pro všechny hodnoty pod 50 se nedoporučuje. Pravděpodobný útok rozsah (skóre 21-50) mohou zahrnovat legitimní požadavky, které byly nesprávně označeny jako škodlivé (falešně pozitivní výsledky). Pokud chcete blokovat provoz na základě skóre útoku, proveďte jednu z následujících akcí:

• Použijte přísnější hodnotu WAF Attack Score ve svém výrazu. Například blokujte provoz se skóre útoku WAF pod 20 nebo pod 15 (přesnou prahovou hodnotu možná budete muset upravit).

• Při blokování příchozího provozu kombinujte vyšší práh WAF Attack Score s dalšími filtry. Do výrazu můžete například zahrnout kontrolu konkrétní cesty URI, nebo jako součást kritérií použít skóre bota.

Zákazníci s plánem Enterprise mohou vytvořit vlastní pravidlo které blokuje požadavky s WAF Attack Score menší nebo rovno 20 (doporučená počáteční prahová hodnota). Například:

• Ekvivalentní výraz pravidla: cf.waf.score le 20
• Akce: Block

Zákazníci s plánem Business musí vytvořit vlastní pravidlo s WAF Attack Score Class pole. Toto pole můžete použít například k blokování příchozích požadavků se skóre třídy Útok:

• Ekvivalentní výraz pravidla: cf.waf.score.class eq "attack"
• Akce: Block

Sledujte vytvořené pravidlo, zejména v prvních dnech, abyste se ujistili, že jste pro svůj provoz zadali vhodný práh (nebo třídu). V případě potřeby pravidlo aktualizujte.

Pokud jste zákazníkem plánu Enterprise a vytvořili jste pravidlo s Log akce změňte akci pravidla na přísnější, například Managed Challenge nebo Block.

WAF attack score a bot score slouží k odlišným účelům. Attack score identifikuje varianty útoků, které WAF Managed Rules nezachytí. Bot score identifikuje, zda požadavek pochází z automatizovaného provozu.