← Dokumentace WAF

Interoperabilita bezpečnostních funkcí

Cloudflare u každého příchozího požadavku uplatňuje více bezpečnostních funkcí. Každá funkce se spouští v konkrétní fázi a pořadí určuje, která funkce zasáhne jako první. Pochopení tohoto pořadí vám pomůže předejít konfliktům a omezit falešně pozitivní výsledky.

Bezpečnostní funkce Cloudflare využívající Ruleset Engine se spouští v pevně dané posloupnosti fází. Když požadavek dorazí, prochází postupně jednotlivými fázemi. Pokud pravidlo provede ukončující akce (například Block nebo Managed Challenge), požadavek se zastaví a nedostane se do dalších fází.

Bezpečnostně relevantní fáze požadavku se provádějí v tomto pořadí:

V rámci každé fáze se sady pravidel na úrovni účtu spouštějí před sadami pravidel na úrovni zóny.

Ruleset Engine pohání řadu produktů Cloudflare i mimo oblast zabezpečení. Více informací najdete v Seznam fází s úplným seznamem fází požadavku a odpovědi.

Následující bezpečnostní funkce nejsou postaveny na Ruleset Engine a vyhodnocují se nezávisle:

• IP Access Rules
• Zone Lockdown
• Blokování User Agent
• Browser Integrity Check
• Hotlink Protection
• Security Level

Protože tyto funkce fungují nezávisle, neřídí se pořadím fází popsaným výše.

Ochrana před DDoS je vždy zapnuto u všech plánů Cloudflare. L7 HTTP DDoS Attack Protection detekuje a zmírňuje DDoS útoky na aplikační vrstvě. L3/4 Network-layer DDoS Attack Protection řeší útoky na síťové vrstvě. Aby ochrana proti DDoS fungovala, nemusíte nic zapínat ani konfigurovat.

Custom rules jsou pravidla, která definujete. Spouštějí se v http_request_firewall_custom fáze a podporují akce jako Block, Managed Challenge, Přeskočit, a Log. Můžete odkázat na bot score pole, Skóre útoku WAF pole a všechna standardní pole požadavku ve svých výrazech.

Rate limiting rules omezují nebo blokují provoz, který překračuje definovanou rychlost požadavků. Běží v http_ratelimit fáze, po vlastních pravidlech.

Managed Rules jsou předkonfigurované sady pravidel spravované společností Cloudflare. Patří mezi ně Cloudflare Managed Ruleset a OWASP Core Ruleset. Spouští se v http_request_firewall_managed fáze.

Bot Fight Mode je dostupné v plánu Free. Jde o jednoduchý přepínač zapnuto/vypnuto, který vyzývá k ověření provoz odpovídající vzorům známých botů. Jeho chování nelze přizpůsobit ani jej obejít pomocí vlastních pravidel.

Super Bot Fight Mode (SBFM) je k dispozici v plánech Pro, Business a Enterprise (bez doplňku Bot Management). Běží v http_request_sbfm fáze a nabízí větší kontrolu než Bot Fight Mode. Můžete nakonfigurovat samostatné akce pro Definitely automated, Likely automated, a Ověření roboti provoz. SBFM můžete pro konkrétní požadavky přeskočit pomocí Přeskočit akce ve vlastních pravidlech.

Bot Management je doplněk pro plán Enterprise. Generuje skóre bota v rozsahu od 1 na 99 pro každý požadavek. Nižší skóre znamená více automatizovaného provozu. Vlastní pravidla píšete pomocí cf.bot_management.score pole k provedení akce na základě tohoto skóre. Další informace najdete v Proměnné Bot Management.

Tato pravidla určují, jak spolu bezpečnostní funkce interagují:

• Ukončující akce zastaví proces vyhodnocování požadavků. Pokud pravidlo požadavek blokuje nebo mu zobrazí výzvu, Cloudflare pro tento požadavek už nevyhodnocuje další fáze.
• Vlastní pravidla se spouštějí před SBFM. Terminační akce ve vlastním pravidle zabrání tomu, aby Super Bot Fight Mode požadavek dále vyhodnotil.
• Akce přeskočení obcházejí pozdější fáze. Můžete použít Přeskočit akce ve vlastních pravidlech k obcházení pravidel omezení frekvence požadavků (http_ratelimit), Super Bot Fight Mode (http_request_sbfm) a Managed Rules (http_request_firewall_managed).
• Bot Fight Mode nelze přeskočit. Protože Bot Fight Mode není součástí Ruleset Engine, vlastní pravidla ho nemohou obejít. Pokud potřebujete provoz z ochrany proti botům vyjmout, přejděte na Super Bot Fight Mode nebo Bot Management.
• Skóre Bot Management jsou dostupná ve vlastních pravidlech. Zákazníci s plánem Enterprise, kteří mají Bot Management, mohou použít cf.bot_management.score ve výrazech vlastních pravidel k definování vlastních prahových hodnot podle cesty, user agenta nebo jakékoli jiné vlastnosti požadavku.

Plán Free zahrnuje ochranu před útoky DDoS a Bot Fight Mode.

• Ochrana DDoS se spouští automaticky u každého požadavku.
• Zapněte Bot Fight Mode v části Security > Nastavení k vyzývání k ověření známých vzorů botů.
• Zapněte Block AI Bots, abyste zabránili AI robotům stahovat váš obsah.

Protože režim Bot Fight Mode nelze přeskočit ani přizpůsobit, nemůžete vytvářet výjimky pro konkrétní boty. Pokud režim Bot Fight Mode způsobuje falešně pozitivní výsledky u legitimního automatizovaného provozu, například u monitorovacích služeb nebo poskytovatelů platebních služeb, zvažte přechod na plán Pro nebo Business, který zahrnuje Super Bot Fight Mode.

Plán Pro nebo Business přidává Super Bot Fight Mode, vlastní pravidla a Managed Rules.

• Ochrana DDoS se spouští automaticky.
• Zapněte Super Bot Fight Mode k blokování automatizovaného a pravděpodobně automatizovaného provozu.
• Nasadit Managed Rules pro ochranu proti známým zranitelnostem, jako je SQL injection a cross-site scripting.
• Vytvoření vlastních pravidel s Přeskočit akce, která umožní legitimní automatizovaný provoz, zatímco SBFM blokuje škodlivé boty všude jinde. Použijte následující konfiguraci pravidla:
  • Nastavte výraz pravidla tak, aby odpovídal IP adresám nebo user agentům vašeho poskytovatele platebních služeb.
  • Nastavte akci na Přeskočit, a vyberte Super Bot Fight Mode.

Největší flexibilitu nabízí plán Enterprise s doplňkem Bot Management.

• Ochrana DDoS se spouští automaticky.
• Bot Management generuje skóre bota u každého požadavku.
• Vytvoření vlastních pravidel, která odkazují na cf.bot_management.score k definování vlastních prahových hodnot. Můžete například blokovat požadavky se skóre bota nižším než 30 pro cesty webu, zatímco na cestách API, které používají ověření partneři, povolíte všechna skóre.
• Pomocí pravidel omezení frekvence omezte škodlivé vzorce provozu.
• Nasaďte Managed Rules na ochranu před známými zranitelnostmi.

Když bezpečnostní funkce zasahují do legitimního provozu, k identifikaci a vyřešení problému postupujte podle následujících kroků.

Použijte Security Events k identifikaci funkce, která zablokovala požadavek:

1. V dashboardu Cloudflare přejděte na Analytics stránce.

   Přejděte na Analytics ↗

2. Vyberte Události kartě.

3. Najděte blokovaný požadavek v protokolu.

4. Zkontrolujte Služba pole ke zjištění, který produkt akci provedl. Toto pole vám řekne, kterou funkci je třeba upravit.

Bot Fight Mode nepodporuje výjimky. Máte dvě možnosti:

• Zcela vypněte Bot Fight Mode v části Security > Nastavení.
• Upgradujte na plán s funkcí Super Bot Fight Mode, která podporuje pravidla přeskočení.

Další informace najdete v tématu Řešení falešně pozitivních výsledků z Bot Fight Mode nebo Super Bot Fight Mode.

Vytvořte vlastní pravidlo s Přeskočit akce k obejití SBFM pro dotčený provoz:

Další informace najdete v tématu Řešení falešně pozitivních výsledků z Bot Fight Mode nebo Super Bot Fight Mode.

Pokud spravované pravidlo blokuje legitimní provoz:

• Vytvořte Výjimka WAF, abyste u odpovídajících požadavků přeskočili konkrétní pravidla nebo sady pravidel.
• Pokud se jednotlivá pravidla ve spravované sadě pravidel na vaši aplikaci nevztahují, vypněte je.

Podrobné pokyny najdete v Řešení problémů se spravovanými pravidly.