← Dokumentace WAF

Začínáme

Cloudflare Web Application Firewall (Cloudflare WAF) kontroluje příchozí webové požadavky a požadavky API a filtruje nežádoucí provoz na základě sad pravidel označovaných jako rulesety.

Tato stránka vás provede doporučenými úvodními kroky pro konfiguraci WAF, díky nimž získáte okamžitou ochranu proti nejběžnějším útokům.

Viz Základní pojmy s dalšími informacemi o konceptech, hlavních součástech a rolích WAF.

• Ujistěte se, že máte nastavit účet Cloudflare a přidali jste svou doménu na Cloudflare.
• Uživatelé na plánu Free mají přístup k Cloudflare Free Managed Ruleset, což je podmnožina Cloudflare Managed Ruleset. Free Managed Ruleset je ve výchozím nastavení nasazen na plánech Free a tento návod se jím konkrétně nezabývá.
  Pokud máte plán Free, můžete přeskočit na 5. Zkontrolujte provoz v bezpečnostních dashboardech.

Cloudflare Managed Ruleset chrání proti Common Vulnerabilities and Exposures (CVE) a známým vektorům útoku. Tato sada pravidel je navržena tak, aby pomocí signatur rozpoznávala běžné útoky a přitom generovala málo falešně pozitivních výsledků. Změny pravidel se zveřejňují každý týden v Changelog WAF. Cloudflare může také kdykoli přidat pravidla v rámci mimořádných verzí pro ochranu proti významným zero-day zranitelnostem.

Skóre útoku WAF je vrstva strojového učení, která doplňuje spravované sady pravidel Cloudflare a poskytuje dodatečnou ochranu proti SQL injection ↗ (SQLi), cross-site scripting ↗ (XSS) a mnoho dalších vzdálené spuštění kódu ↗ (RCE) útoky. Pomáhá identifikovat obcházení pravidel a potenciálně nové, dosud neobjevené útoky.

Pokud jste zákazníkem plánu Enterprise, postupujte takto:

Pokud máte plán Business, vytvořte vlastní pravidlo podle výše uvedeného postupu, ale použijte WAF Attack Score Class pole. Můžete například použít následující výraz pravidla: WAF Attack Score Class equals Attack.

Zákazníci s plánem Enterprise, kteří mají Bot Management, by měli nejprve nastavit ochranu proti botům pomocí Security Settings, které poskytují základní ochranu bez nutnosti vytvářet vlastní pravidla:

Tato předdefinovaná nastavení se automaticky aktualizují o nové signatury botů a nezapočítávají se do limitu vlastních pravidel. Další podrobnosti najdete v Bot Management.

Volitelně, pokud potřebujete podrobnější kontrolu, například jiný práh skóre nebo pravidla kombinující skóre bota s dalšími poli, vytvořit vlastní pravidlo pomocí Bot Score a Pole Verified Bot:

• Když příchozí požadavky odpovídají:

  Pole	Operátor	Hodnota	Logika
  Bot Score	menší než	20	And
  Verified Bot	equals	Vypnuto

• Vyberte akci: Managed Challenge

Toto pravidlo používá prahovou hodnotu 20 (místo výchozí prahové hodnoty 30 použité v nastavení), a poskytuje tak přísnější ochranu pro provoz ve skóre 20 až 29.

Komplexnější příklad základní ochrany proti škodlivým botům najdete v Vyzývání k ověření škodlivých botů.

Další informace o polích souvisejících s roboty, které můžete použít ve výrazech, najdete v Proměnné Bot Management.

Jakmile nasadíte Cloudflare Managed Ruleset a pravidla založená na skóre útoku a skóre bota, dosáhnete výrazné ochrany a omezíte pravděpodobnost falešně pozitivních výsledků.

Po nakonfigurování Cloudflare Managed Ruleset a skóre útoku můžete také nasadit Cloudflare OWASP Core Ruleset. Tato spravovaná sada pravidel je implementace OWASP ModSecurity Core Rule Set od Cloudflare. Její pokrytí útoků se výrazně překrývá s Cloudflare Managed Ruleset, protože detekuje běžné vektory útoků, jako jsou SQLi a XSS.

Po nastavení konfigurace WAF zkontrolujte, jak vaše aktuální nastavení ovlivňuje příchozí provoz, pomocí následujících dashboardů:

• Použijte Security Analytics k prozkoumání veškerého provozu, včetně provozu neovlivněného zmírňujícími opatřeními WAF. Všechna data poskytovaná detekce provozu je dostupné v tomto dashboardu.
• Použijte Security Events k získání dalších informací o požadavcích, které zmírňují bezpečnostní produkty Cloudflare.

Zákazníci s plánem Enterprise mohou také získávat data o požadavcích HTTP a bezpečnostních událostech pomocí Cloudflare Logs.

Po nakonfigurování WAF na základě informací z předchozích částí byste měli mít silnou základní ochranu proti možným hrozbám pro vaše aplikace.

Následující doporučení vám mohou pomoci získat další ochranu pro konkrétní případy použití.

Vytvořte vlastní pravidlo k povolit provoz pouze z IP adres v allowlist.

Vytvořte vlastní pravidlo k blokování provozu z konkrétních zemí.

Vytvořte pravidlo omezení frekvence požadavků k uplatnit omezení frekvence požadavků na přihlašovací endpoint.

Použijte detekce uniklých přihlašovacích údajů, abyste zabránili útoky typu credential stuffing na vaše aplikace.

Použití WAF content scanning, abyste skenovali obsah nahrávaný do vaší aplikace a vyhledávali škodlivý obsah.

Cloudflare chrání vaše API před novými i známými útoky a exploity na úrovni aplikací, jako jsou útoky SQL injection. Bezpečnostní produkty určené speciálně pro API tuto ochranu rozšiřují o řešení specifických rizik API, jako je zjišťování API (API discovery) a správa autentizace.

Další informace o funkcích zabezpečení API od Cloudflare najdete v Cloudflare API Shield.

Informace o tom, jak zabránit útočníkům v odhalení nebo přetížení vašeho origin serveru, najdete v Chraňte svůj origin server pro vrstvený přístup zahrnující proxované DNS, allowlisting IP adres a ověřené stahování z originu.