← Dokumentace WAF

Managed Rules

Cloudflare poskytuje předkonfigurované spravované sady pravidel, které chrání před exploity webových aplikací, jako jsou například tyto:

• Zero-day zranitelnosti
• 10 nejčastějších technik útoků
• Použití odcizených nebo uniklých přihlašovacích údajů
• Extrakce citlivých dat

Spravované sady pravidel jsou pravidelně aktualizované. Každé pravidlo má výchozí akci, která se liší podle závažnosti pravidla. Chování konkrétních pravidel můžete upravit výběrem z několika možných akcí.

Pravidla ve spravovaných sadách pravidel mají přiřazené štítky (například wordpress), pomocí kterých můžete vyhledat konkrétní skupinu pravidel a nakonfigurovat je hromadně.

• Cloudflare Managed Ruleset: Tuto sadu pravidel vytvořil bezpečnostní tým Cloudflare a poskytuje rychlou a efektivní ochranu pro všechny vaše aplikace. Zahrnuje známé techniky útoků i zero-day zranitelnosti (nově objevené chyby, pro které ještě není k dispozici oprava). Sada pravidel se často aktualizuje, aby řešila nové hrozby a omezovala výskyt falešně pozitivních výsledků (legitimních požadavků nesprávně označených jako škodlivé).
  ID sady pravidel: ...376e9aee

• Cloudflare OWASP Core Ruleset: Implementace Open Web Application Security Project (OWASP) ModSecurity Core Rule Set od Cloudflare. Tato sada pravidel používá bodovací model: každé shodující se pravidlo přidává své skóre do kumulativního threat score, a WAF spustí nakonfigurovanou akci, když skóre překročí prahová hodnota.
  ID sady pravidel: ...c25d2f1f

• Cloudflare Exposed Credentials Check: Nasadí automatizovanou kontrolu přihlašovacích údajů na autentizačních endpointech koncových uživatelů. Pro každou dvojici přihlašovacích údajů Cloudflare WAF ověří ve veřejné databázi odcizených přihlašovacích údajů, zda již dříve unikly. Cloudflare doporučuje použít detekce uniklých přihlašovacích údajů namísto této sady pravidel.
  ID sady pravidel: ...14069605

• Cloudflare Free Managed Ruleset: Dostupné ve všech plánech Cloudflare. Poskytuje ochranu před zranitelnostmi s vysokým dopadem a rozsáhlým zneužíváním v praxi. Pravidla lze bezpečně nasadit u většiny aplikací. Pokud jste již nasadili Cloudflare Managed Ruleset, tuto sadu pravidel nepotřebujete, protože Cloudflare Managed Ruleset nabízí širší pokrytí.
  ID sady pravidel: ...dfb893ba

Následující spravované sady pravidel běží ve fázi odpovědi:

• Cloudflare Sensitive Data Detection: Cloudflare tuto sadu pravidel vytvořil pro řešení běžných hrozeb úniku dat. Tato pravidla sledují stahování konkrétních citlivých dat, například finančních informací a osobních údajů.
  ID sady pravidel: ...499d988e

Spravované sady pravidel, které můžete nasadit, závisí na vašem plánu Cloudflare.

Chcete-li přizpůsobit chování spravovaných sad pravidel, proveďte jedno z následujícího:

• Vytvoření výjimek, abyste za určitých podmínek přeskočili vyhodnocení spravovaných sad pravidel nebo některých jejich pravidel.
• Konfigurace přepisů ke změně akce pravidla nebo deaktivaci jednoho či více pravidel spravovaných sad pravidel. Přepisy mohou ovlivnit celou spravovanou sadu pravidel, konkrétní štítky nebo konkrétní pravidla ve spravované sadě pravidel.

Výjimky mají přednost před přepsáními.

Pokud používáte několik funkcí zabezpečení aplikací, jako jsou vlastní pravidla, Managed Rules a Super Bot Fight Mode, je důležité rozumět tomu, jak tyto funkce spolupůsobí a v jakém pořadí se vyhodnocují. Další informace najdete v Interoperabilita bezpečnostních funkcí s dalšími informacemi.

Spravovaná pravidla kontrolují tělo každého příchozího požadavku až do maximální velikosti. Tento limit se liší podle plánu:

• Pro zákazníky s plánem Enterprise je maximální velikost těla požadavku 128 KB.
• U ostatních placených plánů je limit ve výchozím nastavení nižší, pro jeho navýšení kontaktujte svůj account tým nebo podporu Cloudflare.
• U plánu Free je limit 1 MB.

Obsah požadavku nad tímto limitem nemusí být plně analyzován, což může ovlivnit chování spravovaných pravidel. Například OWASP Core Ruleset počítá kumulativní threat score na základě skóre jednotlivých pravidel, která požadavku odpovídají. Větší payloady poskytují pravidlům více obsahu, se kterým mohou porovnávat, což zvyšuje skóre a zvyšuje pravděpodobnost překročení prahová hodnota skóre, což vede k falešně pozitivnímu výsledku.

Pokud je to součástí vašeho plánu, můžete použít pole těla požadavku v vlastní pravidla k použití vhodných akcí na požadavky, které nebyly plně analyzovány. http.request.body.truncated pole udává, zda bylo tělo požadavku zkráceno, zatímco http.request.headers.truncated udává, zda požadavek neobsahoval příliš mnoho hlaviček na to, aby mohly být zahrnuty všechny.

Na úrovni zóny můžete každou spravovanou sadu pravidel nasadit jen jednou. Na úroveň účtu, můžete každou spravovanou sadu pravidel nasadit vícekrát, což vám umožní použít různé konfigurace stejné sady pravidel na různé podmnožiny příchozího provozu.

WAF Managed Rules se spouští ve fázi http_request_firewall_managed fáze, která spouští po:

• Ochrana před útoky HTTP DDoS (ddos_l7 fáze)
• Vlastní pravidla (http_request_firewall_custom fáze)
• Pravidla omezení frekvence požadavků (http_ratelimit fáze)

To znamená, že pravidlo s terminační akcí (jako je Block nebo Managed Challenge) v kterékoli z těchto dřívějších fází zabrání tomu, aby Managed Rules daný požadavek vyhodnotila. Úplné pořadí vykonávání bezpečnostních funkcí najdete v Interoperabilita bezpečnostních funkcí.

Výjimky WAF (skip rules) jsou pravidla s skip akce nasazená do http_request_firewall_managed fáze vstupní sady pravidel. Vyhodnocují se v pořadí, v jakém jsou uvedeny ve vstupní sadě pravidel: pravidlo přeskočení obchází pouze execute pravidla uvedená za ním. Výjimky umístěte před spouštěcí pravidla spravované sady pravidel, která mají přeskočit. Další informace najdete v Výjimky WAF.