← Dokumentace WAF / managed-rules / reference
Cloudflare OWASP Core Ruleset
Cloudflare OWASP Core Ruleset je implementací Cloudflare pro OWASP ModSecurity Core Rule Set ↗ (CRS) verze 3.3.0.
Cloudflare OWASP Core Ruleset je navržena tak, aby fungovala jako jeden celek a počítala threat score a proveďte akci na základě tohoto skóre. Když pravidlo v sadě pravidel odpovídá požadavku, skóre hrozby se zvýší podle skóre pravidla. Pokud je konečné skóre hrozby vyšší než nakonfigurovaná prahová hodnota skóre, Cloudflare spustí akci nakonfigurovanou v posledním pravidle sady pravidel.
OWASP Top 10 oproti Cloudflare Rulesets
Cloudflare OWASP Core Ruleset je implementací Cloudflare pro OWASP ModSecurity Core Rule Set verze 3.3.0, která se liší od OWASP Top 10 ↗.
OWASP Top 10 ↗ je seznam nejzávažnějších bezpečnostních rizik aplikací, jehož cílem je zvýšit povědomí mezi odborníky a vývojáři. Zatímco některá rizika lze řešit pomocí webového aplikačního firewallu, jiná vyžadují odlišná řešení nebo musí být zmírněna již během vývoje aplikace. Konkrétně:
- Chyby v kryptografii
- Nezabezpečený návrh
- Chyby identifikace a autentizace
- Security Logging and Monitoring Failures
Tato rizika závisejí spíše na tom, jak je aplikace vytvořená nebo jak je nastavený celý monitorovací pipeline.
Produkty Cloudflare v porovnání s OWASP Top 10
Cloudflare Managed Ruleset i OWASP CRS sice usilují o zmírnění několika kategorií OWASP Top 10, jejich přístupy se ale liší. OWASP CRS v3.3 je obecná open source sada pravidel založená na „bodování“, která často vyžaduje ruční ladění. Cloudflare Managed Ruleset je naproti tomu proprietární engine s velkým důrazem na signatury, podpořený rozsáhlou globální threat intelligence společnosti Cloudflare. Cloudflare navíc díky této spravované sadě pravidel rychle nasazuje ochranu proti novým CVE, zatímco OWASP CRS zůstává poměrně statická.
Následující tabulka znázorňuje, jak produkty Cloudflare odpovídají kategoriím OWASP.
| kategorie OWASP Top 10 | OWASP Core Rule Set (v3.3) | Cloudflare Managed Ruleset | Další produkty Cloudflare |
|---|---|---|---|
| A01: Broken Access Control | Cílí na Path Traversal (930XXX) a detekci App Defect (například přístup k .env, .git). | Využívá proprietární signatury pro Insecure Direct Object References a Directory Traversal. | Security Rules slouží k podrobnému vynucování pravidel podle IP adresy, geolokace nebo ASN. |
| A02: Chyby v kryptografii | N/A | N/A | Platforma Cloudflare poskytuje ovládací prvky na úrovni platformy pro HTTP Strict Transport Security, minimální verze TLS a automatizovanou správu certifikátů. Připraveno na postkvantové šifrování. |
| A03: Injection (SQLi, XSS) | Komplexní: Používá skórování založené na regulárních výrazech pro SQLi (942XXX), XSS (941XXX) a RCE (932XXX). | Kombinuje rychlé porovnávání signatur s Attack Score a zachytává tak silně obfuskované payloady. Aby se předešlo obfuskaci, používá se chytré předzpracování dekódování. | Cloudflare Attack Score založené na strojovém učení doplňuje spravované sady pravidel tím, že detekuje varianty útoků a jejich obcházení. |
| A04: Nezabezpečený návrh | N/A | N/A | API Schema Validation pomáhá zmírnit prosazování protokolu, které může plynout ze špatného návrhu (například prosazování HTTP metody) |
| A05: Nesprávná konfigurace zabezpečení | Detekuje výpis obsahu adresářů, výchozí chybové zprávy a porušení protokolu pomocí pravidel řady 920XXX. | Zahrnuje širokou sadu spravovaných pravidel pro zabezpečení konkrétních platforem CMS, například WordPress a Magento, proti známým chybným konfiguracím. | |
| A06: Zastaralé komponenty | Obecná pravidla mohou zachytit exploity, ale neudržují databázi konkrétních verzí softwaru. | Proaktivní virtuální záplatování nově objevených CVE (například Log4Shell, React2Shell), často nasazené během minut až hodin od zveřejnění. | Cloudflare Attack Score založené na strojovém učení doplňuje spravované sady pravidel tím, že detekuje varianty útoků a jejich obcházení. |
| A07: Identifikace a autentizace | N/A | N/A | Leaked Credential Check, Bot Management a Account Abuse Protection jsou navrženy tak, aby zastavily automatizované stuffing útoky a další zranitelnosti související s autentizací. |
| A08: Integrita softwaru a dat | Dedikovaná pravidla pro Insecure Deserialization (944XXX) a PHP injection. | Signatury běžných exploitů pro serializaci a vzorů útoků na dodavatelský řetězec (například SolarWinds/Mimecast). | Cloudflare Client-side security monitoruje skripty, připojení a soubory cookie, které načítají návštěvníci vašeho webu |
| A09: Protokolování a monitorování | N/A | N/A | Platforma Cloudflare nabízí integrovaný dashboard s analytikou v reálném čase, Logpush do SIEM a automatizovaným upozorňováním na anomálie. LogExplorer je nástroj Cloudflare pro observabilitu a forenzní analýzu. |
| A10: SSRF | Pravidla (934XXX) blokují požadavky na interní IP adresy a služby metadat cloudu (AWS, Azure, GCP). | Identifikuje signatury útoků SSRF a umožňuje uživatelům snadno blokovat odchozí požadavky na citlivé metadatové endpointy. | - |
