← Dokumentace WAF / managed-rules

Řešení problémů se spravovanými pravidly

Spravované sady pravidel WAF jsou ve výchozím nastavení kompatibilní s většinou webů a webových aplikací. Přesto se mohou vyskytnout falešně pozitivní i falešně negativní výsledky:

• Falešně pozitivní výsledky: Legitimní požadavky detekované a zmírněné jako škodlivé.
• Falešně negativní výsledky: Škodlivé požadavky, které nebyly zmírněny a dosáhly vašeho origin serveru.

Můžete použít Security Events k tomu, abyste zjistili, co způsobilo zablokování legitimních požadavků. Podle potřeby přidejte filtry a upravte dobu trvání reportu.

Pokud narazíte na falešně pozitivní výsledek způsobený spravovaným pravidlem, proveďte jedno z následujícího:

• Přidat výjimku: Výjimky vám umožňují přeskočit vyhodnocení WAF managed rulesets nebo některých jejich pravidel u určitých požadavků.

• Upravte spravovanou sadu pravidel OWASP: Požadavek blokovaný pravidlem s ID ...843b323c a popis 949110: Inbound Anomaly Score Exceeded odkazuje na Cloudflare OWASP Core Ruleset. Chcete-li problém vyřešit, nakonfigurovat spravovanou sadu pravidel OWASP.

• Vypnutí odpovídajícího spravovaného pravidla (pravidel): Vytvořte přepis, který deaktivuje konkrétní pravidla. Tím se lze vyhnout falešně pozitivním výsledkům, ale současně to snižuje celkovou bezpečnost webu. Další informace najdete v pokyny pro dashboard ke konfiguraci spravované sady pravidel, nebo Pokyny k API k vytvoření přepsání.

• Pokud konkrétní pravidlo způsobuje falešně pozitivní výsledky, deaktivujte pouze toto pravidlo, ne celou sadu pravidel.

• V případě falešně pozitivních výsledků v administrátorské oblasti vašeho webu přidejte výjimka zakázání spravovaného pravidla pro administrátorskou sekci prostředků vašeho webu. Můžete použít výraz podobný následujícímu:

  http.host eq "example.com" and starts_with(http.request.uri.path, "/admin")

Chcete-li identifikovat falešně negativní výsledky, projděte protokoly HTTP na svém origin serveru.

Chcete-li snížit počet falešně negativních výsledků, použijte následující kontrolní seznam:

• Jsou záznamy DNS obsluhující provoz HTTP proxováno přes Cloudflare?
  Cloudflare zmírňuje pouze požadavky v proxovaném provozu.

• Nasadili jste některá z Spravované sady pravidel WAF ve vaší zóně?
  Musíte nasadit spravovanou sadu pravidel k použití svých pravidel.

• Jsou spravovaná pravidla přeskakována přes výjimka?
  Použijte Security Events, abyste vyhledali přeskočené požadavky. V případě potřeby upravte výraz výjimky tak, aby odpovídal útočnému provozu, který měl být zablokován.

• Povolili jste všechna potřebná spravovaná pravidla, která nejsou ve výchozím nastavení zapnutá?
  Ne všechna pravidla spravovaných sad pravidel WAF jsou ve výchozím nastavení povolena, proto byste měli jednotlivá spravovaná pravidla zkontrolovat.

  • Cloudflare například ve výchozím nastavení povoluje požadavky s prázdným user agentem. Chcete-li požadavky s prázdným user agentem blokovat, povolte pravidlo s ID ...0a6dbbd3 v sadě Cloudflare Managed Ruleset.
  • Další příklad: pokud chcete blokovat nezmírněné útoky SQL injection (SQLi), ujistěte se, že relevantní spravovaná pravidla označená sqli jsou povolena v Cloudflare Managed Ruleset.

  Pokyny viz Nastavení spravované sady pravidel.

• Odpovídá útočný provoz vlastnímu pravidlu přeskočení všech Managed Rules?
  V případě potřeby upravte výraz vlastního pravidla tak, aby se nevztahoval na útočný provoz.

• Odpovídá útočný provoz povolenému ASN, rozsahu IP adres nebo IP adrese v IP Access rules?
  Zkontrolujte svá pravidla IP Access a ujistěte se, že žádné pravidlo typu allow neodpovídá útočnému provozu.

• Dosahuje škodlivý provoz přímo vašich origin IP adres, a tím obchází ochranu Cloudflare?
  Blokujte veškerý provoz kromě provozu z IP adresy Cloudflare na vašem origin serveru.

Pokud spravované sady pravidel WAF po ověření výše uvedeného nezachytí konkrétní vzorec útoku, zvažte následující:

• Použijte Skóre útoku WAF k doplnění spravovaných pravidel založených na signaturách o detekci pomocí strojového učení. Attack score klasifikuje každý požadavek skóre udávajícím pravděpodobnost, že je škodlivý, a to i v případě, že se neshoduje žádné spravované pravidlo.

• Vytvořte vlastní pravidlo k zablokování konkrétního vzoru útoku. Ke shodě se škodlivými požadavky použijte pole jako cesta URI, řetězec dotazu nebo hlavičky HTTP požadavku.