← Cloudflare DDoS Protection / ddos-protection / managed-rulesets / http / http-overrides

Примеры переопределений

В следующих сценариях подробно описано, как использовать правила переопределения для решения распространённых проблем с HTTP DDoS Protection.

Трафик от вашего мобильного приложения мог показаться подозрительным, из-за чего управляемое правило защиты от DDoS заблокировало его.

Определите управляемое правило, блокирующее трафик, и измените уровень чувствительности на Medium. Если трафик продолжает блокироваться управляемым правилом, установите уровень чувствительности Low или Essentially off.

Если у вас есть доступ к выражениям фильтров, вы можете создать переопределение, нацеленное именно на затронутый трафик.

Если вы понимаете, что трафик, помеченный адаптивным правилом, можно считать атакой, вы можете создать переопределение, включающее адаптивное правило в режиме нейтрализации, чтобы challenge (если это трафик браузера) или block (для прочего подозрительного трафика).

Ложноположительный результат означает ошибочное распознавание. В контексте защиты от DDoS он возникает, когда легитимный трафик ошибочно классифицируется как атака. Такое случается, если устаревшие приложения, интернет-сервисы или некорректно работающие клиентские приложения создают легитимный трафик, который выглядит подозрительно, имеет нетипичные паттерны, отклоняется от рекомендуемых практик или нарушает протоколы.

В таких случаях системы защиты от DDoS-атак Cloudflare могут пометить этот трафик как вредоносный и применить меры нейтрализации. Если трафик на самом деле легитимный и не является частью атаки, эти меры могут привести к сбоям и отказу в обслуживании ваших интернет-ресурсов.

Чтобы устранить ложное срабатывание:

После сохранения правило вступает в силу в течение одной-двух минут. Изменение правила должно дать немедленный эффект, который можно увидеть в панель аналитики.

Позже вы можете изменить уровень чувствительности правила, вызывающего ложные срабатывания, чтобы избежать проблем в будущем, а затем верните действие правила к значению по умолчанию.

Чтобы увидеть, как управляемые правила DDoS ведут себя при высоком уровне чувствительности, сохраняя при этом защиту от атак за счет блокировки на низком уровне чувствительности, клиенты Advanced DDoS Protection могут создайте первое переопределение, блокирующее атаки при низкой чувствительности, и второе переопределение для регистрации при высокой чувствительности.

Переопределения необходимо задавать именно в этом порядке, иначе они не будут работать. Это связано с тем, что переопределения проверяются последовательно и обработка останавливается на первом переопределении, которое соответствует и выражению, и уровню чувствительности. Если задать переопределения в неверном порядке, это приведет к тому, что Log переопределение с высокой чувствительностью, соответствующее всем случаям. В результате Cloudflare никогда не будет оценивать Block переопределение, размещенное после него, из-за чего все правила будут переведены в Log режим.

Если срабатывает переопределение без выражения, Cloudflare не будет проверять следующие за ним выражения.

Ложноотрицательный результат означает, что атака не была распознана. В контексте защиты от DDoS он возникает, когда вредоносный трафик ошибочно классифицируется как легитимный и не устраняется. Такое случается, если интенсивность атаки недостаточна для срабатывания защитных действий или если ни одно правило не соответствует атаке.

Чтобы устранить ложноотрицательное срабатывание:

• Если вы являетесь клиентом WAF/CDN, выполните шаги, описанные в Проактивная защита от DDoS, содержащую инструкции по включению Under Attack режим и создание ограничение частоты запросов и пользовательских правил WAF по мере необходимости.
• Если вы являетесь клиентом Magic Transit, используйте правила Cloudflare Network Firewall чтобы помочь подавить атаку.

Неполное смягчение последствий происходит, когда системы защиты от DDoS-атак применили меры, но атака была нейтрализована не полностью. Такое возможно, если системы Cloudflare применяют действие, менее строгое, чем требуется для этой атаки.

Система выбирает меру защиты на основе логики и степени уверенности системы защиты от DDoS-атак в том, что трафик действительно является частью атаки:

• Для правил с высокой степенью достоверности система применяет более строгое действие противодействия, например Block действие.
• Для правил с низкой степенью достоверности система применяет менее строгое правило противодействия, например Challenge или Force Connection Close.

Если вы столкнулись с DDoS-атакой, обнаруженной Cloudflare, а применённое действие нейтрализации недостаточно строгое, измените действие правила на Block:

После сохранения правило вступает в силу в течение одной-двух минут. Изменение правила должно дать немедленный эффект, который можно увидеть в панель аналитики.

Если описанные выше шаги не помогают остановить перегрузку вашего исходного веб-сервера атакой, обратитесь в службу поддержки Cloudflare за помощью, указав следующие данные:

• Период времени атаки (метка времени UTC)
• Домен или путь, на который направлена атака (имя или ID зоны)
• Частота атак
• Шаги для воспроизведения проблемы с указанием фактического и ожидаемого результата
• Любая дополнительная релевантная информация, например URL-адреса сайтов, сообщения об ошибках, скриншоты или соответствующие журналы с вашего исходного веб-сервера