← Документация WAF / account

Управляемые наборы правил

Cloudflare предоставляет предварительно настроенные управляемые наборы правил, которые защищают от эксплойтов веб-приложений, в том числе следующих:

Уязвимости нулевого дня
Топ-10 техник атак
Использование украденных или утёкших учётных данных
Извлечение конфиденциальных данных

Управляемые наборы правил представляют собой регулярно обновляются. У каждого правила есть действие по умолчанию, которое зависит от степени серьёзности правила. Вы можете изменить поведение отдельных правил, выбрав одно из нескольких доступных действий.

У правил управляемых наборов правил есть связанные теги (например, wordpress) которые позволяют искать определённую группу правил и настраивать их массово.

Развёртывание на уровне аккаунта

На уровне зоны каждый управляемый набор правил WAF можно развернуть только один раз. На уровне аккаунта каждый управляемый набор правил можно развёртывать несколько раз. Это позволяет применять один и тот же набор правил с разными конфигурациями к разным подмножествам входящего трафика в зонах Enterprise вашего аккаунта.

Например, можно развернуть Cloudflare OWASP Core Ruleset несколько раз с разными уровни паранойи и другое действие (Managed Challenge действие для PL3 и Log действие для PL4). Более высокие уровни паранойи включают дополнительные правила, которые с большей вероятностью приведут к ложным срабатываниям.

Пример: развёртывание OWASP с двумя разными конфигурациями

Следующий пример развёртывает Cloudflare OWASP Core Ruleset несколько раз на уровне аккаунта с помощью следующего правила выполнения:

Первое исполняемое правило: включите правила OWASP до уровня паранойи 3 (PL3) и задайте действие Managed Challenge.
Второе исполняемое правило: включите правила OWASP до PL4 и задайте действие Log.

Эта конфигурация обеспечивает дополнительную защиту за счёт включения правил PL3, но без блокировки запросов, поскольку более высокие уровни паранойи чаще приводят к ложным срабатываниям.

Второе правило регистрирует в логе любые совпадения с правилами PL4, самым строгим набором правил в этом наборе, чтобы не влиять на действующий трафик. Эту конфигурацию можно использовать, чтобы понять, какой трафик будет затронут правилами PL4.

Разверните Cloudflare OWASP Core Ruleset, следуя инструкции по дашборду, настраивая поведение набора правил с помощью следующих параметров:
- Пороговое значение показателя аномалии OWASP: Средний: 40 и выше
- Уровень паранойи OWASP: PL3
- OWASP Action: Managed Challenge
Выберите Развернуть.
Повторите процедуру развёртывания для набора правил OWASP, но со следующей конфигурацией набора правил:
- Пороговое значение показателя аномалии OWASP: Средний: 40 и выше
- Уровень паранойи OWASP: PL4
- OWASP Action: Log

После завершения настройки Развёрнутые управляемые наборы правил будут отображаться два Выполнить правил для Cloudflare OWASP Core Ruleset.

Следующие POST запрос к Создайте account ruleset операция создаёт ruleset точки входа для http_request_firewall_managed фаза на уровне аккаунта. Набор правил включает два правила, каждое из которых развёртывает Cloudflare OWASP Core Ruleset с разными конфигурациями.

Необходимые разрешения API-токена

Хотя бы одно из следующих права доступа токена требуется:

Account WAF Write
Account Rulesets Write

Создайте account ruleset

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/rulesets" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "My ruleset",
		"description": "Entry point ruleset for WAF managed rulesets (account)",
		"kind": "root",
		"phase": "http_request_firewall_managed",
		"rules": [
				{
						"action": "execute",
						"action_parameters": {
								"id": "4814384a9e5d4991b9815dcfc25d2f1f",
								"overrides": {
										"categories": [
												{
														"category": "paranoia-level-4",
														"enabled": false
												}
										],
										"rules": [
												{
														"id": "6179ae15870a4bb7b2d480d4843b323c",
														"action": "managed_challenge"
												}
										]
								}
						},
						"expression": "cf.zone.plan eq \"ENT\"",
						"description": "Execute OWASP ruleset at PL3 with Managed Challenge action"
				},
				{
						"action": "execute",
						"action_parameters": {
								"id": "4814384a9e5d4991b9815dcfc25d2f1f",
								"overrides": {
										"rules": [
												{
														"id": "6179ae15870a4bb7b2d480d4843b323c",
														"action": "log"
												}
										]
								}
						},
						"expression": "cf.zone.plan eq \"ENT\"",
						"description": "Execute OWASP ruleset at PL4 with Log action"
				}
		]
	}'

Настройка поведения управляемых наборов правил

Чтобы настроить поведение управляемых наборов правил, выполните одно из следующих действий:

Создание исключений чтобы пропускать выполнение управляемых наборов правил или некоторых их правил при определённых условиях.
Настройка переопределений чтобы изменить действие правила или отключить одно или несколько правил в управляемых наборах правил. Переопределения могут влиять на весь управляемый набор правил, отдельные теги или отдельные правила в управляемом наборе правил.

Исключения имеют приоритет над переопределениями.