← Документация WAF / detections

WAF attack score

Показатель атаки обнаружение трафика классифицирует каждый запрос с помощью алгоритма машинного обучения, присваивая ему оценку от 1 до 99 в зависимости от вероятности того, что запрос является вредоносным. Это обнаружение дополняет WAF Managed Rules.

Managed Rules сопоставляют запросы с известными сигнатурами атак: определёнными шаблонами известных векторов атак. Для них характерен очень низкий уровень ложных срабатываний. Однако злоумышленники могут изменять известные payload, например с помощью техник fuzzing (метод тестирования, отправляющий изменённые входные данные для поиска уязвимостей), чтобы обойти точное сопоставление сигнатур.

Attack score восполняет этот пробел. С помощью этой оценки можно выявлять потенциально вредоносный трафик, который не совпадает точно ни с одним из правил WAF Managed Rules.

Чтобы максимально повысить уровень защиты, Cloudflare рекомендует использовать одновременно Managed Rules и attack score.

Cloudflare WAF предоставляет следующие поля attack score:

Эти поля можно использовать в выражениях пользовательские правила и правила ограничения частоты запросов. Числовые поля оценки находятся в диапазоне от 1 к 99:

• Оценка 1 означает, что запрос почти наверняка вредоносный.
• Оценка 99 означает, что запрос, скорее всего, безопасен.

Оценка 100 означает, что запрос достиг системы attack score WAF, но система решила не присваивать ему оценку.

В Logpush данным оценка 0 означает, что запрос не достиг этапа оценки attack score, например потому, что его уже устранило предыдущее правило или система защиты. Значение 0 не отображается в панели управления Cloudflare.

Глобальный WAF Attack Score рассчитывается на основе отдельных показателей атаки (например, SQLi Attack Score и XSS Attack Score) и отражает их взаимозависимость. Однако глобальный показатель не является суммой отдельных показателей. Низкий глобальный показатель обычно означает средние или низкие отдельные показатели, а высокий глобальный показатель указывает на более высокие отдельные показатели.

Поле WAF Attack Score Class может принимать одно из следующих значений в зависимости от рассчитанного attack score запроса:

Запросы с особым значением показателя атаки 100 будет показывать WAF Attack Score Class со значением Без оценки в дашборде Cloudflare, но использовать это значение класса в выражениях правил нельзя.

Attack score автоматически обнаруживает и декодирует содержимое в кодировке Base64, JavaScript (escape-последовательности Unicode) и URL-кодировании в любом месте запроса: в URL, заголовках и теле.

Блокировка трафика исключительно на основе показателя атаки для всех значений ниже 50 не рекомендуется. Вероятная атака диапазон (оценки 21-50) могут включать легитимные запросы, ошибочно помеченные как вредоносные (ложные срабатывания). Если вы хотите блокировать трафик на основе показателя атаки, выполните одно из следующих действий:

• Используйте более строгое значение WAF Attack Score в своём выражении. Например, блокируйте трафик с показателем атаки WAF ниже 20 или ниже 15 (точное пороговое значение может потребоваться скорректировать).

• Комбинируйте более высокий порог WAF Attack Score с дополнительными фильтрами при блокировке входящего трафика. Например, добавьте в выражение проверку конкретного пути URI или используйте показатель бота как часть критериев.

Клиенты уровня Enterprise могут создать пользовательское правило который блокирует запросы с WAF Attack Score меньше или равно 20 (рекомендуемое начальное пороговое значение). Например:

• Эквивалентное выражение правила: cf.waf.score le 20
• Действие: Block

Клиентам с планом Business необходимо создать пользовательское правило с WAF Attack Score Class поле вместо этого. Например, используйте это поле, чтобы блокировать входящие запросы с классом оценки Атака:

• Эквивалентное выражение правила: cf.waf.score.class eq "attack"
• Действие: Block

Отслеживайте созданное правило, особенно в первые несколько дней, чтобы убедиться, что вы указали подходящее пороговое значение (или класс) для своего трафика. При необходимости обновите правило.

Если вы клиент с планом Enterprise и создали правило с Log действие, измените действие правила на более строгое, например Managed Challenge или Block.

WAF attack score и Bot Score служат разным целям. Attack score выявляет вариации атак, которые не улавливают WAF Managed Rules. Bot score определяет, исходит ли запрос от автоматического трафика.