Начало работы

Cloudflare Web Application Firewall (Cloudflare WAF) проверяет входящие веб и API запросы и отфильтровывает нежелательный трафик на основе наборов правил, называемых rulesets.

Эта страница проведёт вас через рекомендуемые первоначальные шаги настройки WAF, чтобы сразу получить защиту от самых распространённых атак.

См. Основные понятия подробнее об основных понятиях, компонентах и ролях WAF.

Перед началом работы

Убедитесь, что у вас есть создать аккаунт Cloudflare и добавили ваш домен в Cloudflare.
Пользователи с планом Free имеют доступ к Cloudflare Free Managed Ruleset, который является подмножеством Cloudflare Managed Ruleset. Free Managed Ruleset развёрнут по умолчанию на планах Free и отдельно не рассматривается в этом руководстве.
Если у вас тарифный план Free, вы можете перейти сразу к 5. Просмотрите трафик на панелях безопасности.

1. Разверните Cloudflare Managed Ruleset

Cloudflare Managed Ruleset защищает от общеизвестных уязвимостей (Common Vulnerabilities and Exposures, CVE) и известных векторов атак. Этот набор правил предназначен для выявления распространённых атак с помощью сигнатур при низком уровне ложных срабатываний. Изменения правил публикуются еженедельно в Журнал изменений WAF. Cloudflare также может в любой момент добавлять правила в рамках экстренных выпусков для защиты от резонансных уязвимостей нулевого дня.

В панели управления Cloudflare перейдите в раздел Security Настройки страницу.
Перейдите в Настройки ↗
(Необязательно) Отфильтруйте по Эксплойты веб-приложений.
Включите управляемый набор правил Cloudflare.

Параметры по умолчанию и настройка набора правил

Cloudflare Managed Ruleset по умолчанию включает только часть правил и создан так, чтобы находить баланс между защитой и ложными срабатываниями. Вы можете просмотреть и включить дополнительные правила с учётом технологического стека вашего приложения.

В отдельных случаях включение управляемого набора правил может приводить к ложным срабатываниям. Ложным срабатыванием называется легитимный запрос, который WAF по ошибке заблокировал. Информацию об устранении ложных срабатываний см. в Устранение неполадок управляемых правил.

Если вы тестируете WAF с помощью инструментов для пентеста, рекомендуется включить все правила, используя следующую конфигурацию набора правил:

Действие набора правил: Block
Статус набора правил: Включено (включает все правила в наборе правил)

Дополнительную информацию о настройке Cloudflare Managed Ruleset в панели управления см. в Cloudflare Managed Ruleset.

2. Создайте пользовательское правило на основе WAF attack score

WAF attack score представляет собой уровень на основе машинного обучения, который дополняет управляемые наборы правил Cloudflare, обеспечивая дополнительную защиту от SQL-инъекции ↗ (SQLi), межсайтовый скриптинг ↗ (XSS) и многие удалённое выполнение кода ↗ (RCE). Это помогает выявлять обходы правил и потенциально новые, ещё не обнаруженные атаки.

Если вы клиент с планом Enterprise, выполните следующее:

Чтобы получить доступ к WAF attack score, обратитесь в свою команду по работе с аккаунтом.
Создание пользовательского правила с помощью Поле Attack Score:
- Когда входящие запросы соответствуют:
  
  Поле Оператор Значение
  
  WAF Attack Score меньше 20
- Выберите действие: Block

Поле	Оператор	Значение
WAF Attack Score	меньше	`20`

Если у вас тарифный план Business, создайте пользовательское правило, как описано выше, но используйте WAF Attack Score Class поле вместо этого. Например, можно использовать следующее выражение правила: WAF Attack Score Class equals Attack.

3. Настройте защиту от ботов

Клиентам уровня Enterprise с Bot Management сначала следует настроить защиту от ботов с помощью Security Settings, которые обеспечивают базовую защиту без создания пользовательских правил:

На панели управления Cloudflare перейдите к разделу Security Settings странице и отфильтруйте по Ботовый трафик.
Перейдите в Настройки ↗
Настройте Definitely automated, Likely automated, а также Проверенные боты настройки в соответствии с вашими потребностями.
Включите Block AI bots если хотите блокировать AI-краулеры.

Эти встроенные настройки автоматически обновляются с появлением новых сигнатур ботов и не учитываются в лимите пользовательских правил. Подробнее см. Bot Management.

Создание пользовательского правила для дополнительного контроля

Если требуется более точный контроль, например другое пороговое значение оценки или правила, сочетающие показатель бота с другими полями, создать пользовательское правило с помощью Bot Score и поля Verified Bot:

Когда входящие запросы соответствуют:

Поле Оператор Значение Логика

Bot Score меньше 20 И

Проверенный бот равно Off
Выберите действие: Managed Challenge

Поле	Оператор	Значение	Логика
Bot Score	меньше	`20`	И
Проверенный бот	равно	Off

Это правило использует пороговое значение 20 (вместо порогового значения по умолчанию 30, используемого в настройках), обеспечивая более строгую защиту для трафика с показателем от 20 до 29.

Более полный пример базовой защиты от вредоносных ботов см. в Проверка вредоносных ботов.

Дополнительную информацию о связанных с ботами полях, которые можно использовать в выражениях, см. в Переменные Bot Management.

После развёртывания Cloudflare Managed Ruleset и правил на основе показателя атаки и показателя бота вы обеспечите надёжную защиту, снизив вероятность ложных срабатываний.

4. (Необязательно) Разверните Cloudflare OWASP Core Ruleset

После настройки Cloudflare Managed Ruleset и оценки атаки можно также развернуть Cloudflare OWASP Core Ruleset. Этот управляемый набор правил представляет собой реализацию Cloudflare для OWASP ModSecurity Core Rule Set. Его покрытие атак значительно пересекается с Cloudflare Managed Ruleset, поскольку он обнаруживает распространённые векторы атак, такие как SQLi и XSS.

В панели управления Cloudflare перейдите в раздел Security Настройки страницу.
Перейдите в Настройки ↗
(Необязательно) Отфильтруйте по Эксплойты веб-приложений.
Включите OWASP Core.
Это развернёт Cloudflare OWASP Core Ruleset с конфигурацией по умолчанию: уровень паранойи = PL1 и пороговое значение показателя = Средний: 40 и выше.

Настройка набора правил

В отличие от Cloudflare Managed Ruleset, который работает на основе сигнатур, Cloudflare OWASP Core Ruleset использует систему на основе оценок. Вы выбираете определённый уровень паранойи (уровни варьируются от PL1 к PL4, где PL1 является самым низким уровнем), который включает всё большую группу правил. Вы также выбираете пороговое значение оценки, определяющее, когда выполнять настроенное действие. Низкий уровень паранойи с высоким пороговым значением оценки обычно приводит к меньшему количеству ложных срабатываний. Пример того, как оценивается OWASP Core Ruleset, см. в Пример оценки OWASP.

Чтобы настроить набор правил под свои потребности, выберите одну из следующих стратегий:

Начните со строгой конфигурации (paranoia level = PL4, пороговое значение оценки = Низкий: 60 и выше). Снижайте пороговое значение показателя и уровень паранойи, пока не добьётесь приемлемого соотношения ложных и истинных срабатываний для входящего трафика.
Либо начните с более разрешительной конфигурации (уровень паранойи = PL1, пороговое значение оценки = Высокий: от 25 и выше) и увеличьте оба параметра, чтобы скорректировать защиту, стараясь поддерживать низкое количество ложных срабатываний.

Дополнительную информацию о настройке Cloudflare OWASP Core Ruleset в панели управления см. в Настройка в панели управления.

5. Просмотрите трафик на панелях безопасности

После настройки конфигурации WAF проверьте, как текущие настройки влияют на входящий трафик, с помощью следующих дашбордов:

Используйте Security Analytics чтобы изучить весь трафик, включая трафик, не затронутый мерами снижения WAF. Все данные, предоставляемые Обнаружения трафика доступен в этой панели управления.
Используйте Security Events чтобы получить больше информации о запросах, которые обрабатываются продуктами безопасности Cloudflare.

Клиенты уровня Enterprise также могут получать данные о HTTP-запросах и событиях безопасности с помощью Cloudflare Logs.

6. (Необязательно) Дальнейшие шаги

После настройки WAF на основе информации из предыдущих разделов у вас будет надёжная базовая защита от возможных угроз для ваших приложений.

Следующие рекомендации помогут получить дополнительную защиту для конкретных сценариев использования.

Добавить определённые IP-адреса в список разрешений

Создайте пользовательское правило, чтобы разрешение трафика только с IP-адресов из списка разрешений.

Блокировка отдельных стран

Создайте пользовательское правило, чтобы блокировка трафика из отдельных стран.

Определение лимитов частоты запросов

Создание правила ограничения скорости, чтобы применение ограничения скорости к конечной точке входа.

Предотвращение атак credential stuffing

Используйте обнаружение утекших учётных данных чтобы предотвратить атаки credential stuffing на ваши приложения.

Предотвращение загрузки пользователями вредоносного ПО в ваши приложения

Использование сканирования содержимого WAF чтобы сканировать загружаемый в приложение контент на наличие вредоносного содержимого.

Дополнительная защита для ваших API

Cloudflare защищает ваши API от новых и известных атак и эксплойтов на уровне приложений, таких как SQL-инъекции. Продукты безопасности, разработанные специально для API, расширяют эту защиту на уникальные риски API, включая обнаружение API (API discovery) и управление аутентификацией.

Дополнительную информацию о функциях безопасности API Cloudflare см. в Cloudflare API Shield.

Защитите свой исходный сервер

Сведения о том, как не допустить обнаружения или перегрузки вашего исходного сервера злоумышленниками, см. в Защитите свой исходный сервер для многоуровневого подхода, включающего проксированный DNS, allowlisting IP-адресов и authenticated origin pulls.