← Документация WAF

Managed Rules

Cloudflare предоставляет предварительно настроенные управляемые наборы правил, которые защищают от эксплойтов веб-приложений, в том числе следующих:

• Уязвимости нулевого дня
• Топ-10 техник атак
• Использование украденных или утёкших учётных данных
• Извлечение конфиденциальных данных

Управляемые наборы правил представляют собой регулярно обновляются. У каждого правила есть действие по умолчанию, которое зависит от степени серьёзности правила. Вы можете изменить поведение отдельных правил, выбрав одно из нескольких доступных действий.

У правил управляемых наборов правил есть связанные теги (например, wordpress) которые позволяют искать определённую группу правил и настраивать их массово.

• Cloudflare Managed Ruleset: Создан командой безопасности Cloudflare, этот набор правил обеспечивает быструю и эффективную защиту всех ваших приложений. Он охватывает известные техники атак и уязвимости нулевого дня (недавно обнаруженные уязвимости, для которых ещё нет исправления). Набор правил часто обновляется для противодействия новым угрозам и снижения количества ложных срабатываний (легитимных запросов, ошибочно помеченных как вредоносные).
  ID набора правил: ...376e9aee

• Cloudflare OWASP Core Ruleset: Реализация Cloudflare набора правил Open Web Application Security Project (OWASP) ModSecurity Core Rule Set. Этот набор правил использует модель подсчёта баллов: каждое сработавшее правило добавляет свой балл к совокупному оценка угрозы, и WAF выполняет настроенное действие, когда оценка превышает пороговое значение.
  ID набора правил: ...c25d2f1f

• Cloudflare Exposed Credentials Check: Развёртывает автоматическую проверку учётных данных на конечных точках аутентификации пользователей. Для любой пары учётных данных Cloudflare WAF выполняет поиск в открытой базе данных украденных учётных данных, чтобы определить, были ли они ранее скомпрометированы. Cloudflare рекомендует использовать обнаружение утекших учётных данных вместо этого набора правил.
  ID набора правил: ...14069605

• Cloudflare Free Managed Ruleset: Доступно на всех тарифных планах Cloudflare. Обеспечивает защиту от особо опасных и часто эксплуатируемых уязвимостей. Эти правила безопасно развёртывать в большинстве приложений. Если вы уже развернули Cloudflare Managed Ruleset, этот набор правил вам не нужен: Cloudflare Managed Ruleset обеспечивает более широкое покрытие.
  ID набора правил: ...dfb893ba

Следующие управляемые наборы правил запускаются в фазе ответа:

• Cloudflare Sensitive Data Detection: Создан Cloudflare для противодействия распространённым угрозам утечки данных. Эти правила отслеживают скачивание определённых конфиденциальных данных, например финансовой информации и персональных данных.
  ID набора правил: ...499d988e

Управляемые наборы правил, которые можно развернуть, зависят от вашего плана Cloudflare.

Чтобы настроить поведение управляемых наборов правил, выполните одно из следующих действий:

• Создание исключений чтобы пропускать выполнение управляемых наборов правил или некоторых их правил при определённых условиях.
• Настройка переопределений чтобы изменить действие правила или отключить одно или несколько правил в управляемых наборах правил. Переопределения могут влиять на весь управляемый набор правил, отдельные теги или отдельные правила в управляемом наборе правил.

Исключения имеют приоритет над переопределениями.

Если вы используете несколько функций безопасности приложений, таких как пользовательские правила, Managed Rules и Super Bot Fight Mode, важно понимать, как эти функции взаимодействуют между собой и в каком порядке они выполняются. См. Совместимость функций безопасности, где это описано подробнее.

Управляемые правила проверяют тело каждого входящего запроса до определённого максимального размера. Этот предел зависит от тарифного плана:

• Для клиентов Enterprise максимальный размер тела запроса составляет 128 KB.
• Для остальных платных тарифных планов лимит по умолчанию ниже: обратитесь в вашу команду по работе с аккаунтом или в службу поддержки Cloudflare, чтобы увеличить лимит.
• Для пользователей тарифного плана Free лимит составляет 1 MB.

Содержимое запроса за пределами этого лимита может быть проанализировано не полностью, что может повлиять на поведение управляемых правил. Например, OWASP Core Ruleset вычисляет накопленный оценка угрозы на основе показателей отдельных правил, сработавших на запрос. Более объёмные полезные нагрузки дают правилам больше содержимого для сопоставления, что повышает показатель и увеличивает вероятность превысить пороговое значение оценки, что приводит к ложному срабатыванию.

Если это включено в ваш тарифный план, вы можете использовать поля тела запроса в пользовательские правила чтобы применять соответствующие действия к запросам, которые не были полностью проанализированы. http.request.body.truncated поле показывает, было ли тело запроса усечено, тогда как http.request.headers.truncated указывает, содержал ли запрос слишком много заголовков, чтобы включить их все.

На уровне зоны каждый управляемый набор правил можно развернуть только один раз. На уровне уровень аккаунта, вы можете развертывать каждый управляемый набор правил несколько раз, что позволяет применять разные конфигурации одного и того же набора правил к разным подмножествам входящего трафика.

WAF Managed Rules выполняются в фазе http_request_firewall_managed фаза, которая выполняет после:

• HTTP DDoS Attack Protection (ddos_l7 этап)
• Пользовательские правила (http_request_firewall_custom этап)
• Rate Limiting Rules (http_ratelimit этап)

Это означает, что правило с завершающим действием (например, Block или Managed Challenge) на любой из этих более ранних фаз не позволяет Managed Rules обработать этот запрос. Полный порядок выполнения функций безопасности см. в Совместимость функций безопасности.

Исключения WAF (правила пропуска) представляют собой правила с skip действие, развёрнутое в http_request_firewall_managed входного набора правил фазы. Они оцениваются в порядке списка внутри входного набора правил: правило пропуска обходит только execute правилам, указанным после него. Размещайте исключения перед правилами выполнения управляемого набора правил, которые они должны пропускать. Дополнительную информацию см. в исключения WAF.