← Документация WAF / managed-rules

Ведение журнала содержимого совпавших правил

WAF позволяет логировать информацию о запросе, который вызвал срабатывание конкретного правила управляемого набора правил. Эта информация называется payload. Информация payload включает конкретную строку, вызвавшую срабатывание правила, а также текст, который находится непосредственно до и после совпадения.

Протоколирование полезной нагрузки особенно полезно при диагностике поведения правил WAF. Поскольку значения, вызвавшие срабатывание правила, могут содержать конфиденциальные данные, они шифруются открытым ключом, предоставленным клиентом, чтобы изучить их позже могли только вы.

У каждого управляемого набора правил есть собственная настройка логирования полезной нагрузки. Чтобы включить логирование полезной нагрузки, настройте открытый ключ для шифрования регистрируемой полезной нагрузки одним из следующих способов:

• Создание пары ключей прямо в панели управления Cloudflare
• Используйте собственный открытый ключ

После включения WAF сохраняет полезную нагрузку сработавших правил для управляемого набора правил, настроенного с протоколированием полезной нагрузки, шифруя эту полезную нагрузку вашим открытым ключом. Если несколько правил, проверяющих одно и то же поле запроса, срабатывают одновременно (например, для поля http.cookie), зарегистрированная полезная нагрузка для этого поля будет относиться к последнему совпавшему правилу.

Подробнее см. в Настройка протоколирования полезной нагрузки в панели управления или Настройка протоколирования полезной нагрузки через API.

Чтобы просмотреть содержимое полезной нагрузки в открытом виде, выполните одно из следующих действий:

• В Security Events странице введите свой закрытый ключ, чтобы расшифровать полезные данные записи журнала прямо в браузере. См. Просмотреть содержимое полезной нагрузки в панели управления для получения подробностей.

• Расшифруйте полезную нагрузку в командной строке с помощью matched-data-cli См. Расшифровка содержимого полезной нагрузки в командной строке для получения подробностей.

• Расшифруйте совпавшую полезную нагрузку в своём Logpush задание с помощью Worker перед сохранением журналов в Система SIEM. См. Сохранение расшифрованных совпадающих полезных нагрузок в журналах для получения подробностей.

Только пользователи с Роль Super Administrator может включить протоколирование полезной нагрузки или изменить его настройки.