← Документация WAF / managed-rules / reference
Cloudflare OWASP Core Ruleset
Cloudflare OWASP Core Ruleset представляет собой реализацию Cloudflare для OWASP ModSecurity Core Rule Set ↗ (CRS), версия 3.3.0.
Cloudflare OWASP Core Ruleset разработан так, чтобы работать как единое целое и вычислять оценка угрозы и выполнять действие на основе этой оценки. Когда правило в наборе правил соответствует запросу, оценка угрозы увеличивается согласно баллу правила. Если итоговая оценка угрозы превышает настроенный пороговое значение оценки, Cloudflare выполняет действие, настроенное в последнем правиле набора правил.
OWASP Top 10 в сравнении с наборами правил Cloudflare
Cloudflare OWASP Core Ruleset представляет собой реализацию Cloudflare OWASP ModSecurity Core Rule Set версии 3.3.0, которая отличается от OWASP Top 10 ↗.
OWASP Top 10 ↗ представляет собой список наиболее серьёзных рисков безопасности приложений, призванный повысить осведомлённость специалистов и разработчиков. Хотя некоторые риски можно устранить с помощью веб-межсетевого экрана, для других требуются иные решения или их необходимо устранять на этапе разработки приложения. А именно:
- Криптографические сбои
- Небезопасное проектирование
- Ошибки идентификации и аутентификации
- Ошибки журналирования и мониторинга безопасности
Эти риски в большей степени зависят от того, как построено приложение или как настроен весь конвейер мониторинга.
Продукты Cloudflare в сравнении с OWASP Top 10
Хотя и Cloudflare Managed Ruleset, и OWASP CRS нацелены на снижение рисков по нескольким категориям OWASP Top 10, их подходы различаются. OWASP CRS v3.3 представляет собой обобщённый open source набор правил на основе «скоринга», который часто требует ручной настройки. Cloudflare Managed Ruleset, в свою очередь, представляет собой проприетарный движок с упором на сигнатуры, подкреплённый масштабной глобальной threat intelligence Cloudflare. При этом Cloudflare быстро развёртывает защиту от новых CVE через свой управляемый набор правил, тогда как OWASP CRS остаётся относительно статичным.
Следующая таблица показывает, как продукты Cloudflare соответствуют категориям OWASP.
| категория OWASP Top 10 | OWASP Core Rule Set (v3.3) | Cloudflare Managed Ruleset | Другие продукты Cloudflare |
|---|---|---|---|
| A01: Broken Access Control | Нацелен на обнаружение Path Traversal (930XXX) и App Defect (например, доступ к .env, .git). | Использует проприетарные сигнатуры для Insecure Direct Object References и Directory Traversal. | Security Rules используются для детального применения правил по IP-адресу, геолокации и ASN. |
| A02: Криптографические сбои | N/A | N/A | Платформа Cloudflare предоставляет элементы управления уровня платформы для HTTP Strict Transport Security, минимальных версий TLS и автоматического управления сертификатами. Готова к post-quantum шифрованию. |
| A03: Инъекции (SQLi, XSS) | Комплексный: использует оценку на основе регулярных выражений для SQLi (942XXX), XSS (941XXX) и RCE (932XXX). | Сочетает быстрое сопоставление сигнатур с Attack Score, чтобы выявлять сильно обфусцированные полезные данные. Для предотвращения обфускации применяется предварительная обработка с интеллектуальным декодированием. | Cloudflare Attack Score на основе ML дополняет управляемые наборы правил, обнаруживая вариации атак и способы их обхода. |
| A04: Небезопасное проектирование | N/A | N/A | API Schema Validation помогает снизить риски, связанные с обеспечением протокола, которые могут возникать из-за неудачного дизайна (например, обеспечение соответствия методам HTTP) |
| A05: Небезопасная конфигурация | Обнаруживает индексирование каталогов, стандартные сообщения об ошибках и нарушения протокола с помощью правил серии 920XXX. | Включает широкий набор Managed Rules для защиты конкретных CMS-платформ (например, WordPress и Magento) от известных ошибок конфигурации. | |
| A06: Устаревшие компоненты | Общие правила могут выявлять эксплойты, но не содержат базы данных о конкретных версиях программного обеспечения. | Проактивный виртуальный патчинг вновь обнаруженных CVE (например, Log4Shell, React2Shell), часто развёртываемый в течение минут или часов после раскрытия информации об уязвимости. | Cloudflare Attack Score на основе ML дополняет управляемые наборы правил, обнаруживая вариации атак и способы их обхода. |
| A07: Идентификация и аутентификация | N/A | N/A | Leaked Credential Check, Bot Management и Account Abuse Protection предназначены для того, чтобы останавливать автоматизированные атаки типа stuffing и другие уязвимости, связанные с аутентификацией. |
| A08: Целостность ПО и данных | Выделенные правила для Insecure Deserialization (944XXX) и PHP injection. | Сигнатуры распространённых эксплойтов сериализации и паттернов атак на цепочку поставок (например, SolarWinds/Mimecast). | Cloudflare Client-side security отслеживает скрипты, подключения и файлы cookie, загружаемые посетителями вашего сайта |
| A09: Журналирование и мониторинг | N/A | N/A | Платформа Cloudflare предлагает встроенный дашборд с аналитикой в реальном времени, Logpush в SIEM системы и автоматическими оповещениями об аномалиях. LogExplorer представляет собой инструмент Cloudflare для observability и расследований. |
| A10: SSRF | Правила (934XXX) блокируют запросы к внутренним IP-адресам и сервисам метаданных облака (AWS, Azure, GCP). | Определяет сигнатуры SSRF и позволяет легко блокировать исходящие запросы к конфиденциальным конечным точкам метаданных. | - |
