← Документация WAF / managed-rules

Устранение неполадок управляемых правил

Управляемые наборы правил WAF по умолчанию совместимы с большинством веб-сайтов и веб-приложений. Тем не менее возможны ложные срабатывания и пропуски:

• Ложные срабатывания: Легитимные запросы, обнаруженные и предотвращённые как вредоносные.
• Пропуски обнаружения: Вредоносные запросы, которые не были предотвращены и достигли вашего исходного сервера.

Вы можете использовать Security Events чтобы помочь вам определить, что стало причиной блокировки легитимных запросов. При необходимости добавьте фильтры и измените период отчёта.

Если ложное срабатывание вызвано управляемым правилом, выполните одно из следующих действий:

• Добавьте исключение: Исключения позволяют пропускать выполнение управляемых наборов правил WAF или некоторых их правил для определённых запросов.

• Настроить управляемый набор правил OWASP: Запрос, заблокированный правилом с ID ...843b323c и описание 949110: Inbound Anomaly Score Exceeded указывает на Cloudflare OWASP Core Ruleset. Чтобы устранить эту проблему, настройка управляемого набора правил OWASP.

• Отключение соответствующего управляемого правила (правил): Создайте переопределение, чтобы отключить определённые правила. Это может помочь избежать ложных срабатываний, но также снизит общий уровень безопасности сайта. См. инструкции по дашборду по настройке управляемого набора правил или к Инструкции по API по созданию переопределения.

• Если ложные срабатывания вызывает одно конкретное правило, отключите именно его, а не весь набор правил.

• При ложных срабатываниях в области администратора вашего сайта добавьте исключение отключения управляемого правила для раздела администрирования ресурсов вашего сайта. Можно использовать выражение, похожее на следующее:

  http.host eq "example.com" and starts_with(http.request.uri.path, "/admin")

Чтобы выявить пропуски обнаружения, просмотрите HTTP-логи на своём исходном сервере.

Чтобы уменьшить количество пропусков, используйте следующий список проверок:

• Обслуживают ли DNS-записи HTTP-трафик проксируется через Cloudflare?
  Cloudflare применяет меры защиты только к запросам в проксируемом трафике.

• Развернули ли вы что-либо из управляемые наборы правил WAF в своей зоне?
  Вам необходимо развёртывание управляемого набора правил чтобы применить свои правила.

• Пропускаются ли управляемые правила через исключение?
  Используйте Security Events чтобы найти пропускаемые запросы. При необходимости скорректируйте выражение исключения так, чтобы оно соответствовало атакующему трафику, который должен был быть заблокирован.

• Включили ли вы необходимые управляемые правила, которые не включены по умолчанию?
  Не все правила управляемых наборов правил WAF включены по умолчанию, поэтому стоит проверить отдельные управляемые правила.

  • Например, по умолчанию Cloudflare разрешает запросы с пустым user agent. Чтобы блокировать такие запросы, включите правило с ID ...0a6dbbd3 в наборе Cloudflare Managed Ruleset.
  • Ещё один пример: если вы хотите блокировать непредотвращённые атаки SQL-инъекций (SQLi), убедитесь, что соответствующие управляемые правила с тегом sqli включены в наборе Cloudflare Managed Ruleset.

  Инструкции см. в Настройка управляемого набора правил.

• Совпадает ли трафик атаки с пользовательским правилом Пропуск всех Managed Rules?
  При необходимости измените выражение пользовательского правила так, чтобы оно не применялось к трафику атаки.

• Совпадает ли трафик атаки с разрешённым ASN, диапазоном IP-адресов или IP-адресом в IP Access rules?
  Проверьте свои правила IP Access и убедитесь, что ни одно разрешающее правило не соответствует трафику атаки.

• Достигает ли вредоносный трафик ваших исходных IP-адресов напрямую, тем самым обходя защиту Cloudflare?
  Блокируйте весь трафик, кроме трафика от IP-адреса Cloudflare на вашем origin-сервере.

Если после проверки перечисленного выше управляемые наборы правил WAF не обнаруживают конкретный шаблон атаки, учтите следующее:

• Используйте WAF attack score чтобы дополнить управляемые правила на основе сигнатур обнаружением на базе машинного обучения. Attack Score присваивает каждому запросу оценку, показывающую вероятность того, что он вредоносный, даже если ни одно управляемое правило не сработало.

• Создайте пользовательское правило чтобы блокировать конкретный шаблон атаки. Используйте такие поля, как путь URI, строка запроса или заголовки HTTP-запроса, чтобы находить вредоносные запросы.