← Документация WAF / reference / legacy

WAF managed rules (предыдущая версия)

Управляемые правила, функция Cloudflare WAF (Web Application Firewall), выявляют и устраняют подозрительную активность для HTTP GET и POST запросы.

Примеры вредоносное содержимое ↗ которые выявляют управляемые правила, включают:

Распространённые ключевые слова, используемые в спаме в комментариях (XX, Rolex, Viagra, и т. д.)
Атаки посредством межсайтового скриптинга (XSS)
SQL-инъекции (SQLi)

Управляемые правила WAF (предыдущая версия) доступны на планах Pro, Business и Enterprise для любого поддомены, проксируемые через Cloudflare. Управляйте настройками управляемых правил в Безопасность > WAF > Управляемые правила.

Управляемые правила включают три пакета:

Cloudflare Managed Ruleset
OWASP ModSecurity Core Rule Set
Customer requested rules

Выборочные журналы можно использовать в Security Events панели управления, чтобы просмотреть угрозы, заблокированные управляемыми правилами WAF.

Cloudflare Managed Ruleset

Cloudflare Managed Ruleset содержит правила безопасности, написанные и курируемые Cloudflare. Выберите название набора правил в разделе Группа чтобы отобразить описания правил.

Cloudflare Specials представляет собой группу, которая обеспечивает базовую защиту брандмауэра от распространённые атаки ↗.

При просмотре набора правил Cloudflare показывает действие по умолчанию для каждого правила в разделе Режим по умолчанию. Режим доступно для отдельных правил в рамках конкретного Cloudflare Managed Ruleset это:

По умолчанию: Выполняет действие по умолчанию, указанное в Режим по умолчанию при просмотре конкретного правила.
Отключить: Отключает конкретное правило внутри группы.
Block: Отклоняет запрос.
Interactive Challenge: Посетитель получает страницу проверки, требующую взаимодействия.
Simulate: Запрос пропускается, но регистрируется в выборочные журналы.

Cloudflare Журнал изменений WAF позволяет клиентам отслеживать текущие изменения в Cloudflare Managed Ruleset.

OWASP ModSecurity Core Rule Set

Пакет OWASP ModSecurity Core Rule Set присваивает каждому запросу балл в зависимости от того, сколько правил OWASP сработало. У некоторых правил OWASP показатель чувствительности выше, чем у других.

После того как OWASP оценивает запрос, Cloudflare сравнивает итоговую оценку с Чувствительность configured for the zone. If the score exceeds the sensitivity, the request is actioned based on the Действие настроенный в Пакет: OWASP ModSecurity Core Rule Set:

Block: Запрос отклоняется.
Challenge: Посетитель получает интерактивную страницу проверки.
Simulate: Запрос пропускается, но регистрируется в выборочные журналы.

Показатель чувствительности, необходимый для срабатывания WAF для конкретного Чувствительность выглядит следующим образом:

Низкая: 60 и выше
Средняя: 40 и выше
High: 25 и выше

Для AJAX-запросов вместо этого применяются следующие показатели:

Низкая: 120 и выше
Средняя: 80 и выше
High: 65 и выше

Просмотрите запись в выборочные журналы для итоговой оценки и для отдельных сработавших правил.

Управление пакетом OWASP

Пакет OWASP ModSecurity Core Rule Set содержит несколько правил из проект OWASP ↗. Cloudflare не пишет и не курирует правила OWASP. В отличие от Cloudflare Managed Ruleset, конкретные правила OWASP либо Включено или Отключено.

Чтобы управлять пороговыми значениями OWASP, задайте Чувствительность к Низкая, Средняя, или High в разделе Пакет: OWASP ModSecurity Core Rule Set.

Настройка Чувствительность к Off отключит весь пакет OWASP, включая все его правила. Определение подходящего Чувствительность зависит от отрасли и специфики вашего бизнеса. Например, Низкая настройка подходит для:

Некоторые отрасли бизнеса чаще вызывают срабатывание WAF.
Загрузка больших файлов.

При высокой чувствительности загрузка больших файлов будет вызывать срабатывание WAF.

Cloudflare рекомендует изначально установить чувствительность на уровень Низкая и проверки на ложные срабатывания, прежде чем повышать чувствительность ещё больше.

Важные примечания

Управляемые правила добавляют небольшую задержку.
Изменения в управляемых правилах WAF применяются глобально примерно за 30 секунд.
Cloudflare использует собственные правила для фильтрации трафика.
Установленные WebSocket-соединения не запускают управляемые правила для последующих запросов.
Управляемые правила анализируют ответы в формате JSON, чтобы выявлять уязвимости, нацеленные на API. Анализ полезной нагрузки JSON ограничен 128 КБ.
Управляемые правила противодействуют техникам padding. Cloudflare рекомендует следующее:
1. Включите правило с ID 100048. Это правило защищает от атак типа padding, но по умолчанию не развёрнуто, поскольку велика вероятность ложных срабатываний в окружениях клиентов. При этом клиентам важно донастроить конфигурацию своих управляемых правил.
2. Создайте пользовательское правило WAF с помощью Expression Editor в зависимости от необходимости проверки заголовков и/или тела запроса для блокировки более крупной полезной нагрузки (> 128 KB). Для этого используйте следующие поля:
  - http.request.body.truncated
  - http.request.headers.truncated
  Правило следует протестировать в Log режим (если он доступен), так как правило может вызывать ложные срабатывания.
Есть несколько управляемых правил, которые Cloudflare не отключает, даже если вы отключите Управляемые правила в дашборде Cloudflare, например правила с идентификаторами WP0025B, 100043A, а также 100030.