← Документация WAF / reference / legacy / old-waf-managed-rules

Устранение неполадок управляемых правил WAF (предыдущая версия)

Управляемые правила WAF по умолчанию полностью управляются через панель управления Cloudflare и совместимы с большинством веб-сайтов и веб-приложений. Тем не менее возможны ложные срабатывания и пропуски:

• Ложные срабатывания: Легитимные запросы, обнаруженные и отфильтрованные как вредоносные.
• Пропуски обнаружения: Вредоносные запросы, которые не были отфильтрованы.

Понятие подозрительного содержимого субъективно для каждого сайта. Например, код PHP, отправленный на ваш сайт, обычно считается подозрительным. Однако ваш сайт может быть посвящён обучению программированию и требовать от посетителей отправки кода PHP. В этом случае соответствующие управляемые правила для этого сайта стоит отключить, поскольку они будут мешать нормальной работе сайта.

Чтобы проверить наличие ложных срабатываний, установите для управляемых правил WAF значение Simulate режим. Этот режим позволяет фиксировать реакцию на возможные атаки без проверки или блокировки входящих запросов. Также ознакомьтесь с разделом Security Events выборочные журналы чтобы определить, какие управляемые правила вызвали ложные срабатывания.

Если вы обнаружили ложное срабатывание, есть несколько возможных решений:

• Добавьте IP-адреса клиента в IP Access Rules список разрешений: Если браузер или клиент обращается с тех же IP-адресов, рекомендуется разрешать запросы.
• Отключение соответствующего управляемого правила (правил): Прекращает блокировку или проверку ложных срабатываний, но снижает общий уровень безопасности сайта. Запрос, заблокированный правилом с ID 981176 относится к правилам OWASP. Чтобы устранить проблему, снизьте чувствительность OWASP.
• Обход управляемых правил WAF с помощью правила брандмауэра (устарело): Создание правила брандмауэра на Bypass действие, чтобы отключить WAF managed rules для определённой комбинации параметров. Например, обход управляемых правил для конкретного URL и конкретного IP-адреса или user agent.
• (Не рекомендуется) Отключите управляемые правила WAF для трафика к определённому URL-адресу: Снижает уровень безопасности для конкретной конечной точки URL. Настраивается через Page Rules.

Ниже приведены дополнительные рекомендации:

• Если ложные срабатывания вызывает одно конкретное правило, задайте у этого правила Режим к Отключить вместо включения Off всё правило Группа.
• При ложных срабатываниях в разделе администратора вашего сайта создайте Page Rule к Отключить Security для административного раздела ресурсов сайта, например, example.com/admin.

Чтобы выявить пропуски обнаружения, просмотрите HTTP-логи на своём исходном веб-сервере. Чтобы сократить количество пропусков, используйте следующий контрольный список:

• Включены ли управляемые правила WAF в Безопасность > WAF > Управляемые правила?

• Отключаются ли управляемые правила WAF через Page Rules?

• Не все управляемые правила включены по умолчанию, поэтому проверьте действия по умолчанию для отдельных управляемых правил.

  • Например, по умолчанию Cloudflare разрешает запросы с пустым user agent. Чтобы блокировать такие запросы, измените правило Режим к Block.
  • Ещё один пример: если вы хотите блокировать непредотвращённые атаки SQL-инъекций, убедитесь, что соответствующие правила SQLi включены и установлены на Block в разделе Cloudflare Specials группу.

• Проксируются ли DNS-записи, обслуживающие HTTP-трафик, через Cloudflare?

• Является ли правило брандмауэра обход управляемые правила?

• Находится ли разрешённая страна, ASN, диапазон IP-адресов или IP-адрес в IP Access rules или правила межсетевого экрана соответствуют трафику атаки?

• Достигает ли вредоносный трафик ваших исходных IP-адресов напрямую, в обход защиты Cloudflare? Заблокируйте весь трафик, кроме трафика из IP-адреса Cloudflare на вашем исходном веб-сервере.