← Документация WAF / reference / legacy / old-waf-managed-rules

Обновление управляемых правил WAF

2022-05-04 Cloudflare начала обновление с предыдущая версия управляемых правил WAF к новому WAF Managed Rules, что позволило первой группе подходящих зон выполнить миграцию. В настоящее время перейти на WAF Managed Rules могут все зоны, включая партнёрские аккаунты.

Cloudflare постепенно переводит все зоны на новую версию WAF Managed Rules. Вы также можете запустить процесс обновления для зоны вручную в панели управления Cloudflare или через API. Обновление необратимо, после перехода на новую версию WAF Managed Rules вернуться к предыдущей версии нельзя.

Если вы используете старую панель управления, после завершения обновления ваши правила будут отображаться в другом интерфейсе в Безопасность > WAF > Управляемые правила вкладка. Если вы используете новая панель безопасности, ваши обновленные правила будут отображаться в Безопасность > Правила безопасности.

Кроме того, после обновления API управляемых правил WAF перестанут работать.

Новая версия WAF Managed Rules предоставляет следующие преимущества по сравнению с предыдущей версией:

• Новый механизм сопоставления, WAF Managed Rules работают на основе Ruleset Engine, что обеспечивает более быстрое развёртывание управляемых правил и возможность проверять ещё больший объём трафика без проблем с масштабированием. Правила используют тот же синтаксис, что и другие продукты безопасности Cloudflare, например WAF custom rules.

• Обновлённые управляемые наборы правил, Cloudflare OWASP Core Ruleset, один из управляемых наборов правил WAF, основан на последней версии OWASP Core Ruleset (v3.x), которая добавляет уровни паранойи и снижает долю ложных срабатываний по сравнению с версией, использовавшейся в управляемых правилах WAF (2.x). Вы также получаете больше контроля над показателем чувствительности: чётко видно, какой вклад каждое правило вносит в этот показатель и каким был итоговый показатель сработавшего запроса.

• Более удобный просмотр и настройка правил, Разверните управляемые наборы правил в один клик, чтобы получить немедленную защиту. Переопределяйте поведение целых наборов правил или настраивайте отдельное правило. Применяйте переопределения ко всем правилам с определённым тегом, чтобы скорректировать правила, применимые к конкретному программному обеспечению или вектору атаки. Вы можете развернуть конфигурации, подобные следующей:

  • Развернуть Cloudflare Managed Ruleset во всех моих зонах.
  • Разверните Cloudflare OWASP Core Ruleset для всего трафика, который не содержит /api/* в пути.
  • Отключите управляемые наборы правил во всём аккаунте для трафика с моего IP-адреса.

Дополнительную информацию о преимуществах WAF Managed Rules можно найти в нашей запись в блоге ↗.

Вы сможете обновить все свои зоны, у которых нет WAF overrides на основе URI. После перехода на новый WAF для вашей зоны будет действовать такая же защита.

Большинство настроек конфигурации из предыдущей версии управляемых правил WAF будут перенесены в новую версию, однако некоторые особые настройки, изначально определённые в OWASP ModSecurity Core Rule Set, будут утрачены: при необходимости их нужно будет создать заново в новых WAF Managed Rules.

Для пользователей API: после обновления API для управления предыдущей версией управляемых правил WAF перестанут работать. Для управления новыми WAF Managed Rules необходимо использовать Rulesets API.

Процесс обновления создаст эквивалентную конфигурацию для следующих настроек управляемых правил WAF:

• Правила брандмауэра, настроенные с Bypass > WAF Managed Rules.
• Page Rules, настроенные с Отключить Security.
• Page Rules, настроенные с Web Application Firewall: Off или Web Application Firewall: On.

Конфигурация набора правил OWASP будет частично обновлена. Подробности см. в следующем разделе.

Процесс обновления частично перенесёт настройки OWASP ModSecurity Core Rule Set, доступные в предыдущей версии управляемых правил WAF.

Следующие настройки OWASP будут перенесены:

• Чувствительность: старые значения чувствительности будет перенесено в следующее уровень паранойи (PL) и пороговое значение оценки комбинации в новом наборе правил OWASP:

  Старая чувствительность	PL в новом OWASP	Пороговое значение оценки в новом OWASP
  High	PL2	Средний: 40 или выше
  Средняя	PL1	Высокий: 25 или выше
  Низкая	PL1	Средний: 40 или выше
  По умолчанию	PL2	Средний: 40 или выше

• Действие: Действие в предыдущем наборе правил OWASP почти напрямую соответствует действию в новом управляемом наборе правил OWASP, за исключением Simulate действие, которое будет перенесено в Log.

Следующие настройки OWASP будут не быть перенесены, поскольку между правилами в этих двух версиях нет прямого соответствия:

• переопределения групп OWASP
• переопределения правил OWASP

Чтобы заменить эти настройки, вам нужно будет заново настроить Cloudflare OWASP Core Ruleset в WAF Managed Rules в соответствии со своими потребностями, в частности переопределения по тегам и правилам. Дополнительную информацию о настройке нового OWASP Core Ruleset см. в Cloudflare OWASP Core Ruleset.

Если у зоны есть WAF overrides на основе URI (доступно только через API), у вас не будет возможности перейти на WAF Managed Rules. Чтобы перейти на WAF Managed Rules, необходимо:

1. Удалите все существующие WAF overrides на основе URI с помощью Удаление WAF override операцию.
2. Выполните процесс обновления, описанный ниже.

После завершения процесса обновления дашборд Cloudflare покажет ваши правила в:

• Старая панель управления: Безопасность > WAF > Управляемые правила вкладка (с использованием другого пользовательского интерфейса)
• Новая панель управления: Безопасность > Правила безопасности

В отличие от старых управляемых правил WAF, общего переключателя для включения WAF больше нет. Вместо этого каждый управляемый набор правил разворачивается в вашей зоне по отдельности.

Дополнительные сведения о развёртывании WAF Managed Rules в дашборде Cloudflare см. в Развёртывание управляемого набора правил WAF в дашборде.

После завершения обновления API для работы с управляемыми правилами WAF перестанут работать. Это следующие API:

• пакеты WAF
• группы правил WAF
• Правила WAF

Чтобы работать с WAF Managed Rules, необходимо использовать Rulesets API. Дополнительную информацию о развёртывании WAF Managed Rules через API см. в Развёртывание управляемого набора правил WAF через API (зона).

После завершения обновления следующие ресурсы Terraform для настройки управляемых правил WAF перестанут работать:

• cloudflare_waf_package ↗
• cloudflare_waf_group ↗
• cloudflare_waf_rule ↗

Эти ресурсы поддерживались только в провайдере Terraform Cloudflare до версии 3.35 включительно. Версия 4.x больше не поддерживает эти ресурсы ↗.

Чтобы управлять конфигурацией новых WAF Managed Rules с помощью Terraform, необходимо использовать cloudflare_ruleset ↗ ресурсы.

На этапе 2 обновление доступно всем зонам. Точный порядок обновления зависит от вашего тарифного плана Cloudflare.

• Pro и Business клиенты могут перейти на новую версию WAF Managed Rules в панели управления Cloudflare или через API. После включения новой версии предыдущая версия управляемых правил WAF отключается автоматически.

• Enterprise клиенты могут включить новую конфигурацию WAF Managed Rules, сохранив при этом включённой предыдущую версию управляемых правил WAF, чтобы оценить влияние новой конфигурации WAF. После проверки поведения новой конфигурации и внесения необходимых изменений в отдельные управляемые правила пользователи с планом Enterprise могут завершить обновление, которое отключит предыдущую версию управляемых правил WAF.

Примечание: Зоны, в которых есть WAF overrides на основе URI, которыми можно было управлять только через API, не смогут сразу перейти на новые WAF Managed Rules. Перед миграцией необходимо удалить эти переопределения.

На этапе 1 обновление стало доступно части подходящих зон, которые должны были соответствовать следующим требованиям:

• У зоны есть:

  • WAF отключён, или
  • WAF включён, и включён только Cloudflare Managed Ruleset (OWASP ModSecurity Core Rule Set должен быть отключён).

• У зоны нет правила межсетевого экрана или Page Rules обхода, включения или отключения управляемых правил WAF:

  • Правила брандмауэра, настроенные с Bypass > WAF Managed Rules.
  • Page Rules, настроенные с Отключить Security.
  • Page Rules, настроенные с Web Application Firewall: Off или Web Application Firewall: On.

• У зоны нет WAF overrides на основе URI (доступно только через API).

Обновление WAF можно запустить в дашборде Cloudflare или через API.

1. Войдите в Панель управления Cloudflare ↗, и выберите свой аккаунт и зону.

2. A) Если вы используете старую панель управления:

   • Перейдите в Безопасность > WAF > Управляемые правила на вкладке.

   B) Если вы используете новая панель безопасности:

   1. Перейдите в Правила безопасности страницу.

      Перейдите в Правила безопасности ↗

   2. Выберите Перейти к обновлению тарифа для Managed rules.

   Если вы клиент с планом Enterprise, панель управления покажет следующий баннер:

   

   Если вы клиент с тарифным планом Professional/Business, панель управления покажет следующий баннер:

   

3. В баннере обновления выберите Просмотр конфигурации. Этот баннер отображается только в подходящих зонах.

4. Просмотрите предложенную конфигурацию WAF. Вы можете изменить конфигурацию, например изменение конфигурации управляемых правил WAF или создания исключения чтобы пропускать выполнение наборов правил или отдельных правил.

5. Когда закончите проверку, выберите Развернуть чтобы развернуть новую конфигурацию WAF Managed Rules.

   Если вы клиент с тарифным планом Professional/Business, Cloudflare развернёт новую конфигурацию WAF, а затем отключит предыдущую версию WAF. Процесс обновления может занять пару минут.

   Если вы клиент с планом Enterprise, обе реализации WAF будут включены одновременно при выборе Развернуть, чтобы проверить новую конфигурацию. Дополнительные инструкции см. в шагах следующего раздела.

Если вы клиент с планом Enterprise, после развёртывания новой конфигурации WAF обе реализации WAF будут включены одновременно. На этом этапе, который называется режимом проверки, вы можете получить доступ к обеим реализациям WAF Managed Rules в панели управления Cloudflare, которая продолжит показывать баннер с предложением обновить план до завершения обновления. Новая версия WAF Managed Rules будет запускаться раньше предыдущей.

1. Используйте текущий режим проверки, чтобы проверить поведение новой конфигурации WAF в Security Events. Дополнительную информацию см. в Анализ нового поведения WAF в Security Events.

2. Когда закончите проверять конфигурацию с обоими включёнными WAF, выберите Готово к обновлению в баннере с предложением обновить план, а затем выберите Отключение предыдущей версии. Эта операция завершит обновление и отключит предыдущую версию WAF.

После завершения обновления дашборд покажет все обновлённые правила в:

• Старая панель управления: Безопасность > WAF > Управляемые правила вкладка
• Новая панель управления: Безопасность > Правила безопасности

Чтобы проверить, завершилось ли обновление, обновите панель управления.

1. Используйте Проверить совместимость обновления WAF операцию, чтобы определить, может ли зона перейти на новый WAF с учётом текущей конфигурации:

   curl "https://api.cloudflare.com/client/v4/zones/{zone_id}/waf_migration/check?phase_two=1" \
   --header "Authorization: Bearer <API_TOKEN>"

   Пример ответа:

   {
   	"result": {
   		"compatible": true,
   		"migration_state": "start"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

   Если ответ включает "compatible": true, это означает, что зона может быть обновлена до нового WAF, и вы можете продолжить процесс обновления. Если ответ включает "compatible": false, это означает, что при текущей конфигурации ваша зона не может быть обновлена. См. Подходящие зоны для получения подробностей.

2. Чтобы получить новую конфигурацию WAF, соответствующую вашей текущей конфигурации, используйте Получить новую конфигурацию WAF операцию:

   curl "https://api.cloudflare.com/client/v4/zones/{zone_id}/waf_migration/config?phase_two=1" \
   --header "Authorization: Bearer <API_TOKEN>"

   Пример ответа:

   {
   	"result": {
   		"name": "default",
   		"rules": [
   			{
   				"id": "",
   				"version": "",
   				"action": "execute",
   				"expression": "true",
   				"description": "",
   				"ref": "",
   				"enabled": true,
   				"action_parameters": {
   					"id": "efb7b8c949ac4650a09736fc376e9aee",
   					"overrides": {
   						"rules": [
   							{
   								"id": "23ee7cebe6e8443e99ecf932ab579455",
   								"action": "log",
   								"enabled": false
   							}
   						]
   					}
   				}
   			}
   		]
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

Конфигурация, возвращённая в примере выше и соответствующая существующей конфигурации предыдущей версии WAF, содержит:

• Правило, которое выполняет Cloudflare Managed Ruleset (ID набора правил efb7b8c949ac4650a09736fc376e9aee).
• Отдельное переопределение для правила Apache Struts - Open Redirect - CVE:CVE-2013-2248 (ID правила 23ee7cebe6e8443e99ecf932ab579455) в том же наборе правил, задав действие log и отключение правила.

3. (Необязательно, только для клиентов Enterprise) Если вы переходите с зоны Enterprise на WAF Managed Rules, вы можете войти в режим проверки перед завершением перехода. В этом режиме будут включены обе реализации WAF. Используйте Обновление набора правил точки входа зоны операцию, включив в него waf_migration=validation&phase_two=1 параметры строки запроса:

   curl --request PUT \
   "https://api.cloudflare.com/client/v4/zones/{zone_id}/rulesets/phases/http_request_firewall_managed/entrypoint?waf_migration=validation&phase_two=1" \
   --header "Authorization: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json" \
   --data '{
     "name": "default",
     "rules": [
       {
         "action": "execute",
         "expression": "true",
         "description": "",
         "enabled": true,
         "action_parameters": {
           "id": "efb7b8c949ac4650a09736fc376e9aee",
           "overrides": {
             "rules": [
               {
                 "id": "23ee7cebe6e8443e99ecf932ab579455",
                 "action": "log",
                 "enabled": false
               }
             ]
           }
         }
       }
     ]
   }'

   После вызова этой конечной точки API будут включены как управляемые правила WAF, так и WAF Managed Rules. Проверьте выборочные журналы в Security Events на предмет блокировки легитимного трафика и при необходимости скорректируйте конфигурацию WAF Managed Rules. Например, можно добавление переопределения для одного правила, которое отключает его или меняет его действие.

4. Чтобы завершить обновление и отключить управляемые правила WAF, задайте конфигурацию нового WAF, используя настройки, полученные на шаге 2 и, возможно, скорректированные на шаге 3. Обязательно включите waf_migration=pending&phase_two=1 параметры строки запроса.

   curl --request PUT \
   "https://api.cloudflare.com/client/v4/zones/{zone_id}/rulesets/phases/http_request_firewall_managed/entrypoint?waf_migration=pending&phase_two=1" \
   --header "Authorization: Bearer <API_TOKEN>" \
   --header "Content-Type: application/json" \
   --data '{
     "name": "default",
     "rules": [
       {
         "id": "",
         "version": "",
         "action": "execute",
         "expression": "true",
         "description": "",
         "ref": "",
         "enabled": true,
         "action_parameters": {
           "id": "efb7b8c949ac4650a09736fc376e9aee",
           "overrides": {
             "rules": [
               {
                 "id": "23ee7cebe6e8443e99ecf932ab579455",
                 "action": "log",
                 "enabled": false
               }
             ]
           }
         }
       }
     ]
   }'

После сохранения указанной конфигурации и включения новых WAF Managed Rules предыдущая версия управляемых правил WAF будет автоматически отключена из-за наличия waf_migration=pending&phase_two=1 параметров. Это гарантирует, что во время обновления зона останется защищённой одной из версий WAF.

Если вы клиент с планом Enterprise, используйте режим проверки процесса обновления WAF, чтобы проверить поведение новой конфигурации WAF Managed Rules. Cloudflare включает режим проверки после развёртывания новой конфигурации WAF. В этом режиме предыдущая версия WAF остаётся включённой, поэтому вы можете проверить поведение новой конфигурации в течение процесса обновления. Новая версия WAF Managed Rules будет запускаться до предыдущей версии.

Перейдите в выборочные журналы в Security Events в режиме проверки и проверьте следующее:

• Проверьте, нет ли запросов, которые разрешает новый WAF, но обрабатывала иначе предыдущая версия WAF (например, действием проверки или блокировки). Если это происходит, рассмотрите возможность написать правило брандмауэра или Пользовательское правило WAF чтобы обрабатывать ранее выявленные вами запросы.

• Проверьте, нет ли легитимных запросов, которые блокирует новый WAF. В этом случае отредактируйте управляемое правило WAF, которое блокирует эти запросы: измените выполняемое действие или отключите правило. Дополнительную информацию см. в Настройка управляемого набора правил.

У клиентов с планами Business и Professional нет доступа к режиму проверки, поэтому проверить новое поведение WAF они смогут только после перехода на новые WAF Managed Rules.

В течение нескольких дней после обновления проверяйте выборочные журналы в Security Events на предмет легитимных запросов, заблокированных WAF Managed Rules. Если вы обнаружите неверно заблокированные запросы, измените действие соответствующего правила WAF на Log. Дополнительную информацию об изменении действия правила управляемого набора правил см. в Настройка отдельных правил управляемого набора правил.

Также проверьте запросы, которые должны были быть заблокированы. В этом случае рассмотрите возможность создания правило брандмауэра или Пользовательское правило WAF чтобы блокировать эти запросы.

Для перехода на новые WAF Managed Rules через API необходимо вызвать следующие операции API:

Чтобы получить полный эндпойнт, к перечисленным выше эндпойнтам необходимо добавить в начале базовый URL Cloudflare API:

https://api.cloudflare.com/client/v4

Обратитесь в Служба поддержки Cloudflare чтобы получить помощь по следующим ошибкам:

• Количество правил брандмауэра для миграции превышает 200.
• Длина выражения правила брандмауэра превышает 4 КБ.

Вместо прежних API для управления пакетами, группами правил и правилами WAF теперь необходимо использовать Rulesets API чтобы настраивать WAF Managed Rules программным способом.

Можно также создать переопределения чтобы указать изменения, которые нужно выполнить поверх конфигурации WAF Managed Rules по умолчанию. Эти изменения будут иметь приоритет над поведением управляемого набора правил по умолчанию.

Дополнительную информацию можно найти в следующих материалах:

• Развёртывание управляемого набора правил в фазу на уровне зоны
• Переопределение управляемого набора правил

Вместо прежних ресурсов для управления пакетами, группами правил и правилами WAF теперь необходимо использовать cloudflare_ruleset ↗ ресурс Terraform для настройки WAF Managed Rules. Примеры настройки см. Настройка WAF Managed Rules с помощью Terraform.

Вы можете использовать cf-terraforming ↗ для создания конфигурации Terraform для вашей новой конфигурации WAF Managed Rules после обновления. Затем импортируйте новые ресурсы в состояние Terraform.

Ниже приведены рекомендуемые шаги для замены старой конфигурации управляемых правил WAF в Terraform на новую конфигурацию на основе набора правил для новых WAF Managed Rules:

1. Чтобы сформировать все конфигурации наборов правил для зоны, выполните следующую команду:

   cf-terraforming generate --zone <ZONE_ID> --resource-type "cloudflare_ruleset"

   resource "cloudflare_ruleset" "terraform_managed_resource_3c0b456bc2aa443089c5f40f45f51b31" {
     kind    = "zone"
     name    = "default"
     phase   = "http_request_firewall_managed"
     zone_id = "<ZONE_ID>"
     rules {
       [...]
     }
     [...]
   }
   [...]

2. Предыдущая команда может также возвращать конфигурации наборов правил для других продуктов Cloudflare, основанных на Ruleset Engine. Поскольку вам нужна конфигурация WAF Managed Rules, оставьте только ресурс Terraform для http_request_firewall_managed фаза и сохранить его в .tf файл конфигурации. Полное имя ресурса понадобится вам на следующем шаге.

3. Импортируйте cloudflare_ruleset ресурс, который вы ранее определили, в состояние Terraform с помощью terraform import команду. Например:

   terraform import cloudflare_ruleset.terraform_managed_resource_3c0b456bc2aa443089c5f40f45f51b31 zone/<ZONE_ID>/3c0b456bc2aa443089c5f40f45f51b31

    cloudflare_ruleset.terraform_managed_resource_3c0b456bc2aa443089c5f40f45f51b31: Importing from ID "zone/<ZONE_ID>/3c0b456bc2aa443089c5f40f45f51b31"...
    cloudflare_ruleset.terraform_managed_resource_3c0b456bc2aa443089c5f40f45f51b31: Import prepared!
      Prepared cloudflare_ruleset for import
    cloudflare_ruleset.terraform_managed_resource_3c0b456bc2aa443089c5f40f45f51b31: Refreshing state... [id=3c0b456bc2aa443089c5f40f45f51b31]
   
    Import successful!
   
    The resources that were imported are shown above. These resources are now in
    your Terraform state and will henceforth be managed by Terraform.

4. Запустите terraform plan чтобы убедиться, что Terraform теперь проверяет состояние нового cloudflare_ruleset ресурс в дополнение к другим существующим ресурсам, уже управляемым Terraform. Например:

   terraform plan

   
   cloudflare_ruleset.terraform_managed_resource_3c0b456bc2aa443089c5f40f45f51b31: Refreshing state... [id=3c0b456bc2aa443089c5f40f45f51b31]
   [...]
   cloudflare_waf_package.my_package: Refreshing state... [id=14a2524fd75c419f8d273116815b6349]
   cloudflare_waf_group.my_group: Refreshing state... [id=0580eb5d92e344ddb2374979f74c3ddf]
   [...]

5. Удалите из состояния Terraform все данные, связанные с предыдущей версией управляемых правил WAF:

   1. Чтобы найти все ресурсы, связанные с предыдущей версией управляемых правил WAF, выполните следующую команду:

      terraform state list | grep -E '^cloudflare_waf_(package|group|rule)\.'

      cloudflare_waf_package.my_package
      cloudflare_waf_group.my_group

   2. Выполните terraform state rm ... команду в режиме dry-run, чтобы оценить последствия удаления этих ресурсов без внесения фактических изменений:

      terraform state rm -dry-run cloudflare_waf_package.my_package cloudflare_waf_group.my_group

      Would remove cloudflare_waf_package.my_package
      Would remove cloudflare_waf_group.my_group

   3. Если результат выглядит корректно, выполните ту же команду без -dry-run параметр, чтобы фактически удалить ресурсы из состояния Terraform:

      terraform state rm cloudflare_waf_package.my_package cloudflare_waf_group.my_group

      Removed cloudflare_waf_package.my_package
      Removed cloudflare_waf_group.my_group
      Successfully removed 2 resource instance(s).

6. После удаления ресурсов пакетов, групп и правил WAF из состояния Terraform удалите cloudflare_waf_package, cloudflare_waf_group, а также cloudflare_waf_rule ресурсы из .tf файлы конфигурации.

7. Запустите terraform plan чтобы убедиться, что удалённые вами из конфигурационных файлов ресурсы больше не отображаются. У вас не должно быть отложенных изменений.

   terraform plan

   cloudflare_ruleset.terraform_managed_resource_3c0b456bc2aa443089c5f40f45f51b31: Refreshing state... [id=3c0b456bc2aa443089c5f40f45f51b31]
   [...]
   
   No changes. Your infrastructure matches the configuration.
   
   Terraform has compared your real infrastructure against your configuration and found no differences, so no changes are needed.

Сведения об импорте ресурсов Cloudflare в Terraform и об использовании cf-terraforming см. следующие материалы:

• Импорт ресурсов Cloudflare
• cf-terraforming репозиторий GitHub ↗

Понятие уровень паранойи отсутствовал в версии OWASP (2.x), которая использовалась в управляемых правилах WAF. Согласно рекомендациям руководства OWASP, в процессе миграции WAF уровень паранойи Cloudflare OWASP Core Ruleset будет установлен на PL2.

Новую версию WAF Managed Rules нельзя отключить с помощью Page Rules, поскольку Web Application Firewall: Off настройка в Page Rules применяется только к предыдущей версии управляемых правил WAF. Чтобы отключить новые WAF Managed Rules, необходимо настроить исключения (также известные как правила пропуска).