Cloudflare 推出全交易偵測與回應規則，提升 WAF 防護能力

今天，我們正透過新增兩項功能：完整交易偵測與回應規則，擴充我們的網路應用程式防火牆 (WAF)。完整交易偵測會同時評估每一個 HTTP 請求及其回應，以辨識是否有被利用的證據。它能協助回答「這個請求看起來有惡意嗎？」以及「應用程式處理時發生了什麼？」兩個問題。回應規則則可以在回應送達請求者之前，攔截原始伺服器的回應。

這些保護措施十分寶貴，因為最新的前沿模型正在揭露深藏於廣泛使用軟體中的漏洞，讓防禦者能清楚知道該修補什麼——同時也為攻擊者提供新的利用途徑。最近的 php2shell 漏洞顯示風險：一個常見軟體元件的缺陷可能讓整個網路上的應用程式面臨風險。AI 代理掃描漏洞時可能極為堅持，透過回饋調整 payload，並串聯漏洞、憑證與許可權。應用程式的回應能揭示嘗試是否成功，並為攻擊者提供進一步深入的資訊。

檢查傳入請求仍是阻止可辨識攻擊在抵達應用程式之前的關鍵。但有些威脅只有在將請求與伺服器回應一起考量時才會顯現。可疑輸入後若回應揭露敏感資訊，其說明與同一輸入後被拒絕或錯誤的情況截然不同。

藉由這些新功能，客戶可使用 Cloudflare 管理的保護，或自行建立結合請求與回應屬性的策略。這擴充了我們的隨時開啟應用程式安全框架，偵測結果可在 Security Analytics 中查閱以協助調查。首批使用此功能的管理式保護已針對近期公佈的 php2shell 漏洞。

最棒的是？我們將這些新功能普遍提供給所有 Cloudflare 客戶，包括免費方案。

僅檢查請求還不夠

Cloudflare WAF 以管理規則、客製規則與速率限制來保護網站與 API。管理規則可針對已知攻擊手法與漏洞提供防護，而客製規則則允許團隊使用 IP 位址、URL 路徑、標頭與請求內容等引數自行建立策略。這些控制在請求層級運作，阻止利用或不需要的流量抵達原始伺服器。

對於許多威脅而言，這是最合適的防禦點。然而，將每一個可疑請求都視為已確認的利用，會帶來艱難抉擇。寬泛的請求簽名能抓取更多潛在攻擊，但亦可能產生「誤報」，例如將合法流量誤判為攻擊，進而破壞應用程式。僅部署不會觸發誤報的規則可降低風險，但也可能讓更多模糊流量進入伺服器。

回應提供了缺失的證據。Cloudflare 現在能將其與產生該回應的請求相關聯，讓偵測能考慮整個 HTTP 交易的結果。

舉例來說，假設有一個允許使用者下載檔案的應用程式。攻擊者操縱 file 引數，要求取得位於允許目錄之外的私密設定檔：

GET /download?file=../../config/database.ini

請求檢查可以識別此路徑穿越嘗試，並在到達應用程式之前阻止它。單靠請求本身無法確定應用程式是否會暴露該檔案。它可能會拒絕請求、忽略穿越或返回錯誤。若請求到達來源，類似此類回應將提供額外證據：

200 OK
Content-Type: text/plain
[database]
username=app_service
password=EXAMPLE_SECRET

完整交易偵測 提供缺失的部分：它能將嘗試存取檔案與回應內容中私密設定檔特徵相關聯。類似設定檔的文字可能合法出現在檔案或範例下載中；將其與路徑穿越嘗試結合可提供比單獨任何訊號更強的敏感資料暴露證據。回應規則 隨後可在請求者收到前，以 Cloudflare WAF 阻擋頁面及 HTTP 403 取代來源回應，實際上透過阻止敏感資訊傳遞給攻擊者來阻斷利用。

偵測與緩解設計上是分離的

完整交易偵測擴充套件了我們今年早些時候推出的常開偵測框架。偵測會分析流量並將元資料附加到請求與回應，規則隨後決定如何處理這些結果。

將這些工作分離可讓客戶在設計政策前先獲得可見性。安全團隊可以在自身流量中檢查偵測，瞭解涉及哪些端點與簽章，並選擇符合其應用程式的回應。與基於請求的攻擊簽章偵測相似，偵測結果會儲存在可在回應自訂規則中存取的欄位，或用於受管偵測以阻擋流量。

映象請求偵測欄位，我們平臺新增以下欄位：

首批完整交易偵測聚焦於高知名度漏洞的利用確認。它將可疑輸入與表明利用可能成功的回應訊號相關聯。

我們將隨時間擴充套件覆蓋範圍，支援其他使用案例，包括偵測資料暴露與外洩訊號。這對整個網際網路而言重要，超越單一應用：防禦可區分探測與影響證據，而偵測暴露資料與服務能觸及那些沒有專屬安全團隊調整每條 WAF 規則的客戶。

在回應上建立規則

偵測利用證據最有用的是能即時採取行動。回應自訂規則將完整交易偵測轉為即時保護，透過在請求者收到前阻擋匹配的來源回應，雖然無法撤銷已在來源執行的動作。

安全團隊現在可將請求與回應屬性與偵測結果結合，以決定哪些回應要阻擋。當阻擋規則匹配時，Cloudflare 會以 WAF 阻擋頁面或自訂回應取代來源回應。

回應階段控制可在 Cloudflare 儀錶板的 Security > Security Rules 頁面底部找到，包含受管保護與自訂規則。

我們已經為所有方案（包括免費方案）發布了管理式和自訂規則。隨著時間推移，我們將採用與請求偵測相同的方法，管理式偵測針對免費方案聚焦於高知名度漏洞，而付費客戶則能獲得更豐富的偵測清單。

管理式偵測

所有客戶皆可透過 Cloudflare Managed Response Firewall Default 規則集獲得完整交易偵測保護，該規則集設計為一鍵部署與簡化設定。當簽章匹配時，管理式偵測將封鎖回應並返回標準 WAF 封鎖頁面。

您可以編輯 Cloudflare Managed Response Firewall Default 範圍，只對應用程式的一部分執行偵測，例如排除或限制偵測至特定路徑。付費客戶可在自訂回應規則中使用偵測欄位，建立更量身定製的政策。

自訂規則

自訂回應規則旨在讓客戶完全掌控規則邏輯。有效的規則可在認證閘道未將請求標記為內部時，阻止管理介面被公開。例如：

http.request.uri.path starts_with "/admin" and not http.request.headers["x-internal-user"][0] eq "true" and http.response.code eq 200 and http.response.headers["content-type"][0] contains "text/html"

此規則僅在未經認證的請求目標為 `/admin` 且來源實際返回成功的 HTML 管理頁面時才封鎖。它不會封鎖普通的認證失敗、重定向或非管理流量。

所有客戶可建立最多三條支援 Log 與 Block 動作的自訂回應規則。回應式自訂規則可使用的欄位與函式與您目前在request custom rules 中可存取的相同。尚未支援在回應正文上建立規則。

依照Attack Signature Detection 方法，付費客戶亦可透過上述 cf.waf.signature.response.* 欄位存取攻擊偵測結果。這些欄位可與其他引數（如主機名、URL 路徑、來源 IP、請求標頭）結合，以在單一路徑啟用保護，或將政策限制於特定應用程式。 我們目前正在將回應欄位推廣至所有帳戶。若尚未取得存取權，請聯絡您的帳戶團隊。

調查符合條件的請求

當管理式或自訂回應規則記錄或封鎖交易時，該事件會顯示於 Security Events。這表示回應者可將任何偵測追溯至完整的請求上下文以及採取行動的具體規則。

目前，僅請求規則與完整交易規則皆顯示於同一分析頁面。在 Security Events 中，回應規則產生的事件屬於 Managed Rules 或 Custom Rules 服務。您可在相對規則清單區段中篩選屬於特定規則 ID 的事件。

立即開始

完整交易偵測通常適用於所有透過 Cloudflare 代理流量的區域。為驗證您已受到保護，請前往 Cloudflare 儀錶板的 Security > Security Rules。若想自訂政策，先在 Security Analytics 檢視完整交易偵測，然後建立符合您應用程式的回應階段政策。