← Cloudflare Firewall Rules / firewall / troubleshooting

Potřebné úpravy pravidel brány firewall pro zapnutí normalizace URL

Dne 8. 4. 2021 Cloudflare oznámil Normalizace URL, funkci, která chrání zóny normalizací cest URI v požadavcích HTTP.

Útočníci mohou vytvořit URI, které bude systém brány firewall a origin server interpretovat odlišně. Když povolíte Normalizace příchozích URL adres, všechna pravidla filtrující podle cesty URI obdrží adresu URL v kanonickém tvaru, což poskytuje další vrstvu ochrany před těmito škodlivými uživateli.

Cloudflare postupně zapínal normalizaci adres URL pro všechny zóny Cloudflare kromě těch, které by touto změnou mohly být ovlivněny. Ovlivněné zóny jsme určili analýzou všech pravidel brány firewall, při které jsme hledali vzory v polích HTTP, jež by při použití technik normalizace adres URL přestaly odpovídat.

Jedná se o tato pole:

• http.request.uri.path
• http.request.full_uri
• http.request.uri

Cloudflare nezapnul normalizaci adres URL automaticky pro zóny, které by tyto změny ovlivnily, aby nedošlo ke změně chování vašich stávajících pravidel brány firewall.

Cloudflare důrazně doporučuje, abyste povolili Normalizace příchozích URL adres v Pravidla > Přehled > Normalizace URL a posílit tak zabezpečení vaší zóny. Pokud tak neučiníte, vystavujete zónu vyššímu riziku úspěšného útoku. Útočníci by mohli sestavit URL způsobem, se kterým pravidla nepočítají.

Příklad pravidla firewallu s výrazem, jako je http.request.uri.path contains "/login" by bylo možné obejít, pokud útočník zakódoval l znak jako %6C. V tomto scénáři by při vypnuté normalizaci adres URL provoz pravidlu brány firewall neodpovídal.

Viz Jak funguje normalizace URL další informace a příklady.

Doporučujeme, abyste:

1. Aktualizujte veškerá pravidla brány firewall dotčená změnami normalizace URL.
2. Povolte normalizaci URL.

Tyto kroky zajistí silnější úroveň zabezpečení vašich zón.

Před zapnutím normalizace adres URL byste měli zkontrolovat dotčená pravidla brány firewall ve svých zónách a zvolit jeden z následujících postupů:

• Upravte tato pravidla firewallu a odstraňte z nich části, které se po normalizaci již nespustí, například pravidla hledající // nebo ../ v cestách URL. Administrátoři dříve tato pravidla vytvářeli, aby prováděla omezenou normalizaci URL, a nyní je lze bezpečně zakázat a poté odstranit.

• Pokud chcete pomocí těchto pravidel brány firewall identifikovat návštěvníky s nenormalizovanými cestami URI, upravte pravidla tak, aby používala původní (raw) nenormalizovaná pole. Jedná se o následující pole:

  • raw.http.request.uri.path
  • raw.http.request.full_uri
  • raw.http.request.uri

Jakmile dotčená pravidla brány firewall upravíte, zapněte normalizaci URL v Pravidla > Přehled > Normalizace URL.

Uživatel Cloudflare musí mít Role Firewall nebo jednu z rolí Administrator, abyste získali přístup k nastavení normalizace URL v dashboardu.

• Normalizace URL
• Transform Rules