← Všechny produkty

Web Application Firewall (WAF)

Web Application Firewall od Cloudflare kontroluje každý HTTP požadavek na hraně sítě a blokuje pokusy o zneužití — od SQL injection po zero-day CVE — dřív, než dorazí k vašim serverům.

Přehled

Webové aplikace jsou napadány neustále a automatizovaně: skenery hledají známé CVE, injekční zranitelnosti, odhalené administrační rozhraní a uniklé přihlašovací údaje během minut od zveřejnění zranitelnosti. Web application firewall (WAF) tento provoz filtruje před aplikací — kupuje vašemu týmu čas na záplatování a většinu oportunistického zneužívání zastaví rovnou.

WAF od Cloudflare běží v každé z více než 300 lokalit, takže filtrování probíhá blízko klienta se zanedbatelnou přidanou latencí. Pravidla udržuje tým bezpečnostního výzkumu Cloudflare a průběžně je aktualizuje — často během hodin od zveřejnění závažného CVE — aniž byste museli cokoli nasazovat.

Klíčové funkce

• Cloudflare Managed Ruleset pokrývající aktuální techniky exploitace i mediálně známá CVE, průběžně aktualizovaný
• OWASP Core Ruleset s nastavitelnou úrovní paranoia a prahem skóre
• Vlastní pravidla postavená nad libovolným atributem požadavku — cesta, hlavičky, země, ASN, bot score, JA4 fingerprint a další
• Pravidla rate limitingu pro škrcení brute force útoků, credential stuffingu, scrapingu a zneužívání API
• Detekce uniklých přihlašovacích údajů, která označí přihlášení pomocí dvojic jméno/heslo nalezených ve veřejných únicích
• Skenování nahrávaného obsahu a detekce citlivých dat v odpovědích (doplňky pro Enterprise)
• Strojové učení attack score, které u každého požadavku hodnotí pravděpodobnost škodlivosti (Business/Enterprise)
• Kompletní analytika s vyhodnocením shod po jednotlivých pravidlech a režim „pouze logovat" pro bezrizikové nasazení

Jak to funguje

Každý požadavek na vaši doménu terminuje na edge serveru Cloudflare, kde je vyhodnocen proti vaší konfiguraci WAF ve fázích: vlastní pravidla, pravidla rate limitingu a spravované sady pravidel. Pravidla se píší ve výrazovém jazyce wirefilter a kompilují se do efektivních filtrů, takže vyhodnocení přidává v typických konfiguracích hluboko pod jednu milisekundu.

Spravované sady pravidel jsou ochrany založené na signaturách a heuristikách, které kurátorsky spravuje bezpečnostní tým Cloudflare; OWASP ruleset funguje jinak — každý požadavek skóruje proti desítkám obecných vzorců útoků a blokuje, jakmile kumulativní skóre překročí vámi zvolený práh. Nad tím vším attack score založené na strojovém učení generalizuje ze známých payloadů, takže vlastní pravidla zachytí i obfuskované varianty a dosud neviděné pokusy o exploitaci.

Akce jsou granulární: pravidlo může blokovat, challengovat (interaktivně nebo managed), logovat, nebo přeskočit jiná pravidla — nové ochrany tedy můžete nasadit v režimu pouze logovat, projít si shody v analytice a teprve pak s jistotou přepnout na blokování.

Tarify a licencování

Všechny tarify zahrnují vlastní pravidla a rate limiting v určitém rozsahu. Tarif Free obsahuje zúženou spravovanou sadu pravidel pro kritické zranitelnosti; Pro přidává plný Cloudflare Managed Ruleset a OWASP Core Ruleset; Business zvyšuje kvóty pravidel a přidává pravidla nad attack score; Enterprise přidává pokročilý rate limiting, logování payloadů, detekci citlivých dat a nejvyšší kvóty. Údaje odpovídají stavu k roku 2026 a mohou se měnit — ověřte si s námi aktuální podobu nabídky.

Nasazení s Integrity

Integrity jako certifikovaný partner Cloudflare pro střední a východní Evropu dodává tento produkt od začátku do konce — včetně bezplatného pilotního provozu, díky němuž uvidíte výsledky na vlastním provozu ještě předtím, než se k čemukoli zavážete. Typické nasazení:

1. Analýza. Zinventarizujeme vaše aplikace, frameworky a známá slabá místa a projdeme nedávný útočný provoz, pokud máte logy.
2. Bezplatný pilot. Proof-of-concept zóna se spustí se spravovanými sadami pravidel v režimu pouze logovat, abychom mohli měřit skutečné shody s nulovým dopadem na uživatele.
3. Základní konfigurace. Spravované sady pravidel se zapnou v blokovacím režimu s doladěnými výjimkami; vlastní pravidla pokryjí cesty specifické pro vaši aplikaci (administrace, API, přihlašovací endpointy).
4. Rate limiting. Přihlašování, checkout a API endpointy dostanou limity kalibrované podle pozorovaného provozu.
5. Ladění. Dva až čtyři týdny revize falešných poplachů s vaším týmem a úpravy výjimek, dokud nejsou shody čisté.
6. Předání nebo managed WAF. Dokumentace a školení pro váš tým, nebo průběžná správa pravidel od Integrity — včetně nouzového virtual patchingu, když se objeví závažná CVE.

Chcete začít? Kontaktujte nás a domluvíme bezplatný pilotní provoz.

Časté dotazy

Další čtení

• Dokumentace Cloudflare WAF