← Cloudflare Firewall Rules / firewall / troubleshooting

Необходимые изменения правил firewall для включения нормализации URL

2021-04-08 Cloudflare анонсировала Нормализация URL, функция, которая защищает зоны за счет нормализации путей URI HTTP-запросов.

Злоумышленники могут формировать URI особым образом, чтобы системы firewall и системы источника интерпретировали их по-разному. Когда вы включаете Нормализация входящих URL, все правила, фильтрующие по пути URI, будут получать URL в канонической форме, что обеспечивает дополнительный уровень защиты от таких злоумышленников.

Cloudflare постепенно включал нормализацию URL для всех зон Cloudflare, кроме тех, которые могли быть затронуты этим изменением. Затронутые зоны определялись путем анализа всех правил брандмауэра и поиска шаблонов в полях HTTP, которые перестали бы совпадать при использовании методов нормализации URL.

Это следующие поля:

• http.request.uri.path
• http.request.full_uri
• http.request.uri

Cloudflare не включал нормализацию URL автоматически для зон, которые могли быть затронуты этими изменениями, чтобы не менять поведение существующих правил брандмауэра.

Cloudflare настоятельно рекомендует включить Нормализация входящих URL в Правила > Обзор > Нормализация URL чтобы усилить защищенность вашей зоны. Если этого не сделать, зона останется более уязвимой к успешной атаке. Злоумышленники могут составить URL так, что правила не будут его учитывать.

Например, правило брандмауэра с выражением вида http.request.uri.path contains "/login" можно обойти, если злоумышленник закодировал l символ как %6C. В этом сценарии при отключенной нормализации URL трафик не будет соответствовать правилу брандмауэра.

См. Как работает нормализация URL чтобы получить дополнительные сведения и примеры.

Рекомендуется выполнить следующее:

1. Обновите все правила брандмауэра, на которые повлияли изменения нормализации URL.
2. Включение нормализации URL.

Эти шаги помогут повысить уровень защиты ваших зон.

Перед включением нормализации URL проверьте затронутые правила брандмауэра в своих зонах и выберите один из следующих подходов:

• Измените эти правила брандмауэра, чтобы убрать части, которые перестанут срабатывать после нормализации: например, любые правила, которые проверяют наличие // или ../ в путях URL. Ранее администраторы создавали такие правила для ограниченной нормализации URL, и теперь эти правила можно безопасно отключить, а затем удалить.

• Если вы хотите с помощью этих правил firewall определять посетителей по ненормализованным путям URI, обновите правила так, чтобы они использовали исходные (raw) ненормализованные поля. Это следующие поля:

  • raw.http.request.uri.path
  • raw.http.request.full_uri
  • raw.http.request.uri

После обновления затронутых правил firewall включите нормализацию URL в Правила > Обзор > Нормализация URL.

Пользователь Cloudflare должен иметь Роль Firewall или одна из ролей администратора, чтобы получить доступ к настройкам нормализации URL в панели управления.

• Нормализация URL
• Transform Rules