← Документация WAF / managed-rules

Логирование payload сработавших правил

WAF позволяет журналировать информацию о запросе, вызвавшем срабатывание конкретного правила управляемого набора. Эта информация называется payload. Она включает конкретную строку, вызвавшую срабатывание правила, а также текст непосредственно до и после совпадения.

Журналирование payload особенно полезно при диагностике поведения правил WAF. Поскольку значения, вызвавшие срабатывание правила, могут содержать чувствительные данные, они шифруются предоставленным клиентом публичным ключом, чтобы просмотреть их позже могли только вы.

У каждого управляемого набора правил своя конфигурация логирования payload. Чтобы включить логирование payload, настройте открытый ключ для шифрования логируемого payload одним из следующих способов:

• Сгенерируйте пару ключей прямо в панели управления Cloudflare
• Использование собственного открытого ключа

После включения WAF сохраняет payload срабатываний правил управляемого набора, для которого настроено логирование payload, шифруя payload вашим открытым ключом. Если срабатывают несколько правил, проверяющих одно и то же поле запроса (например, поле http.cookie), журналируемый payload для этого поля будет относиться к последнему совпавшему правилу.

Подробнее см. Настройка журналирования payload в дашборде или Настройка логирования payload через API.

Чтобы просмотреть содержимое payload в открытом виде, выполните одно из следующих действий:

• В Security Events введите ваш приватный ключ, чтобы расшифровать payload записи журнала прямо в браузере. См. Просмотр содержимого payload в панели управления для получения подробностей.

• Расшифруйте payload в командной строке с помощью matched-data-cli (инструмент). См. Расшифровка содержимого payload в командной строке для получения подробностей.

• Расшифровывайте совпавший payload в вашем Logpush с помощью Worker перед сохранением журналов в вашем SIEM-система. См. Сохранение расшифрованных совпавших payload в журналах для получения подробностей.

Только пользователи с ролью роль Super Administrator могут включить журналирование payload или изменить конфигурацию журналирования payload.