← Документация WAF / managed-rules / reference

Cloudflare Managed Ruleset

Созданный командой безопасности Cloudflare, этот набор правил обеспечивает быструю и эффективную защиту всех ваших приложений. Набор часто обновляется, чтобы покрывать новые уязвимости и снижать число ложных срабатываний.

Cloudflare рекомендует включить правила, теги которых соответствуют вашему технологическому стеку. Например, если вы используете WordPress, включите правила с тегом wordpress.

Cloudflare: Журнал изменений WAF позволяет отслеживать текущие изменения в управляемых наборах правил WAF.

Эта операция развёртывает управляемый набор правил для текущей зоны, создавая новое правило с Execute (действие).

Вы можете настроить (переопределить) Cloudflare Managed Ruleset, изменив его конфигурацию по умолчанию, на нескольких уровнях:

• Уровень набора правил
• Уровень тега
• Уровень правила

Когда вы создаёте несколько переопределений на разных уровнях, более специфичные конфигурации (уровень тега и правила) имеют приоритет над менее специфичными (уровень набора правил). См. Переопределение управляемого набора правил в документации Ruleset Engine для получения дополнительной информации.

В панели управления Cloudflare можно настроить (или переопределить) следующие параметры Cloudflare Managed Ruleset:

• Область действия: если задать пользовательское выражение фильтра для области действия, Cloudflare Managed Ruleset применяется только к части входящих запросов. По умолчанию управляемый набор правил, развёрнутый в панели управления, применяется ко всему входящему трафику.

• Действие набора правил: когда вы задаёте действие для набора правил, вы переопределяете действие по умолчанию, определённое для каждого правила. Доступные действия: Block, Log, Non-Interactive Challenge, Managed Challenge и Interactive Challenge. Чтобы убрать переопределение действия на уровне набора, установите действие набора в Default.

• Статус набора правил: включает или отключает все правила в наборе.

• Журналирование payload: если включено, логирует информацию запроса (payload), вызвавшую срабатывание конкретного правила управляемого набора. Для шифрования payload необходимо настроить открытый ключ.

После того как вы развернули Cloudflare Managed Ruleset, выполните следующие действия для настройки в панели управления:

В панели управления можно настроить (или переопределить) следующие параметры Cloudflare Managed Ruleset для правил, помеченных хотя бы одним из выбранных тегов:

• Действие правила: задаёт действие для всех правил с выбранными тегами. Доступные действия: Block, Log, Non-Interactive Challenge, Managed Challenge и Interactive Challenge.
• Статус правила: Устанавливает статус правил для всех правил с выбранными тегами.

После того как вы развернули Cloudflare Managed Ruleset, выполните следующие действия, чтобы настроить правила с определёнными тегами в панели управления:

В панели управления можно настроить (или переопределить) следующие параметры Cloudflare Managed Ruleset для выбранных правил:

• Действие правила: задаёт действие одного правила или, если выбрано несколько правил, выбранных правил. Доступные действия: Block, Log, Non-Interactive Challenge, Managed Challenge и Interactive Challenge. После изменения конфигурации правила вы можете сбросить её обратно к конфигурации по умолчанию, определённой в Cloudflare Managed Ruleset.
• Статус правила: Устанавливает статус (включено или отключено) одного правила или, если вы выбрали несколько правил, выбранных правил.

После того как вы развернули Cloudflare Managed Ruleset, выполните следующие действия, чтобы настроить отдельные правила набора в панели управления:

Чтобы развернуть Cloudflare Managed Ruleset для зоны через API, создайте правило с execute в набор правил точки входа для http_request_firewall_managed фазе.

Следующий пример развёртывает Cloudflare Managed Ruleset в http_request_firewall_managed указанной зоны ($ZONE_ID), создав правило, выполняющее управляемый набор правил.

1. Вызовите Получение набора правил точки входа зоны (операция), чтобы получить определение набора правил точки входа для фазы http_request_firewall_managed (фаза). Вам понадобится ID зоны для этой задачи.

   Получение набора правил точки входа зоны

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/http_request_firewall_managed/entrypoint" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"result": {
   		"description": "Zone-level phase entry point",
   		"id": "<RULESET_ID>",
   		"kind": "zone",
   		"last_updated": "2024-03-16T15:40:08.202335Z",
   		"name": "zone",
   		"phase": "http_request_firewall_managed",
   		"rules": [
   			// ...
   		],
   		"source": "firewall_managed",
   		"version": "10"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

2. Если набор правил точки входа уже существует (то есть если вы получили 200 OK код состояния и определение набора правил), запишите ID набора правил из ответа. Затем вызовите Создание правила в наборе правил зоны операцию, чтобы добавить execute в существующий набор правил, разворачивающий Cloudflare Managed Ruleset (с ID efb7b8c949ac4650a09736fc376e9aee). По умолчанию правило будет добавлено в конец списка правил, уже имеющихся в наборе.

   Создание правила в наборе правил зоны

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/$RULESET_ID/rules" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"action": "execute",
   		"action_parameters": {
   				"id": "efb7b8c949ac4650a09736fc376e9aee"
   		},
   		"expression": "true",
   		"description": "Execute the Cloudflare Managed Ruleset"
   	}'

   {
   	"result": {
   		"id": "<RULESET_ID>",
   		"name": "Zone-level phase entry point",
   		"description": "",
   		"kind": "zone",
   		"version": "11",
   		"rules": [
   			// ... any existing rules
   			{
   				"id": "<RULE_ID>",
   				"version": "1",
   				"action": "execute",
   				"action_parameters": {
   					"id": "efb7b8c949ac4650a09736fc376e9aee",
   					"version": "latest"
   				},
   				"expression": "true",
   				"description": "Execute the Cloudflare Managed Ruleset",
   				"last_updated": "2024-03-18T18:08:14.003361Z",
   				"ref": "<RULE_REF>",
   				"enabled": true
   			}
   		],
   		"last_updated": "2024-03-18T18:08:14.003361Z",
   		"phase": "http_request_firewall_managed"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

3. Если набор правил точки входа не существует (то есть если вы получили 404 Not Found код состояния на шаге 1), создайте его с помощью Создание набора правил зоны. Включите одно правило в массив rules , выполняющее Cloudflare Managed Ruleset (с ID efb7b8c949ac4650a09736fc376e9aee) для всех входящих запросов в зоне.

   Создание набора правил зоны

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "My ruleset",
   		"description": "Entry point ruleset for WAF managed rulesets",
   		"kind": "zone",
   		"phase": "http_request_firewall_managed",
   		"rules": [
   				{
   						"action": "execute",
   						"action_parameters": {
   								"id": "efb7b8c949ac4650a09736fc376e9aee"
   						},
   						"expression": "true",
   						"description": "Execute the Cloudflare Managed Ruleset"
   				}
   		]
   	}'

Чтобы настроить Cloudflare Managed Ruleset через API, создайте переопределения с помощью Rulesets API. Доступны следующие настройки:

• Укажите действие, выполняемое для всех правил набора, создав переопределение набора правил.

• Отключайте отдельные правила или настраивайте их действие, создавая переопределения правил.

Примеры создания переопределений через API см. в Переопределение управляемого набора правил.

Подробнее о работе с управляемыми наборами правил через API см. Работа с управляемыми наборами правил в документации по Ruleset Engine.

В следующем примере Cloudflare Managed Ruleset развёртывается для зоны с переопределением действия и статуса конкретного правила.

# Configure a ruleset at the zone level for the "http_request_firewall_managed" phase
resource "cloudflare_ruleset" "zone_level_managed_waf" {
  zone_id     = var.cloudflare_zone_id
  name        = "Managed WAF entry point ruleset"
  description = "Zone-level WAF Managed Rules config"
  kind        = "zone"
  phase       = "http_request_firewall_managed"

  # Execute Cloudflare Managed Ruleset
  rules = [{
    ref         = "execute_cloudflare_managed_ruleset"
    description = "Execute Cloudflare Managed Ruleset on my zone-level phase entry point ruleset"
    expression  = "true"
    action      = "execute"
    action_parameters = {
      id = "efb7b8c949ac4650a09736fc376e9aee"
      overrides = {
        rules = [{
          id      = "5de7edfa648c4d6891dc3e7f84534ffa"
          action  = "log"
          enabled = true
        }]
      }
    }
  }]
}

# Configure a ruleset at the zone level for the "http_request_firewall_managed" phase
resource "cloudflare_ruleset" "zone_level_managed_waf" {
  zone_id     = var.cloudflare_zone_id
  name        = "Managed WAF entry point ruleset"
  description = "Zone-level WAF Managed Rules config"
  kind        = "zone"
  phase       = "http_request_firewall_managed"

  # Execute Cloudflare Managed Ruleset
  rules {
    ref         = "execute_cloudflare_managed_ruleset"
    description = "Execute Cloudflare Managed Ruleset on my zone-level phase entry point ruleset"
    expression  = "true"
    action      = "execute"
    action_parameters {
      id = "efb7b8c949ac4650a09736fc376e9aee"
      overrides {
        rules {
          id      = "5de7edfa648c4d6891dc3e7f84534ffa"
          action  = "log"
          enabled = true
        }
      }
    }
  }
}

Подробнее см. Конфигурация WAF Managed Rules с помощью Terraform.