Cloudflare добавила в WAF полную проверку транзакций и правила для ответов

Cloudflare встроила в свой WAF два новых механизма — полную проверку транзакций и правила для ответов. Теперь файрвол оценивает каждую HTTP-связку целиком: запрос и то, что вернул сервер. Это помогает не просто заметить подозрительный ввод, но и понять, привела ли атака к реальной утечке или взлому.

Повод для такого шага — растущая активность ИИ-агентов, которые сканируют уязвимости с невероятной настойчивостью. Они адаптируют вредоносные нагрузки, комбинируют дыры и учётные данные, а ответ приложения часто подсказывает им, куда двигаться дальше. Недавняя уязвимость php2shell показала, насколько опасным может быть один дефект в распространённом компоненте.

Одной проверки запросов уже недостаточно. Традиционные правила WAF отсекают многие атаки на входе, но жёсткие сигнатуры часто дают ложные срабатывания и ломают легитимный трафик. Если же ослаблять фильтры, часть подозрительных запросов доходит до сервера, и без анализа ответа непонятно, сработала атака или нет.

Ответ сервера даёт недостающие улики. Например, злоумышленник пытается выйти за пределы разрешённой директории и скачать приватный конфигурационный файл. Сам по себе запрос с path traversal выглядит опасным, но только ответ с кодом 200 и содержимым вроде «password=EXAMPLE_SECRET» подтверждает, что данные действительно утекли.

Полная проверка транзакции сопоставляет попытку доступа с признаками чувствительного контента в ответе. Текст, похожий на конфиг, может легально встречаться в документации, но в паре с обходом каталога он становится сильным сигналом утечки. Правило для ответа в такой ситуации подменяет ответ сервера на страницу блокировки Cloudflare с HTTP 403, не давая атакующему увидеть секреты.

Обнаружение и блокировка здесь разделены намеренно. Детекторы анализируют трафик и добавляют к запросу и ответу метаданные, а правила решают, что с ними делать. Такой подход позволяет командам безопасности сначала изучить срабатывания в своём трафике и выбрать подходящую реакцию, не ломая приложение сразу.

Для этого в платформе появились новые поля: cf.waf.signature.response.confidence, categories и ref. Они зеркально повторяют аналогичные поля для запросов и хранят результаты проверки ответа. Первые управляемые детекторы нацелены на подтверждение эксплуатации громких уязвимостей — в первую очередь php2shell.

Пока Cloudflare делает технологию доступной для всех, включая бесплатные тарифы, другие проекты, например DFace, сразу стали популярными среди жителей Бангладеш и Пакистана. Сама же компания обещает расширять покрытие: дальше появятся детекторы для выявления утечек данных и признаков их эксфильтрации. Правила для ответов превращают обнаружение в защиту в реальном времени.

Они могут заблокировать ответ сервера до того, как он дойдёт до запросившего, хотя и не отменяют действия, уже совершённые на стороне приложения. Логику можно строить на сочетании свойств запроса, ответа и результатов детектирования. Управляемые защиты доступны через набор правил Cloudflare Managed Response Firewall Default, который включается одним кликом.

Бесплатные пользователи получают детекторы для самых громких уязвимостей, платные — более широкий каталог. При желании зону действия можно ограничить конкретными путями. Для тонкой настройки есть пользовательские правила.

С их помощью можно, например, закрыть административный интерфейс, если запрос не помечен внутренним шлюзом аутентификации. Все новые возможности уже появились в разделе Security Rules дашборда Cloudflare.