Cloudflare WAF, tüm planlarda tam transaction algılama ve response kuralları sunuyor

Cloudflare ne ekledi

Cloudflare, web application firewall'ını iki yeni yetenekle genişletti: tam transaction algılama ve response kuralları. Cloudflare bloguna göre, tam transaction algılama her HTTP isteğini origin'in geri gönderdiği yanıtla birlikte değerlendiriyor; böylece WAF yalnızca bir isteğin kötü niyetli görünüp görünmediğine değil, uygulamanın bu isteği ele alışının bir exploit'in gerçekten başarılı olduğuna işaret edip etmediğine de karar verebiliyor. Response kuralları bunu tamamlıyor ve müşterilerin origin'in yanıtını istemciye geri dönmeden önce yakalamasını sağlıyor.

Yeni yetenek üzerine kurulan ilk managed korumalar, Cloudflare'ın ifadesine göre yakın zamanda açıklanan php2shell açıklığını hedefliyor.

Neden yalnızca istek incelemesi yetersiz kalıyor

Cloudflare'ın mevcut WAF araçları — managed kurallar, custom kurallar ve rate limiting — istek düzeyinde çalışıyor. Şirket bunun zahmetli bir ödünleşim yarattığını savunuyor: geniş istek imzaları daha fazla olası saldırıyı yakalar ama meşru trafiği bozan false positive'ler üretir; dar imzalar daha güvenlidir ancak belirsiz trafiği geçer.

Yanıt, isteğin sağlayamayacağı kanıtı ekliyor. Cloudflare'ın örneği, bir saldırganın /download?file=../../config/database.ini gibi bir yol istediği bir dosya indirme endpoint'i. İstek incelemesi path traversal girişimini işaretleyebilir, ancak isteğin kendisi uygulamanın ne yapacağını göstermez — girişimi reddedebilir, traversal'ı yok sayabilir veya bir hata döndürebilir. Yanıtın bunun yerine veritabanı kimlik bilgileriyle yapılandırmaya benzer içerik taşıyan düz metin olarak gelmesi durumunda, şüpheli bir istek ile ele veren bir yanıtın eşleştirilmesi, her iki sinyalin tek başına sağlayacağından çok daha güçlü bir hassas veri ifşası kanıtıdır.

Algılama ve hafifletme birbirinden ayrı

Tasarım, algılamayı ve zorlamayı ayrı tutuyor. Algılamalar trafiği analiz eder ve isteklere ile yanıtlara metadata ekler; kurallar daha sonra ne olacağına karar verir. Cloudflare bu ayrımı, güvenlik ekiplerine politika belirlemeden önce görünürlük sağlama olarak konumlandırıyor — algılamalar Security Analytics'te incelenebilir ve hangi endpoint'lerin ve imzaların gerçek trafikte ortaya çıktığı görülebilir.\n Üç yeni yanıt tarafı alanı, mevcut istek algılama alanlarını yansıtıyor: cf.waf.signature.response.confidence, cf.waf.signature.response.categories ve en fazla on imza referans ID'si tutan cf.waf.signature.response.ref. Bu alanlar response custom kurallarında veya managed algılamalarda kullanılabilir.

İlk algılamalar, öne çıkan açıklıklar için exploit doğrulamasına odaklanıyor; şüpheli girdiyi bir girişimin başarılı olduğuna işaret eden yanıt sinyalleriyle ilişkilendiriyor. Cloudflare, kapsamın zamanla veri ifşası ve exfiltration sinyallerini de içerecek şekilde genişleyeceğini söylüyor.

Yanıt aşamasında bloke etme

Response custom kuralları algılamaları inline korumaya dönüştürüyor: bir kural eşleştiğinde Cloudflare, origin'in yanıtını standart bir WAF blok sayfasıyla veya özel bir yanıtla değiştiriyor. Belirtilmeye değer bir sınırlama var — kurallar hassas bilgilerin saldırgana ulaşmasını engelleyebilir, ancak origin'in zaten gerçekleştirdiği eylemler geri alınamaz.

Kontroller, Cloudflare dashboard'unda Security > Security Rules sayfasının en altında yer alıyor. Free planlı müşteriler dahil tüm müşteriler, eşleşen yanıtları otomatik olarak bloke eden ve false positive'leri azaltmak için uygulamanın belirli bölümlerine kapsamı daraltılabilen Cloudflare Managed Response Firewall Default kurallar setini alıyor. Ücretli müşteriler ayrıca algılama alanlarını kullanarak özel response kuralları oluşturabilir. Zamanla Cloudflare, istek algılamalarındaki yaklaşımını buraya da yansıtacak: ücretsiz planlar öne çıkan açıklıklar için managed algılamalar alırken, ücretli planlar daha zengin bir katalog alacak.

Neden önemli

Cloudflare, bu yükseltmeyi yapay zeka destekli güvenlik değişimi arka planında çerçeveliyor. Frontier modeller, yaygın olarak kullanılan yazılımların derinliklerinde gömülü açıklıkları ortaya çıkarıyor ve zayıflıkları tarayan yapay zeka ajanları ısrarcı olabiliyor — payload'ları geri bildirime göre ayarlayarak ve zayıflıkları, kimlik bilgilerini ile izinleri zincirleyerek. Bir uygulamanın yanıtı çoğu zaman bir girişimin başarılı olup olmadığını ortaya koyarak saldırganlara sonraki keşifler için yararlı bilgi veriyor.

Tam transaction algılama, WAF'ın temel sorusunu "bu istek şüpheli mi?"den "bu saldırı başarılı oldu mu?"ya kaydırıyor. Bu kanıta dayalı yaklaşım, yalnızca istek incelemesinin kaçıracağı ele geçirmeleri yakalarken false positive'leri azaltabilir. Ve Free planlarda sunulduğu için, dedicated bir güvenlik ekibi olmayan müşteriler başka türlü elle kural ayarı gerektirecek korumalar kazanırken, internetin geneli de probing ile gerçek etkiyi ayırt edebilen savunmalar kazanıyor.