Pełna analiza żądań i odpowiedzi HTTP w Cloudflare WAF
Firma Cloudflare wprowadza dwie nowe funkcje do swojej zapory aplikacji webowej (WAF): pełną detekcję transakcji oraz reguły odpowiedzi. Pełna detekcja transakcji ocenia każde żądanie HTTP w parze z powiązaną z nim odpowiedzią serwera, co pozwala zidentyfikować ślady udanego ataku. Tradycyjna inspekcja samych żądań pomaga zatrzymywać znane próby ataków, lecz niektóre zagrożenia stają się widoczne dopiero wtedy, gdy zestawimy je z tym, co zwraca serwer źródłowy. Podejście to pozwala odpowiedzieć na pytania o to, czy żądanie wyglądało na złośliwe oraz co dokładnie stało się, gdy aplikacja je obsłużyła.
Nowe zabezpieczenia pomagają w obliczu zagrożeń, w których agenci sztucznej inteligencji skanują oprogramowanie w poszukiwania luk, dostosowując ładunki i łącząc podatności. Odpowiedź aplikacji może zdradzić, czy próba ataku zakończyła się sukcesem i dostarczyć intruzowi dalszych informacji. Z tego powodu platforma udostępnia mechanizmy łączące właściwości żądań i odpowiedzi, a wyniki detekcji trafiają do modułu analizy bezpieczeństwa w celu ułatwienia dochodzeń.
Oddzielenie detekcji od mechanizmów łagodzenia skutków
Architektura nowych zabezpieczeń opiera się na rozdzieleniu analizy ruchu od podejmowania decyzji. Detekcje analizują ruch sieciowy i dołączają metadane do żądania oraz odpowiedzi, a reguły decydują o dalszych krokach. Zespółsecurity może sprawdzać wyniki detekcji we własnym ruchu, rozumieć zaangażowane punkty końcowe i podpisy oraz dobierać reakcję pasującą do danej aplikacji.
Platforma dodaje do swojej struktury nowe pola analityczne, które udostępniają stopień pewności dopasowania sygnatur, powiązane kategorie oraz referencje identyfikatorów sygnatur. Pierwsze reguły oparte na pełnej detekcji transakcji skupiają się na potwierdzaniu exploitów dla podatności wysokiego szczebla, takich jak luka typu php2shell. Z czasem zakres ten zostanie poszerzony o wykrywanie sygnałów eksfiltracji danych.
Tworzenie reguł i blokowanie na poziomie odpowiedzi
Reguły niestandardowe odpowiedzi pozwalają przekształcić pełną detekcję transakcji w ochronę działającą w czasie rzeczywistym. Blokują one pasującą odpowiedź serwera źródłowego, zanim ta dotrze do żądającego, zastępując ją stroną blokującą WAF lub niestandardową odpowiedzią. Kontrola ta jest dostępna w panelu administracyjnym w sekcji reguł bezpieczeństwa dla wszystkich planów, w tym darmowych.
Klienci mogą korzystać z domyślnych zestawów reguł blokujących zapory lub tworzyć własne polityki niestandardowe. Przykładowo, reguła może zablokować ujawnienie panelu administracyjnego pod ścieżką /admin, jeśli brama uwierzytelniania nie oznaczyła żądania jako wewnętrznego, a serwer faktycznie zwraca kod odpowiedzi HTTP 200 z zawartością typu HTML. Zdarzenia wygenerowane przez reguły odpowiedzi można filtrować i badać w sekcji zdarzeń bezpieczeństwa.