O Cloudflare WAF é a firewall de aplicações web integrada na rede da Cloudflare. Verifica os pedidos web e de API recebidos e filtra o tráfego indesejado através de conjuntos de regras: regras geridas que a Cloudflare escreve e atualiza, regras personalizadas escritas por si e regras de limitação de taxa. Está disponível, de alguma forma, em todos os planos.
As funcionalidades de segurança assentes no Ruleset Engine da Cloudflare são executadas por uma ordem fixa: proteção DDoS HTTP, seguida de regras personalizadas, regras de limitação de taxa, regras geridas e Super Bot Fight Mode. Uma ação terminal como Block ou Managed Challenge interrompe o pedido nesse ponto, pelo que este nunca chega às fases seguintes.
As regras adequadas na entrada em produção desajustam-se à medida que as aplicações mudam. As regras do WAF têm de mudar quando é lançada uma funcionalidade, e um falso positivo exige alguém capaz de associar um pedido bloqueado à regra que o originou.
O Cloudflare Managed Ruleset e o Cloudflare OWASP Core Ruleset abrangem ataques comuns e são atualizados pela Cloudflare. Os planos Free recebem, em alternativa, o Free Managed Ruleset. Algumas regras do Cloudflare Managed Ruleset estão desativadas por predefinição para limitar os falsos positivos.
Cada regra OWASP correspondente soma pontos a uma pontuação de ameaça cumulativa, e o conjunto de regras atua quando a pontuação ultrapassa um limiar (Medium, 40, por predefinição). Os níveis de paranoia PL1 a PL4 detetam mais à medida que sobem, mas também podem bloquear mais tráfego legítimo.
As regras personalizadas comparam campos do pedido com expressões e aplicam ações como Block, Managed Challenge ou Skip. O número de regras e o suporte de regex dependem do plano.
As regras de limitação de taxa contam os pedidos correspondentes e atuam quando um cliente excede a taxa definida. A Cloudflare refere que não foram concebidas para deixar chegar à origem um número exato de pedidos.
A pontuação de ataque do WAF usa aprendizagem automática para classificar cada pedido de 1 a 99 consoante a probabilidade de ser malicioso. A deteção de credenciais divulgadas compara as credenciais submetidas com dados de violações conhecidas.
Uma exceção ignora um conjunto de regras gerido ou regras específicas para o tráfego correspondente; uma substituição (override) altera a ação de uma regra ou desativa-a. As exceções têm prioridade sobre as substituições, por isso o seu âmbito é importante.
| Plano | O que inclui |
|---|---|
| Free | Free Managed Ruleset, 5 regras personalizadas, 1 regra de limitação de taxa, o campo de deteção de palavras-passe divulgadas e Security Events por amostragem. |
| Pro | Cloudflare Managed Ruleset e Cloudflare OWASP Core Ruleset, 20 regras personalizadas, 2 regras de limitação de taxa, deteção de credenciais divulgadas para pares de nome de utilizador e palavra-passe, e Security Events completos. |
| Business | Tudo o que o Pro inclui, mais 100 regras personalizadas com suporte de regex, 5 regras de limitação de taxa, a classe de pontuação de ataque do WAF, alertas de Security Events e Security Analytics ao nível da conta. |
| Enterprise | 1.000 regras personalizadas, a pontuação de ataque do WAF completa, a ação Log para testar regras antes de as aplicar, registo de payloads, configuração do WAF ao nível da conta e até 90 dias de Security Analytics. O número de regras de limitação de taxa depende do contrato; o Advanced Rate Limiting e a deteção de carregamentos maliciosos são complementos pagos. |
Os preços da Cloudflare mudam, pelo que esta tabela indica apenas capacidades. A Vigilbase vende licenças Cloudflare Enterprise e opera o WAF através do Managed Cloudflare. Para um domínio num plano mensal, o Vigilbase Shield é a opção pré-Enterprise com regras de WAF geridas, proteção DDoS e Super Bot Fight Mode.
Preços do Cloudflare WAF por plano →Revemos as definições de WAF, DDoS, bots, TLS, DNS, limitação de taxa e origem e, em seguida, implementamos regras geridas e personalizadas para as aplicações no âmbito. Não deixamos um conjunto de regras gerido nas predefinições para depois darmos o trabalho por concluído.
Encontramos o evento de segurança por trás de um pedido bloqueado, confirmamos que regra correspondeu e aplicamos a exceção mais restrita que restabelece o percurso legítimo. As exceções temporárias recebem uma data de revisão e um revisor designado.
As alterações de rotina seguem um ritmo acordado e as alterações de emergência têm o seu próprio processo. Cada alteração guarda a configuração anterior, o aprovador, a reversão e a verificação, que é o que se apresenta à auditoria interna.
Um novo cliente móvel, uma integração de pagamentos ou uma página de campanha alteram o aspeto do tráfego legítimo. Trabalhamos com a sua equipa de aplicações para que as regras acompanhem a aplicação.
Os relatórios abrangem ameaças bloqueadas, alterações e recomendações, para que possa ver o que o WAF travou e o que mudou.
O Core oferece governação e gestão de alterações em horário de expediente, com resposta em regime de melhores esforços. O Priority acrescenta operações 24/7, mitigação ativa de ameaças dentro do SLA e um gestor técnico de conta designado. O Critical acrescenta escalamento imediato e liderança sénior de incidentes.
Um formulário ou checkout falha após uma alteração de segurança. Reproduzimos o problema em segurança, correlacionamos o pedido com um evento de segurança e alteramos apenas a regra envolvida; depois verificamos o percurso e a proteção que se mantém.
Operação de WAF gerido e controlo de alterações →Meses após a entrada em produção, o WAF continua muitas vezes nas predefinições e ninguém sabe que exceções deviam ser temporárias. Revemos a cobertura das regras, retiramos exceções obsoletas e registamos por que motivo cada uma existe.
Quando a auditoria pergunta quem alterou uma regra do WAF no último trimestre, «alguém no painel» não é resposta. Cada alteração que fazemos inclui a respetiva evidência, aprovador, reversão e verificação.
Um lançamento traz novos clientes e abuso automatizado ao mesmo tempo. Distinguimos o controlo que interferiu de falhas da aplicação ou dos pagamentos antes de ajustar o que quer que seja.
O pacote acordado define quem lidera o incidente. Se o serviço ainda não estiver por trás da Cloudflare, a integração de emergência coloca-o lá primeiro e depois estabiliza a situação de ataque.
Quando pedir ajuda de emergência para Cloudflare →Vigilbase OS
O Vigilbase OS, o sistema operativo da cibersegurança, liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar. A integração nativa com a Cloudflare coloca os seus eventos Cloudflare ao lado dessas ferramentas, e o agente Vigil investiga incidentes de gravidade elevada enquanto os analistas da Vigilbase tratam das exceções.
A Cloudflare é o fornecedor onde as ações de resposta em direto são executadas atualmente. Escolhe o nível de autonomia: manter as ações desativadas, propô-las para aprovação ou permitir a execução de ações de baixo risco e reversíveis. O registo mostra a investigação, as ações executadas e a verificação. Para fornecedores sem ações em direto, a investigação devolve os passos que a sua equipa deve concluir.
Comece a utilizar o Vigilbase OSO Cloudflare WAF usa três tipos de regras: regras geridas que a Cloudflare escreve e atualiza, regras personalizadas escritas por si como expressões sobre campos do pedido e regras de limitação de taxa que atuam quando um cliente excede uma taxa de pedidos. As exceções e as substituições ajustam a forma como as regras geridas se aplicam ao seu tráfego.Como funciona uma firewall de aplicações webProteção de aplicações e APIs
Todos os planos Cloudflare incluem um WAF, mas os planos Free recebem apenas o Free Managed Ruleset, 5 regras personalizadas e 1 regra de limitação de taxa. O Cloudflare Managed Ruleset e o Cloudflare OWASP Core Ruleset exigem o Pro ou superior, e as regras personalizadas sobem para 1.000 no Enterprise.Como funciona uma firewall de aplicações webO licenciamento Cloudflare Enterprise explicado
Encontre o evento de segurança do pedido bloqueado, confirme que regra correspondeu e aplique a exceção mais restrita que corrige o percurso legítimo. Uma exceção que ignora um conjunto de regras inteiro tem um efeito muito diferente de uma que ignora uma única regra.Guarde a configuração anterior e a reversão antes da alteração, verifique depois o percurso e a proteção que se mantém e atribua às exceções temporárias uma data de revisão e um revisor designado.Operação de WAF gerido e controlo de alterações
Não. O Vigilbase Shield é um plano mensal pré-Enterprise para um domínio, com regras de WAF geridas, proteção DDoS e Super Bot Fight Mode. Esta página aborda o Cloudflare WAF no Cloudflare Enterprise ou numa conta existente, operado através do Managed Cloudflare.Operação de WAF gerido e controlo de alteraçõesCompare Core, Priority e Critical
Sim, com Priority e Critical. A Vigilbase executa alterações de WAF e gere incidentes Cloudflare fora do horário de expediente, dentro do âmbito acordado. O Core oferece governação em horário de expediente.O trabalho de WAF continua a respeitar a autoridade acordada e o processo de controlo de alterações. Registe a aplicação afetada, a alteração da regra e o resultado da verificação, para que a equipa possa analisar o que mudou e se o acesso legítimo foi restabelecido.Operação de WAF gerido e controlo de alteraçõesCobertura e compromissos de resposta a incidentes
As funcionalidades do Cloudflare WAF dependem do plano Cloudflare e dos complementos. Os valores de operação do Managed Cloudflare começam em 3.500 USD por mês para Core, 7.500 USD para Priority e 15.000 USD para Critical, com a licença Cloudflare definida na mesma proposta.Compare Core, Priority e CriticalO que verificar antes de comprar Cloudflare
Os detalhes sobre o Cloudflare WAF nesta página resumem a documentação da Cloudflare. Os planos, os limites de regras e os complementos mudam, pelo que deve confirmar as condições atuais com a Cloudflare ou connosco antes de comprar.
Fontes dos fornecedores consultadas
Diga-nos que aplicações estão por trás do WAF e o que já falhou antes. Definimos em conjunto o âmbito da licença, das regras e da cobertura operacional.
