Introducing full transaction detection for Cloudflare WAF

为 Cloudflare WAF 引入完整事务检测 | Cloudflare 博客

post

Vulnerabilities

WAF

Managed Rules

Security

Security Analytics

2026年10月21日

为 Cloudflare WAF 引入完整事务检测

Daniele Molteni , Â Elie Roudninski , Â 和Â Nick Downie

8分钟阅读

复制链接

今天，我们通过新增两项功能来扩展我们的网络应用防火墙（WAF）：完整事务检测和响应规则。完整事务检测会同时分析每个 HTTP 请求及其响应，以识别攻击证据。它可以帮助回答两个问题："这个请求看起来是否恶意？"以及"当应用程序处理它时发生了什么？"。随后，响应规则可以在响应到达请求者之前阻止源站的响应。

这些保护措施具有重要价值，因为最新的前沿模型正在发现广泛使用的软件中深藏的漏洞，为防御者明确需要修复的问题，同时也为攻击者提供了新的利用路径。最近披露的 php2shell 漏洞就体现了这种风险：常见软件组件中的缺陷可能危及互联网上的应用程序。扫描漏洞的人工智能代理可能极其顽固，通过反馈调整攻击载荷，并串联利用漏洞、凭证和权限。应用程序的响应可以揭示攻击是否成功，并为攻击者提供进一步深入的信息。

检查入站请求对于在攻击到达应用程序前阻止明显攻击仍然至关重要。但某些威胁只有在将请求与源站返回的内容结合考虑时才会显现。一个可疑输入后跟着暴露敏感信息的响应，与相同输入后跟着拒绝或错误的响应，讲述的是截然不同的故事。

通过这些新功能，客户可以使用 Cloudflare 托管防护措施，或结合请求和响应属性构建自己的策略。这扩展了我们的始终启用的应用程序安全框架，检测结果可在 Security Analytics 中查看以支持调查。我们首批基于此功能的托管防护措施针对最近披露的 php2shell 漏洞。

最棒的是？我们将这些新功能向所有 Cloudflare 客户开放，包括免费计划。

仅检查请求是不够的

Cloudflare WAF 通过托管规则、自定义规则和速率限制保护网站和 API。托管规则为已知攻击技术和漏洞提供防护，而自定义规则允许团队使用 IP 地址、URL 路径、标头和请求体等参数创建自己的策略。这些控制措施在请求级别运行，以阻止攻击或不需要的流量到达源站。

对于许多威胁来说，这是采取行动的正确位置。然而，将每个可疑请求都视为已确认的攻击会带来艰难的选择。广泛的请求签名可以捕获更多潜在攻击，但也可能产生"误报"，例如匹配合法流量——这会破坏应用程序。仅部署不会触发误报的规则可以降低这种风险，但可能会让更多模棱两可的流量到达服务器。

响应提供了缺失的证据。现在 Cloudflare 可以将其与生成它的请求进行关联，因此检测可以考虑整个 HTTP 事务的结果。

作为示例，考虑一个允许用户下载文件的应用程序。攻击者通过操纵文件参数请求允许目录之外的私有配置文件：

GET /download?file=../../config/database.ini

请求检查可以识别这种路径遍历尝试，并在到达应用程序之前阻止它。然而，仅凭请求本身无法确定应用程序是否会暴露该文件。它可能会拒绝请求、忽略遍历或返回错误。如果请求到达源站，类似这样的响应提供了额外证据：

200 OK
Content-Type: text/plain
[database]
username=app_service
password=EXAMPLE_SECRET

完整事务检测提供了缺失的关键环节：它可以将尝试访问文件的行为与响应内容特征相关联，这些特征是私有配置文件的典型表现。类似配置的文本可能在文档或示例下载中合法出现；但将其与路径遍历尝试结合，比单独使用任一信号更能证明敏感数据泄露。响应规则可以将源站响应替换为Cloudflare WAF的拦截页面和HTTP 403，从而在信息到达攻击者之前有效阻止攻击。

检测与缓解机制设计上相互独立

完整事务检测扩展了我们今年早些时候介绍的始终开启的检测框架。检测分析流量并在请求和响应中附加元数据，然后规则决定如何处理这些结果。

Cloudflare网络应用防火墙（WAF）中请求和响应的结构。

将这些职责分离可以让客户在制定策略之前获得可见性。安全团队可以检查自身流量中的检测结果，了解涉及哪些端点和签名，并选择适合其应用程序的响应。与基于请求的攻击签名检测方法类似，检测结果存储在可被响应自定义规则访问的字段中，也可用于管理检测以阻止流量。

与请求检测字段相呼应，我们平台新增了以下字段：

字段

描述

cf.waf.signature.response.confidence

与匹配签名相关的置信度值

cf.waf.signature.response.categories

与匹配签名相关的分类

cf.waf.signature.response.ref

签名参考ID，最多10个

首次完整事务检测专注于高知名度漏洞的利用确认。它将可疑输入与表明利用可能成功的响应信号相关联。

我们将通过支持其他用例（包括检测数据泄露和数据外泄信号）逐步扩展覆盖范围。这对互联网上的所有应用都至关重要：防御机制可以区分探测行为与影响证据，而暴露数据和服务的检测可以覆盖没有专职安全团队调整每个WAF规则的客户。

基于响应创建规则

如果能够在实时情况下采取行动，检测到利用证据将最有价值。响应自定义规则通过在响应到达请求者之前阻止匹配的源站响应，将完整事务检测转化为实时防护，尽管无法撤销源站已执行的操作。

安全团队现在可以将请求和响应属性与检测结果结合，决定拦截哪些响应。当阻断规则匹配时，Cloudflare 会用 WAF 阻断页面或自定义响应替换源站响应。

响应阶段控制功能可在 Cloudflare 控制台的 Security > Security Rules 页面底部找到，支持托管防护和自定义规则。

我们已向所有计划（包括免费计划）发布了托管规则和自定义规则。未来我们将沿用请求检测的策略：免费计划的托管检测聚焦高危漏洞，付费客户则可获得更丰富的检测目录。

托管检测

所有客户均可通过 Cloudflare Managed Response Firewall Default 规则集获得完整的交易检测防护。该规则集设计为一键部署且配置简化。当签名匹配时，托管检测将拦截响应并返回标准 WAF 阻断页面。

您可编辑 Cloudflare Managed Response Firewall Default 的作用域，仅在部分应用上运行检测，例如通过排除或限制特定路径。付费客户可使用检测字段在自定义响应规则中创建更精细的策略。

Cloudflare Managed Response Firewall Default 默认对所有请求生效。为降低误报风险，客户可将缓解范围限制在应用的部分区域。

自定义规则

自定义响应规则旨在赋予客户对规则逻辑的完全控制。例如，有用规则可阻止未被认证网关标记为内部的请求暴露管理界面：

http.request.uri.path starts_with "/admin" and not http.request.headers["x-internal-user"][0] eq "true" and http.response.code eq 200 and http.response.headers["content-type"][0] contains "text/html"

此规则仅在未认证请求针对 /admin 且源站实际返回成功 HTML 管理页面时触发拦截，不会阻断普通认证失败、重定向或非管理流量。

所有客户均可通过结合请求和响应字段创建响应规则。所有客户最多可创建 3 条支持 Log 和 Block 操作的自定义响应规则。响应规则可用字段和函数与请求自定义规则一致。目前尚不支持基于响应体创建规则。

沿用 Attack Signature Detection 的策略，付费客户还可通过 cf.waf.signature.response.* 字段获取攻击检测结果。这些字段可与其他参数（如主机名、URL 路径、源 IP、请求头）结合，实现单路径防护或限制策略至特定应用上下文。我们正在向所有账户推送响应字段。如尚未获得访问权限，请联系您的客户经理。

分析匹配请求

当托管或自定义响应规则记录或拦截交易时，事件将显示在 Security Events 中。这意味着响应者可追溯任何检测至请求完整上下文及触发动作的具体规则。

目前，仅请求规则和完整事务规则会显示在同一个分析页面中。在安全事件中，由响应规则生成的事件属于托管规则或自定义规则服务。您可以通过相关规则列表部分，按特定规则ID筛选事件。

立即开始使用

完整事务检测现已向所有通过 Cloudflare 代理流量的区域开放。要确认您的保护状态，请前往 Cloudflare 控制台的 Security > Security Rules 页面。如果需要自定义策略，请先在 Security Analytics 中查看完整事务检测，然后创建适合您应用的响应阶段策略。

目录列

讨论列

相关标签及社交媒体链接

相关标签

在社交媒体上关注

• Cloudflare

电子邮件注册