← Все новости

Запуски ·

Cloudflare WAF научился анализировать ответы сервера, а не только запросыCloudflare WAF now inspects server responses, not just requests

Full transaction detection сопоставляет запрос с ответом origin, чтобы понять, сработал ли эксплойт, и может подменить ответ страницей блокировки. Функция доступна всем клиентам, включая бесплатный план, а первыми правилами на её основе стала защита от PHP2Shell.Full transaction detection pairs a request with the origin's response to tell whether an exploit actually worked, and can replace the response with a block page. It is available to all customers, Free plan included, and its first managed rules protect against PHP2Shell.

Cloudflare представила full transaction detection — возможность WAF связывать HTTP-запрос с ответом origin-сервера. Классический WAF смотрит только на входящий запрос и не знает, удалась ли атака; теперь детекция видит и запрос, и ответ, и может отличить безобидную попытку от реально сработавшего эксплойта.

Как это работает

  • Результаты детекции записываются в новые поля cf.waf.signature.response.*: уверенность, категории, идентификаторы сигнатур.
  • Response rules решают, что делать: например, заменить ответ origin страницей блокировки WAF, прежде чем он уйдёт клиенту.
  • Детекция и реакция разделены, так что можно сначала посмотреть, что находится, и только потом писать политику.

Сценарии

  • Подтверждение эксплойта: подозрительный запрос с path traversal плюс ответ, в котором отдаётся приватный конфиг.
  • Защита админки: блокировать успешный HTML-ответ с админского пути, если запрос не помечен как внутренний, — без влияния на обычные ошибки входа и редиректы.
  • В планах — обнаружение утечек данных и опасных мисконфигураций.

Доступность

Функция доступна всем клиентам, включая Free, для всех проксируемых зон. Каждый может использовать управляемые правила и до трёх своих response rules с действиями Log и Block; платные клиенты получают расширенный каталог детекций. Поля ещё раскатываются, а правила по телу ответа пока недоступны.

Первыми управляемыми детекциями на новой основе стала защита от PHP2Shell: набор Managed Response Firewall Default автоматически включён на всех планах.

Cloudflare introduced full transaction detection, which lets its WAF link an HTTP request to the origin server’s response. A classic WAF only sees the incoming request and can’t tell whether an attack succeeded; now detection looks at both and can distinguish a harmless attempt from an exploit that actually worked.

How it works

  • Detection results land in new cf.waf.signature.response.* fields: confidence, categories and signature IDs.
  • Response rules decide what to do — for example, replace the origin’s response with a WAF block page before it reaches the client.
  • Detection and mitigation are separate, so you can review what gets flagged before writing a policy.

Use cases

  • Exploit confirmation: a suspicious path traversal request plus a response that returns a private config file.
  • Admin panel protection: block a successful HTML response from an admin path when the request isn’t marked internal — without affecting normal login failures or redirects.
  • Data exposure and risky misconfiguration detection are planned.

Availability

It is available to all customers, including Free, on all proxied zones. Everyone can use managed rules and up to three custom response rules with Log and Block actions; paid customers get a broader detection catalog. The fields are still rolling out, and rules on the response body are not yet available.

The first managed detections built on it protect against PHP2Shell: the Managed Response Firewall Default ruleset is automatically enabled on all plans.

Источники