Novedad: Detección completa de transacciones para Cloudflare WAF

Hoy ampliamos nuestro WAF añadiendo dos nuevas funciones: la detección completa de transacciones y las reglas de respuesta. La detección completa de transacciones evalúa cada solicitud HTTP junto con su respuesta para identificar indicios de vulnerabilidad. Te ayuda a responder tanto a la pregunta "¿Parece maliciosa esta solicitud?" como a "¿Qué pasó cuando la aplicación la gestionó?". Las reglas de respuesta pueden bloquear la respuesta del origen antes de que llegue al solicitante.

Son protecciones muy valiosas, ya que los últimos modelos de frontera están revelando vulnerabilidades ocultas en lo más profundo del software muy utilizado, lo que ofrece a los responsables de seguridad claridad sobre qué deben corregir — y a los atacantes nuevas vías que explotar —. La reciente vulnerabilidad php2shell muestra lo que está en juego: un fallo en un componente de software común puede poner en riesgo aplicaciones de todo Internet. Los agentes de IA que buscan vulnerabilidades pueden ser extremadamente persistentes, adaptando sus cargas malintencionadas a partir de la información recibida y encadenando vulnerabilidades, credenciales y permisos. La respuesta de una aplicación puede revelar si un intento ha funcionado y dar al atacante información que le ayude a profundizar más.

La inspección de las solicitudes entrantes sigue siendo esencial para detener los ataques reconocibles antes de que lleguen a una aplicación. Pero algunas amenazas solo se hacen evidentes cuando se analiza la solicitud junto con lo que devuelve el origen. Una solicitud sospechosa seguida de una respuesta que revela información confidencial cuenta una historia diferente a la misma solicitud seguida de un rechazo o un error.

Con estas nuevas capacidades, los clientes pueden usar las protecciones gestionadas por Cloudflare o crear sus propias políticas combinando las propiedades de las solicitudes y las respuestas. Esto amplía nuestro marco de seguridad de aplicaciones siempre activo, con resultados de detección disponibles en los análisis de seguridad para facilitar la investigación. Nuestras primeras protecciones gestionadas que usan esta capacidad abordan la vulnerabilidad php2shell, conocida recientemente.

¿Y lo mejor de todo? Estamos poniendo estas nuevas capacidades a disposición de todos los clientes de Cloudflare, incluidos los suscritos a nuestros planes gratuitos.

La inspección de solicitudes no es suficiente

Cloudflare WAF protege sitios web y API con reglas administradas, reglas personalizadas y limitación de velocidad. Las reglas administradas ofrecen protección frente a técnicas de ataque y vulnerabilidades conocidas, mientras que las reglas personalizadas permiten a los equipos crear sus propias políticas utilizando parámetros como la dirección IP, la ruta de la URL, los encabezados y el cuerpo de la solicitud. Estos controles funcionan en el nivel de solicitud para evitar que las vulnerabilidades o el tráfico no deseado lleguen al origen.

Para muchas amenazas, este es el lugar adecuado para actuar. Sin embargo, tratar cada solicitud sospechosa como una vulnerabilidad confirmada plantea una decisión difícil. Las firmas de solicitud amplias pueden detectar más ataques potenciales, pero también pueden generar "falsos positivos", como coincidir con tráfico legítimo, lo que a su vez provoca fallos en las aplicaciones. La implementación exclusiva de reglas que no generen falsos positivos reduce ese riesgo, pero puede dejar más margen para que llegue al servidor tráfico más ambiguo.

La respuesta aporta la prueba que faltaba. Ahora Cloudflare puede correlacionarlo con la solicitud que lo generó, de modo que las detecciones tengan en cuenta el resultado de toda la transacción HTTP.

A modo de ejemplo, imagina una aplicación que permite a los usuarios descargar archivos. Un atacante manipula el parámetro del archivo para solicitar un archivo de configuración privado fuera del directorio permitido:

GET /download?file=../../config/database.ini

La inspección de solicitudes puede detectar este intento de recorrido de ruta y bloquearlo antes de que llegue a la aplicación. Sin embargo, la solicitud por sí sola no puede establecer si la aplicación expondría el archivo. Puede rechazar la solicitud, ignorar el recorrido o devolver un error. Si la solicitud llega al origen, una respuesta como esta aporta pruebas adicionales:

200 OK
Content-Type: text/plain
[database]
username=app_service
password=EXAMPLE_SECRET

La detección completa de transacciones aporta la pieza que faltaba: puede relacionar el intento de acceso al archivo con el contenido de la respuesta, característico de un archivo de configuración privado. El texto similar al de una configuración puede aparecer de forma legítima en la documentación o en descargas de ejemplos; combinarlo con un intento de recorrido proporciona pruebas más sólidas de la exposición de datos confidenciales que cualquiera de las señales por separado. Una regla de respuesta puede entonces sustituir la respuesta del origen por una página de bloqueo de Cloudflare WAF y un código de estado HTTP 403 antes de que llegue al solicitante, bloqueando así eficazmente el ataque al impedir que la información confidencial llegue al atacante.

La detección y la mitigación están separadas por diseño

La detección de transacciones completas amplía el marco de detección siempre activo que presentamos a principios de este año. Las detecciones analizan el tráfico y adjuntan metadatos a la solicitud y la respuesta, y las reglas deciden qué hacer con esos resultados.

La separación de estas funciones ofrece a los clientes visibilidad antes de que diseñen una política. Los equipos de seguridad pueden revisar las detecciones en su propio tráfico, entender qué puntos finales y firmas están involucrados, y elegir la respuesta que mejor se adapte a su aplicación. De forma similar al enfoque de la detección de firmas de ataque basada en solicitudes, el resultado de las detecciones se guarda en campos a los que se puede acceder en las reglas de respuesta personalizadas o que se pueden usar en las detecciones gestionadas para bloquear el tráfico.

Siguiendo el modelo de los campos de detección de solicitudes, se añaden los siguientes campos nuevos a nuestra plataforma:

Las primeras detecciones de transacciones completas se centran en la confirmación de vulnerabilidades de alto perfil. Correlacionan entradas sospechosas con señales de respuesta que indican que una vulnerabilidad podría haber tenido éxito.

Ampliaremos la cobertura con el tiempo para dar soporte a otros casos de uso, incluida la detección de señales de exposición y exfiltración de datos. Esto es importante para la web más allá de cualquier aplicación concreta. Las defensas pueden distinguir entre sondeos y pruebas de impacto, mientras que la detección de datos y servicios expuestos puede llegar a clientes que no cuentan con un equipo de seguridad dedicado a ajustar cada regla del WAF.

Creación de reglas sobre la respuesta

La detección de pruebas de explotación resulta más útil si puedes actuar en tiempo real. Las reglas de respuesta personalizadas convierten las detecciones completas de transacciones en protección en línea al bloquear una respuesta del origen que coincida antes de que llegue al solicitante, aunque no pueden deshacer las acciones ya realizadas en el origen.

Ahora, los equipos de seguridad pueden combinar las propiedades de la solicitud y de la respuesta con los resultados de la detección para decidir qué respuestas bloquear. Cuando una regla de bloqueo coincide, Cloudflare sustituye la respuesta del origen por una página de bloqueo del WAF o una respuesta personalizada.

Los controles de la fase de respuesta están disponibles en el panel de control de Cloudflare, en la parte inferior de la página Seguridad > Reglas de seguridad, tanto con protecciones gestionadas como con reglas personalizadas.

Hemos lanzado reglas gestionadas y personalizadas para todos los planes, incluidos los planes gratuitos. Con el tiempo, seguiremos el mismo enfoque que usamos para las detecciones de solicitudes, donde las detecciones gestionadas para los planes gratuitos se centran en vulnerabilidades de alto perfil, mientras que los clientes de pago obtienen un catálogo más amplio de detecciones.

Detecciones gestionadas

Todos los clientes disfrutan de la protección de toda la gama de detecciones de transacciones a través del conjunto de reglas predeterminado del Firewall de Respuesta Gestionado de Cloudflare diseñado para una implementación sencilla con un solo clic y una configuración sencilla. Cuando una firma coincide, la detección gestionada bloqueará la respuesta y mostrará una página de bloqueo de WAF estándar.

Puedes editar el ámbito predeterminado del Firewall de Respuesta Gestionado de Cloudflare para que las detecciones se ejecuten solo en una parte de tus aplicaciones, por ejemplo, excluyendo o restringiendo la detección a una ruta específica. Los clientes de pago pueden utilizar campos de detección en las reglas de respuesta personalizadas para crear políticas más a medida.

Reglas personalizadas

Las reglas de respuesta personalizadas están diseñadas para dar a los clientes el control total de la lógica de la regla. Una regla útil puede evitar que una interfaz de administración quede expuesta cuando una puerta de enlace de autenticación no haya marcado la solicitud como interna. Por ejemplo:

http.request.uri.path starts_with "/admin" and not http.request.headers["x-internal-user"][0] eq "true" and http.response.code eq 200 and http.response.headers["content-type"][0] contains "text/html"

Esto bloquea solo cuando una solicitud no autenticada apunta a /admin y el origen devuelve realmente una página de administración HTML con éxito. No bloquea los fallos de autenticación habituales, las redirecciones ni el tráfico que no sea de administración.

Todos los clientes pueden crear hasta tres reglas de respuesta personalizadas que admitan acciones de Registro y Bloqueo. Los campos y funciones disponibles en las reglas de respuesta personalizadas son los mismos a los que ya tienes acceso en tu plan en las reglas de solicitud personalizadas. La creación de reglas en el cuerpo de respuesta aún no está disponible.

Siguiendo el enfoque de detección de firmas de ataque, los clientes de pago también tienen acceso al resultado de las detecciones de ataques a través de cf.waf.signature.response*.  campos mencionados anteriormente. Estos campos se pueden combinar con otros parámetros (como un nombre de host, una ruta URL, una IP de origen o un encabezado de solicitud) para habilitar la protección en una ruta concreta o limitar la política a un contexto específico de la aplicación. Actualmente estamos implementando los campos de respuesta en todas nuestras cuentas. Si aún no tienes acceso a ellos, ponte en contacto con tu equipo de atención al cliente.

Investigación de solicitudes coincidentes

Cuando una regla de respuesta gestionada o personalizada registra o bloquea una transacción, el evento aparece en "Eventos de seguridad". Esto significa que los responsables de la respuesta pueden rastrear cualquier detección hasta el contexto completo de la solicitud y la regla específica que tomó la medida.

Ahora mismo, tanto las reglas de solo solicitud como las de transacción completa aparecen juntas en la misma página de análisis. En Eventos de seguridad, los eventos generados por las reglas de respuesta forman parte del servicio de "Reglas gestionadas" o "Reglas personalizadas". Puedes filtrar los eventos que pertenecen a un Id. de regla específico en la sección correspondiente de la lista de reglas.

Empieza hoy mismo

La detección completa de transacciones está disponible de forma general para todas las zonas que redirigen el tráfico a través de Cloudflare. Para comprobar que estás protegido, ve a Seguridad > Reglas de seguridad en el panel de control de Cloudflare. Si quieres personalizar tu política, empieza por revisar las detecciones completas de transacciones en Análisis de seguridad y, a continuación, crea la política de fase de respuesta que mejor se adapte a tu aplicación.