Cloudflare WAF 推出完整交易偵測，結合請求與回應攔阻攻擊

原文標題：Introducing full transaction detection for Cloudflare WAF

Cloudflare 於 10 月 21 日推出 Web Application Firewall（WAF）的兩項能力：完整交易偵測（full transaction detection）與回應規則（response rules）。以往 WAF 主要根據進站 HTTP 請求特徵判斷是否惡意，新機制則將同一筆請求與來源伺服器回應連結分析，協助區分可疑探測與可能已成功的漏洞利用。

Cloudflare 舉例，當請求試圖透過路徑穿越讀取設定檔時，僅看網址無法知道來源站台究竟拒絕、回錯誤，或真的回傳敏感檔案。若回應同時出現類似設定檔內容，結合前述請求即可形成更高信心的偵測結果。這種判斷能減少只靠單一特徵而誤擋正常流量的風險。

新機制將偵測與執行政策分開。偵測結果可以在 Security Analytics 查閱，也能由託管規則或客製規則決定是否封鎖。官方新增 cf.waf.signature.response.confidence、cf.waf.signature.response.categories 與 cf.waf.signature.response.ref 等欄位，其中 ref 最多提供十個簽章參照識別碼。

當回應規則判定需要封鎖時，Cloudflare 可在回應傳送給請求端前，改送 WAF 封鎖頁或客製回應。此做法可以阻止敏感內容外傳，但官方明確提醒：若來源伺服器已經完成寫入、刪除或其他操作，回應攔阻不能撤銷這些動作，因此仍須修補真正的應用漏洞。

Cloudflare 表示，相關託管與自訂回應規則已開放所有方案，包括 Free。完整交易偵測已對透過 Cloudflare 代理流量的網域正式提供，首批託管偵測用於 php2shell 漏洞。使用者可在 Security > Security Rules 找到回應階段控制，並於 Security Events 追蹤規則命中。免費方案以高風險漏洞的託管偵測為主，付費方案將有更豐富的偵測目錄。