Cloudflare 托管规则集

由 Cloudflare 安全团队创建，此规则集可为您的所有应用提供快速有效的防护。该规则集会频繁更新，以覆盖新漏洞并减少误报。

Cloudflare 建议您启用标签与您的技术栈对应的规则。例如，若您使用 WordPress，请启用带有 wordpress 标签的规则。

Cloudflare 的 WAF 更新日志 可帮助您持续监控 WAF 托管规则集的变更。

此操作为当前区域部署托管规则集，并创建一个具有 Execute 操作的新规则。

您可以在多个级别配置（或覆盖）Cloudflare 托管规则集，从而覆盖其默认配置：

• 规则集级别
• 标签级别
• 规则级别

当您在不同级别创建多个覆盖时，更具体的配置（标签与规则级别）优先于较不具体的配置（规则集级别）。更多信息请参阅 Ruleset Engine 文档中的 覆盖托管规则集。

您可以在 Cloudflare 仪表板中配置（或覆盖）以下 Cloudflare 托管规则集设置：

• Scope（作用域）：当您为作用域定义自定义过滤表达式时，Cloudflare 托管规则集仅应用于部分传入请求。默认情况下，在仪表板中部署的托管规则集会应用于所有传入流量。

• Ruleset action（规则集操作）：当您为规则集定义操作时，会覆盖为每条规则定义的默认操作。可用操作包括：Block、Log、Non-Interactive Challenge、Managed Challenge 与 Interactive Challenge。 要移除规则集级别的操作覆盖，请将规则集操作设为 Default（默认）。

• Ruleset status（规则集状态）：启用或禁用规则集中的所有规则。

• 载荷日志记录：启用后，会记录触发托管规则集中特定规则的请求信息（载荷）。您必须配置公钥以加密载荷。

在部署 Cloudflare 托管规则集 后，按以下步骤在仪表板中进行配置：

您可以在仪表板中，为至少带有所选标签之一的规则配置（或覆盖）以下 Cloudflare 托管规则集设置：

• Rule action（规则操作）：为所有带有所选标签的规则设置规则操作。可用操作包括：Block、Log、Non-Interactive Challenge、Managed Challenge 与 Interactive Challenge。

• Rule status（规则状态）：为所有带有所选标签的规则设置规则状态。

在部署 Cloudflare 托管规则集 后，按以下步骤在仪表板中配置带有特定标签的规则：

您可以在仪表板中，为所选规则配置（或覆盖）以下 Cloudflare 托管规则集设置：

• Rule action（规则操作）：设置单条规则的操作；若选择多条规则，则为所选规则设置操作。可用操作包括：Block、Log、Non-Interactive Challenge、Managed Challenge 与 Interactive Challenge。 更改规则配置后，您可以选择将配置重置为 Cloudflare 托管规则集中定义的默认配置。

• Rule status（规则状态）：设置单条规则的状态（启用或禁用）；若选择多条规则，则为所选规则设置状态。

在部署 Cloudflare 托管规则集 后，按以下步骤在仪表板中配置规则集中的单条规则：

要通过 API 为给定 zone 部署 Cloudflare 托管规则集，请在 http_request_firewall_managed 阶段的入口点规则集 中创建一条 execute 操作的规则。

以下示例通过创建一个执行托管规则集的规则，将 Cloudflare Managed Ruleset 部署到给定区域（$ZONE_ID）的 http_request_firewall_managed 阶段。

1. 调用获取区域入口点规则集操作，以获取 http_request_firewall_managed 阶段的入口点规则集定义。您需要有区域 ID才能完成此任务。

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/http_request_firewall_managed/entrypoint" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"result": {
   		"description": "Zone-level phase entry point",
   		"id": "<RULESET_ID>",
   		"kind": "zone",
   		"last_updated": "2024-03-16T15:40:08.202335Z",
   		"name": "zone",
   		"phase": "http_request_firewall_managed",
   		"rules": [
   			// ...
   		],
   		"source": "firewall_managed",
   		"version": "10"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

2. 如果入口点规则集已存在（即，如果您收到 200 OK 状态代码和规则集定义），请记下响应中的规则集 ID。然后，调用创建区域规则集规则操作，向现有规则集中添加一条 execute 规则，以部署 Cloudflare Managed Ruleset（ID 为 efb7b8c949ac4650a09736fc376e9aee）。默认情况下，该规则将添加到规则集中已有规则列表的末尾。

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/$RULESET_ID/rules" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"action": "execute",
   		"action_parameters": {
   				"id": "efb7b8c949ac4650a09736fc376e9aee"
   		},
   		"expression": "true",
   		"description": "Execute the Cloudflare Managed Ruleset"
   	}'

   {
   	"result": {
   		"id": "<RULESET_ID>",
   		"name": "Zone-level phase entry point",
   		"description": "",
   		"kind": "zone",
   		"version": "11",
   		"rules": [
   			// ... any existing rules
   			{
   				"id": "<RULE_ID>",
   				"version": "1",
   				"action": "execute",
   				"action_parameters": {
   					"id": "efb7b8c949ac4650a09736fc376e9aee",
   					"version": "latest"
   				},
   				"expression": "true",
   				"description": "Execute the Cloudflare Managed Ruleset",
   				"last_updated": "2024-03-18T18:08:14.003361Z",
   				"ref": "<RULE_REF>",
   				"enabled": true
   			}
   		],
   		"last_updated": "2024-03-18T18:08:14.003361Z",
   		"phase": "http_request_firewall_managed"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

3. 如果入口点规则集不存在（也就是说，如果您在步骤 1 中收到了 404 Not Found 状态码），请使用 创建区域规则集 操作来创建它。在 rules 数组中包含单个规则，该规则针对 区域中的所有传入请求 执行 Cloudflare Managed Ruleset（ID 为 efb7b8c949ac4650a09736fc376e9aee）。

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "My ruleset",
   		"description": "Entry point ruleset for WAF managed rulesets",
   		"kind": "zone",
   		"phase": "http_request_firewall_managed",
   		"rules": [
   				{
   						"action": "execute",
   						"action_parameters": {
   								"id": "efb7b8c949ac4650a09736fc376e9aee"
   						},
   						"expression": "true",
   						"description": "Execute the Cloudflare Managed Ruleset"
   				}
   		]
   	}'

要通过 API 配置 Cloudflare Managed Ruleset，请使用 Rulesets API 创建 overrides。你可以执行以下配置：

• 通过创建 ruleset override，为规则集中的所有规则指定要执行的操作。

• 通过创建 rule override，禁用

  或自定义

  单个规则的操作。

有关使用 API 创建 overrides 的示例，请参阅 Override a managed ruleset。

有关通过 API 使用托管规则集的更多信息，请参阅规则集引擎文档中的 使用托管规则集。

以下示例为 zone 部署 Cloudflare 托管规则集，并覆盖特定规则的操作与状态。

# Configure a ruleset at the zone level for the "http_request_firewall_managed" phase
resource "cloudflare_ruleset" "zone_level_managed_waf" {
  zone_id     = var.cloudflare_zone_id
  name        = "Managed WAF entry point ruleset"
  description = "Zone-level WAF Managed Rules config"
  kind        = "zone"
  phase       = "http_request_firewall_managed"

  # Execute Cloudflare Managed Ruleset
  rules = [{
    ref         = "execute_cloudflare_managed_ruleset"
    description = "Execute Cloudflare Managed Ruleset on my zone-level phase entry point ruleset"
    expression  = "true"
    action      = "execute"
    action_parameters = {
      id = "efb7b8c949ac4650a09736fc376e9aee"
      overrides = {
        rules = [{
          id      = "5de7edfa648c4d6891dc3e7f84534ffa"
          action  = "log"
          enabled = true
        }]
      }
    }
  }]
}

# Configure a ruleset at the zone level for the "http_request_firewall_managed" phase
resource "cloudflare_ruleset" "zone_level_managed_waf" {
  zone_id     = var.cloudflare_zone_id
  name        = "Managed WAF entry point ruleset"
  description = "Zone-level WAF Managed Rules config"
  kind        = "zone"
  phase       = "http_request_firewall_managed"

  # Execute Cloudflare Managed Ruleset
  rules {
    ref         = "execute_cloudflare_managed_ruleset"
    description = "Execute Cloudflare Managed Ruleset on my zone-level phase entry point ruleset"
    expression  = "true"
    action      = "execute"
    action_parameters {
      id = "efb7b8c949ac4650a09736fc376e9aee"
      overrides {
        rules {
          id      = "5de7edfa648c4d6891dc3e7f84534ffa"
          action  = "log"
          enabled = true
        }
      }
    }
  }
}

更多信息请参阅 WAF Managed Rules configuration using Terraform。