Cloudflare تطلق Application Profiles لتطبيقات الويب

أطلقت Cloudflare طبقة حماية جديدة، Application Profiles. تتعلم الخدمة البنية والتنسيق المتوقعين لطلبات HTTP وترصد الطلبات التي لا تطابقهما. وتُعد مسموحة فقط الطلبات المطابقة للملف الشخصي المتعلَّم، وهو ما تسميه الشركة نموذج أمان إيجابي. وتوسّع الميزة Schema Learning وSchema Validation، اللذين قدمتهما Cloudflare سابقًا لواجهات API، لتشمل تطبيقات الويب.

لماذا تغيّر النهج

بحسب الشركة، يطلب المستخدمون بشكل متزايد الحماية من هجمات تنشئها نماذج AI متقدمة. تتيح نماذج LLM حتى لشخص غير تقني شن هجوم بأمر واحد: يمكن للنموذج توليد معلمات ضارة، واختبار تقنيات معروفة، واستكشاف التطبيق ذاتيًا. لا تزال قواعد Managed WAF واكتشاف التعلم الآلي ضروريين ضد حقن SQL، وcross-site scripting، وتنفيذ الكود عن بُعد، وCVE الجديدة، لكن مجرد الترقيع السريع ليس حلًا مستدامًا.

كيف يتعلّم الملف الشخصي ويتحقق

يحلل Schema Profiles التدفق المرصود دوريًا ويحدد البنية المتوقعة. يتضمن الملف متغيرات المسار، ومعلمات query، وترويسات header، وملفات cookie، وبنية body. ولكل حقل يتعلم النظام نوع البيانات (integer، string، boolean، مصفوفة، UUID أو enum) والقيود، بما في ذلك النطاق الرقمي، وطول السلسلة، وفئات الأحرف. يتم التعلم للنطاق مرة واحدة أسبوعيًا: تحتاج العملية للحقول إلى 1 000 طلب على الأقل باستجابة 2xx خلال الأيام السبعة الماضية، بينما تحتاج للحدود إلى 10 000. ويُحدَّث الملف أسبوعيًا.

التحقق قبل الحظر

بعد جهوزية الملف، تعمل طبقة تحقق مفعّلة باستمرار على التدفق المباشر وتحدد ما إذا كان الطلب يطابق الملف. لا تحظر الإشارة شيئًا تلقائيًا: يمكن للمستخدم حظر الطلبات غير المطابقة عبر Security Rules. وخلافًا لـ Managed Rules، لا يحتاج فشل التحقق إلى مطابقة توقيع معروف: قيمة خارج النطاق، أو enum غير معروف، أو UUID غير صحيح تكفي. الطلب غير المطابق ليس ضارًا دائمًا، لذلك توصي Cloudflare بالبدء بوضع المراقبة.

أُضيف إلى Security Analytics تبويب Profile Analysis، حيث يظهر عدد الطلبات التي لم تطابق الملف خلال الأيام السبعة الماضية؛ وتُقسَّم الانتهاكات إلى عشر فئات. عند إنشاء القواعد يُستخدم الحقل cf.schema_validation.learned.violated، الذي يمكن جمعه مع Bot Score وAttack Score في قاعدة واحدة.

التوفر والقيود

لدى مستخدمي API Security إمكانية الوصول بالفعل، لأن الميزة توسعة لـ Schema Learning وSchema Validation. أما بقية مستخدمي Enterprise فيُفتح لهم الإصدار التجريبي المغلق بالدعوة. المدعوم يشمل مسارات URL، ومعلمات query، وترويسات header، وملفات cookie، وJSON، وbody بترميز form؛ ويُتحقق من integer، وstring، وUUID، والمصفوفة، وenum حتى ثلاث قيم. لا تعمل Multipart forms وGraphQL وXML بعد. يتحقق الملف من كل قيم المعلمة المتكررة، لكنه لا يفرض التفرد ولا يحظر الطلب بسبب معلمة جديدة فقط. في المستقبل، ستتعلم العملية نفسها ASN وJA4.