Cloudflare veb tətbiqləri üçün Application Profiles təqdim etdi

Cloudflare yeni müdafiə qatı olan Application Profiles-i təqdim etdi. Xidmət HTTP sorğularının gözlənilən strukturunu və formatını öyrənir və ona uyğun gəlməyən sorğuları qeyd edir. Yalnız öyrənilmiş profilə uyğun sorğular icazəli sayılır və şirkət bunu pozitiv təhlükəsizlik modeli adlandırır. Funksiya Cloudflare-in əvvəllər API-lər üçün təklif etdiyi Schema Learning və Schema Validation-ı veb tətbiqlərinə şamil edir.

Yanaşma niyə dəyişdi

Şirkətin sözlərinə görə, istifadəçilər getdikcə daha çox qabaqcıl AI modelləri ilə yaradılmış hücumlardan müdafiə tələb edir. LLM-lər texniki olmayan şəxsə də bir göstərişlə hücum başlatmağa imkan verir: model zərərli parametrlər yarada, tanınmış texnikaları sınaya və tətbiqi avtonom öyrənə bilər. Managed WAF qaydaları və maşın öyrənməsi əsaslı aşkarlama SQL inyeksiyası, cross-site scripting, kodu uzaqdan icra etmə və yeni CVE-lərə qarşı hələ də lazımdır, lakin yalnız sürətli yamaqlama dayanıqlı həll deyil.

Profil necə öyrənir və yoxlayır

Schema Profiles vaxtaşırı müşahidə olunan trafiki təhlil edir və gözlənilən strukturu müəyyənləşdirir. Profilə yol dəyişənləri, query parametrləri, header-lər, cookie-lər və body strukturı daxildir. Sistem hər sahə üçün məlumat tipini (integer, string, boolean, massiv, UUID və ya enum) və məhdudiyyətləri öyrənir, o cümlədən ədəd diapazonu, sətir uzunluğu və simvol sinifləri. Öyrənmə zona üzrə həftədə bir dəfə aparılır: sahələr üzrə əməliyyat üçün əvvəlki yeddi gündə 2xx cavabının minimum 1 000 sorğusu tələb olunur, sərhədlər üçün isə 10 000. Profil həftəlik yenilənir.

Bloklamadan əvvəl yoxlama

Profil hazır olduqdan sonra canlı trafikdə daim aktiv olan validasiya qatı işləyir və sorğunun profilə uyğun olub-olmadığını müəyyən edir. Siqnal özü heç nəyi bloklamır: istifadəçi Security Rules vasitəsilə uyğun olmayan sorğuları bloklaya bilər. Managed Rules-dan fərqli olaraq, validasiya uğursuzluğunun tanınmış imzaya uyğun gəlməsi tələb olunmur: diapazondan kənar dəyər, bilinməyən enum və ya yanlış UUID də kifayətdir. Uyğun olmayan sorğu həmişə zərərli deyil, buna görə Cloudflare müşahidə rejimində başlamağı tövsiyə edir.

Security Analytics-ə Profile Analysis tabı əlavə edildi; burada son yeddi gündə nə qədər sorğunun profilə uyğun gəlmədiyi görünür; pozuntular on kateqoriyaya bölünür. Qaydalar yaradılarkən cf.schema_validation.learned.violated sahəsi istifadə olunur; o, Bot Score və Attack Score ilə bir qaydada birləşdirilə bilər.

Əlçatanlıq və məhdudiyyətlər

API Security istifadəçilərinin artıq girişi var, çünki funksiya Schema Learning və Schema Validation-ın genişlənməsidir. Qalan Enterprise istifadəçiləri üçün qapalı beta dəvətlə açılır. URL yolları, query parametrləri, header-lər, cookie-lər, JSON və form-encoded body dəstəklənir; integer, string, UUID, massiv və üç dəyərə qədər enum yoxlanılır. Multipart formaları, GraphQL və XML hələ işləmir. Profil təkrarlanan parametrin bütün dəyərlərini yoxlayır, lakin unikallığı tələb etmir və yalnız yeni parametr üzündən sorğunu bloklamır. Gələcəkdə eyni proses ASN-ləri və JA4-ləri öyrənəcək.