📘 תיעוד 130

מושגים

עודכן לאחרונה ב-16 באפריל 2026

חומת האש של יישומי האינטרנט של Cloudflare (Cloudflare WAF) בודקת בקשות אינטרנט ו-API נכנסות ומסננת תעבורה לא רצויה לפי קבוצות כללים שנקראות rulesets. ה-WAF משתמש בשפת הכללים, תחביר ביטויים גמיש שמאפשר לסנן תעבורה לפי מאפייני בקשה כמו כתובת IP, נתיב URL, כותרות ותוכן הגוף.

מהי חומת אש של יישומי אינטרנט?

חומת אש של יישומי אינטרנט, או WAF, יוצרת מגן בין יישום אינטרנט לבין האינטרנט. המגן הזה יכול לעזור לצמצם התקפות נפוצות רבות. להגדרה מפורטת יותר, ראו הסבר על Web Application Firewall ↗︎ במרכז הלמידה.

#כללים ו-rulesets

כלל מגדיר מסנן ופעולה לביצוע על הבקשות הנכנסות שתואמות למסנן.

ruleset הוא קבוצה מסודרת של כללים שאפשר להחיל על תעבורה ברשת הגלובלית של Cloudflare. הכללים בתוך ruleset מוערכים לפי הסדר. הכלל התואם הראשון עם פעולה מסיימת (כמו Block, Challenge או Redirect) עוצר את ההערכה. כללים מאוחרים יותר לא רצים עבור אותה בקשה.

#רכיבים עיקריים

Cloudflare WAF כולל:

• כללים מנוהלים (לדוגמה, Cloudflare Managed Ruleset), שהם כללים מבוססי חתימות ש-Cloudflare יוצרת ומספקים הגנה מיידית מפני התקפות ידועות.
• זיהויי תעבורה (לדוגמה, bot score ו-attack score) שמעשירים בקשות במטא-נתונים.
• כללים שהמשתמש מגדיר לצרכים הספציפיים שלו, כולל כללים מותאמים וכללי הגבלת קצב.

#זיהוי מול צמצום

שני התפקידים העיקריים של Cloudflare WAF הם אלה:

• זיהוי: הרצת בקשות נכנסות דרך זיהוי תעבורה אחד או יותר כדי למצוא פעילות זדונית או פעילות שעלולה להיות זדונית. הציונים מזיהויים מופעלים זמינים בלוח הבקרה Security Analytics, שם אפשר לנתח את מצב האבטחה ולקבוע את כללי הצמצום המתאימים ביותר.
• צמצום: חוסם, מאתגר או מווסת בקשות באמצעות יכולות צמצום שונות כמו כללים מותאמים, כללים מנוהלים וכללי הגבלת קצב. כללים שמצמצמים תעבורה יכולים לכלול ציונים מסריקות תעבורה בביטויים שלהם כדי לטפל טוב יותר בבקשות שעשויות להיות זדוניות.

זהירות

זיהויים רק נותנים ציון לתעבורה. הם לא חוסמים ולא מאתגרים בקשות בעצמם. השתמשו בציונים האלה בכללים מותאמים או בכללי הגבלת קצב כדי לפעול לפי הממצאים.

#זיהויי תעבורה זמינים

ה-WAF מספק כרגע את הזיהויים הבאים לאיתור איומי אבטחה בבקשות נכנסות:

• Attack score: בודק וריאציות התקפה ידועות ומטענים זדוניים. נותן לתעבורה ציון בסולם מ-1 (סביר שהיא זדונית) עד 99 (לא סביר שהיא זדונית).
• Leaked credentials: סורק בקשות נכנסות לאיתור פרטי גישה (שמות משתמש וסיסמאות) שדלפו בעבר מפריצות נתונים.
• Malicious uploads: סורק אובייקטי תוכן, כמו קבצים שהועלו, לאיתור חתימות זדוניות כמו נוזקה.
• AI Security for Apps: עוזר להגן על השירותים שלכם שמופעלים על ידי מודלי שפה גדולים (LLMs) מפני שימוש לרעה.
• Bot score: נותן לתעבורה ציון בסולם מ-1 (סביר שזה בוט) עד 99 (סביר שזה אדם).

כדי להפעיל זיהויי תעבורה בלוח הבקרה של Cloudflare, עברו לעמוד Settings תחת Security.

מעבר אל Settings ↗

הערה

כרגע אי אפשר לנהל את זיהויי bot score ו-attack score מעמוד Settings. עיינו בתיעוד של כל יכולת לפרטי זמינות.

#סדר ביצוע הכללים

Cloudflare מעריכה סוגים שונים של כללים בעת עיבוד בקשות נכנסות. הכלל הראשון עם פעולה מסיימת (כמו Block, Managed Challenge או Redirect) עוצר כל הערכה נוספת. לדוגמה, כלל IP Access שחוסם בקשה מונע מכללים מותאמים לרוץ. סדר ביצוע הכללים הוא:

1. כללי IP Access
2. כללי Firewall (deprecated)
3. כללים מותאמים
4. כללי הגבלת קצב
5. כללים מנוהלים
6. Cloudflare Rate Limiting (גרסה קודמת, כבר לא זמינה)

הכללים מוערכים לפי הסדר. אם יש התאמה לכלל עם פעולה מסיימת, הערכת הכללים תיעצר והפעולה תתבצע מיד. כללים עם פעולה לא מסיימת (כמו Log) לא ימנעו הערכה וביצוע של כללים שבאים אחריהם. למידע נוסף על אופן הערכת הכללים, ראו הערכת כללים בתיעוד מנוע ה-Ruleset.

למידע נוסף על השלבים שבהם כל יכולת WAF תרוץ, ראו שלבי WAF.

לאינטראקציות נפוצות בין rewrites, כללי IP Access, כללים מותאמים וכללים מנוהלים, ראו אינטראקציות בין שלבי כללים.