תיעוד 136
ערכת הכללים המרכזית של OWASP של Cloudflare
עודכן לאחרונה: 5 ביוני 2026
ערכת הכללים המרכזית של OWASP של Cloudflare היא המימוש של Cloudflare ל-OWASP ModSecurity Core Rule Set (CRS) בגרסה 3.3.0.
ערכת הכללים המרכזית של OWASP של Cloudflare מתוכננת לפעול כישות אחת כדי לחשב ציון איום ולבצע פעולה על בסיס הציון הזה. כשכלל בערכת הכללים תואם לבקשה, ציון האיום עולה בהתאם לציון הכלל. אם ציון האיום הסופי גדול מסף הציון שהוגדר, Cloudflare מבצעת את הפעולה שהוגדרה בכלל האחרון של ערכת הכללים.
זהירות
ערכת הכללים המרכזית של OWASP של Cloudflare נוטה לתוצאות חיוביות שגויות, ומציעה רק תועלת שולית כשמוסיפים אותה מעל Cloudflare Managed Ruleset ו-WAF attack score. אם תחליטו לפרוס את ערכת הכללים המנוהלת הזו, תצטרכו לנטר ולהתאים את ההגדרות שלה לפי התעבורה שלכם כדי למנוע תוצאות חיוביות שגויות.
#OWASP Top 10 לעומת ערכות הכללים של Cloudflare
ערכת הכללים המרכזית של OWASP של Cloudflare היא המימוש של Cloudflare ל-OWASP ModSecurity Core Rule Set גרסה 3.3.0, והיא שונה מ-OWASP Top 10.
OWASP Top 10 היא רשימה של סיכוני אבטחת האפליקציות החמורים ביותר, שנועדה להעלות מודעות בקרב אנשי מקצוע ומפתחים. אפשר לטפל בחלק מהסיכונים באמצעות חומת אש לאפליקציות אינטרנט, ואחרים דורשים פתרונות שונים או שצריך לצמצם אותם במהלך פיתוח האפליקציה. באופן ספציפי:
- Cryptographic Failures
- Insecure Design
- Identification and Authentication Failures
- Security Logging and Monitoring Failures
הסיכונים האלה תלויים יותר באופן שבו האפליקציה בנויה, או באופן שבו כל צינור הניטור מוגדר.
#מוצרי Cloudflare לעומת OWASP Top 10
גם Cloudflare Managed Ruleset וגם OWASP CRS שואפים לצמצם כמה קטגוריות של OWASP Top 10, והגישות שלהם שונות. OWASP CRS v3.3 היא ערכת כללים בקוד פתוח, כללית ו"מבוססת ניקוד", שלעתים קרובות דורשת כוונון ידני. Cloudflare Managed Ruleset הוא מנוע קנייני, עשיר בחתימות, שמגובה במודיעין האיומים הגלובלי העצום של Cloudflare. בנוסף, Cloudflare פורסת במהירות הגנות ל-CVE חדשים דרך ערכת הכללים המנוהלת שלה, ו-OWASP CRS נשארת יחסית סטטית.
הטבלה הבאה מתארת איך מוצרי Cloudflare ממופים לקטגוריות OWASP.
| קטגוריית OWASP Top 10 | OWASP Core Rule Set (v3.3) | Cloudflare Managed Ruleset | מוצרי Cloudflare אחרים |
|---|---|---|---|
| A01: Broken Access Control | מכוונת ל-Path Traversal (930XXX) ולזיהוי פגמים באפליקציה (לדוגמה, גישה ל-.env ול-.git). | משתמשת בחתימות קנייניות עבור Insecure Direct Object References ועבור Directory Traversal. | Security Rules משמשות לאכיפה מפורטת של IP/Geo/ASN. |
| A02: Cryptographic Failures | N/A | N/A | פלטפורמת Cloudflare מספקת בקרות ברמת הפלטפורמה עבור HTTP Strict Transport Security, גרסאות TLS מינימליות, וניהול אישורים אוטומטי. מוכנה להצפנה פוסט-קוונטית. |
| A03: Injection (SQLi, XSS) | מקיפה: משתמשת בניקוד מבוסס Regex עבור SQLi (942XXX), XSS (941XXX) ו-RCE (932XXX). | משלבת התאמת חתימות מהירה עם Attack Score כדי לתפוס מטענים עם ערפול גבוה. מוחל עיבוד מקדים של פענוח חכם כדי למנוע ערפול. | Cloudflare Attack Score מבוסס למידת מכונה משלים ערכות כללים מנוהלות באמצעות זיהוי וריאציות של תקיפה ומעקפים. |
| A04: Insecure Design | N/A | N/A | API Schema Validation עוזרת לצמצם אכיפת פרוטוקול שעלולה לנבוע מעיצוב לקוי (לדוגמה אכיפת מתודות HTTP) |
| A05: Security Misconfiguration | מזהה אינדוקס ספריות, הודעות שגיאה של ברירת מחדל, והפרות פרוטוקול באמצעות 920XXX. | כוללת מערך רחב של Managed Rules להקשחת פלטפורמות CMS מסוימות (כמו WordPress ו-Magento) מול תצורות שגויות ידועות. | |
| A06: Outdated Components | כללים כלליים עשויים לתפוס ניצול חולשות, אבל היא לא מתחזקת מסד נתונים של גרסאות תוכנה ספציפיות. | Virtual Patching יזום עבור CVE שהתגלו לאחרונה (לדוגמה, Log4Shell, React2Shell), ולעתים קרובות נפרס בתוך דקות או שעות מהחשיפה. | Cloudflare Attack Score מבוסס למידת מכונה משלים ערכות כללים מנוהלות באמצעות זיהוי וריאציות של תקיפה ומעקפים. |
| A07: Identification & Auth | N/A | N/A | Leaked Credential Check, Bot Management ו-Account Abuse Protection מתוכננים לעצור התקפות stuffing אוטומטיות ופגיעויות אחרות שמבוססות על אימות. |
| A08: Software & Data Integrity | כללים ייעודיים עבור Insecure Deserialization (944XXX) והזרקת PHP. | חתימות לניצול סריאליזציה נפוץ ולדפוסי תקיפת שרשרת אספקה (לדוגמה, SolarWinds/Mimecast). | Cloudflare Client-side security מנטרת סקריפטים, חיבורים ועוגיות שנטענים על ידי מבקרים באתר שלכם |
| A09: Logging & Monitoring | N/A | N/A | פלטפורמת Cloudflare מציעה לוח בקרה משולב עם ניתוח בזמן אמת, Logpush אל SIEM, והתראות אוטומטיות על חריגות. LogExplorer הוא כלי הצפייה והזיהוי הפלילי של Cloudflare. |
| A10: SSRF | כללים (934XXX) חוסמים בקשות לכתובות IP פנימיות ולשירותי מטא-נתונים בענן (AWS, Azure, GCP). | מזהה חתימות SSRF ומאפשר למשתמשים לחסום בקלות בקשות יוצאות לנקודות קצה רגישות של מטא-נתונים. | - |