Cloudflare amplia WAF com detecção de transação HTTP completa
O firewall de aplicações web da Cloudflare passa a correlacionar pedido e resposta HTTP para achar exploits bem-sucedidos e vazamento de dados.
Foto: Nothing Ahead (Pexels)
A Cloudflare anunciou nesta quarta-feira (21) a expansão do seu web application firewall (WAF), o firewall de aplicações web, com duas funções novas: detecção de transação completa e regras de resposta. Em vez de olhar só o pedido HTTP que chega ao servidor, o sistema passa a avaliar também o que a origem devolve, buscando sinais de que um ataque pode ter funcionado.
Segundo o blog da empresa, a mudança ajuda a responder tanto se um pedido parece malicioso quanto o que ocorreu quando a aplicação o processou. As regras de resposta podem interromper o conteúdo devolvido pela origem antes que chegue ao solicitante. As capacidades entram em disponibilidade geral para todos os clientes Cloudflare, inclusive nos planos gratuitos.
O que aconteceu
Até agora, o WAF da Cloudflare protegia sites e APIs com regras gerenciadas, personalizadas e limitação de taxa, atuando sobretudo no nível do pedido — IP, caminho da URL, cabeçalhos e corpo. Essa abordagem continua essencial para barrar ataques reconhecíveis. Mas a empresa argumenta que parte das ameaças só fica clara quando o pedido é lido junto com a resposta da origem.
Um exemplo citado envolve tentativa de path traversal, a manipulação de parâmetros de arquivo para acessar configuração fora do diretório permitido. A inspeção do pedido pode reconhecer o padrão e bloquear o tráfego. Se o pedido chegar à origem e a resposta trouxer texto típico de arquivo de configuração com credenciais, a combinação dos dois sinais oferece evidência mais forte de exposição de dados sensíveis. Uma regra de resposta pode então substituir esse conteúdo por uma página de bloqueio do WAF e o código HTTP 403.
A Cloudflare enquadra a novidade no framework de detecção contínua apresentado neste ano: as detecções analisam o tráfego e anexam metadados; as regras decidem o que fazer. Novos campos espelham as assinaturas de pedido, com confiança, categorias e referências na resposta. As primeiras detecções concentram-se em confirmar exploits de vulnerabilidades de alto perfil; a empresa cita a falha recente php2shell como caso em que a resposta pode revelar se a tentativa teve sucesso.
No painel, os controles da fase de resposta ficam em Security > Security Rules. Todos os clientes passam a ter o conjunto gerenciado Cloudflare Managed Response Firewall Default: quando uma assinatura corresponde, a resposta é bloqueada com a página padrão do WAF. É possível restringir o escopo a trechos da aplicação para reduzir falsos positivos. Regras personalizadas permitem combinar pedido e resposta — por exemplo, bloquear HTML 200 em /admin sem cabeçalho interno de autenticação. Cada conta pode criar até três regras personalizadas com ações de Log e Block; regras sobre o corpo da resposta ainda não estão disponíveis. Eventos aparecem em Security Events, e os resultados das detecções ficam em Security Analytics.
O que isso pode mudar
Na prática, a correlação pedido-resposta pode reduzir o dilema clássico dos firewalls de aplicação: assinaturas amplas no pedido tendem a gerar mais falsos positivos; assinaturas estreitas deixam passar tráfego ambíguo. Com a resposta como evidência, as defesas poderiam distinguir sondagens de indícios de impacto real.
Para organizações sem equipe dedicada a afinar cada regra, as proteções gerenciadas de alto perfil — a começar pelas ligadas ao php2shell — podem acelerar a mitigação, enquanto a cobertura de exposição e exfiltração de dados ainda deve se expandir. Clientes pagos, segundo o anúncio, devem receber um catálogo mais rico de detecções.
O limite técnico permanece: bloquear a resposta impede que dados sensíveis cheguem ao atacante, mas não desfaz ações já executadas na origem. Ainda assim, num cenário em que modelos avançados de inteligência artificial (IA) ajudam a achar falhas em software amplamente usado e agentes automatizados adaptam cargas úteis com base no retorno da aplicação, a visibilidade da transação completa tende a se tornar peça central da segurança de aplicações na borda.
Fontes: Cloudflare Blog.
Fontes: Cloudflare Blog
Leia mais em: mundodosnegocio.com.br