Démarrage rapide avec le Cloudflare WAF

bonjour antoine solution engineer chez cloudflare dans cette vidéo on va parler du setup du ou du ouaf donc cette vidéo fait partie d'une série de vidéos qui explique la mise en place de cloudflare avec un setup cnames au niveau du dns donc où les serveurs de nom le dns n'est pas hosté sur cloudflare donc là on a un site qui sert du trafic qui passe par cloudflare qui protège l'origine et pour mieux protéger l'origine dans cette vidéo on va voir comment mettre en place ici la partie ouaf donc pour rappel le ouaf de cloudflare fait deux choses pour l'analyse de chaque requête premièrement le ouaf va regarder en fait si la requête est connue dans la liste des requêtes connues par signature ok donc c'est cette partie là non malicious signature donc on regarde dans notre catalogue de connaissances si on connaît cette ce genre d'attaque est toujours en parallèle il ya toujours donc les deux systèmes qui fonctionnent à chaque fois il ya aussi un système de machine learning donc cloudflare va regarder la requête et va regarder si cette requête avec cet algorithme de machine learning ressemble à une attaque donc si on pense qu'il ya une injection xql en fonction de à quoi ressemble la requête s'il ya une alternative de remote command execution rce xss etc donc il faut bien retenir c'est que les deux systèmes fonctionnent toujours toujours en parallèle la partie ml donc machine learning analysis va donner un score sur 100 donc si on est proche de 100 ça veut dire qu'il n'y a pas d'attaque dans la roquette et plus on est proche de zéro va plus à dire que c'est la requête est malicieuse et contient une une attaque et puis après on fait aussi le score par type d'attaque xss rce sql sql injection et puis après on vous dit sinon quelle qu'elle signature ça ça matchait d'autres notre algorithme de machine learning est particulièrement performant puisque il se nourrit de de d'énormément de trafic un cloudflare protège 20% du web donc un site sur cinq et hébergé derrière cloudflare donc ce qui fait que notre algorithme de machine learning a énormément de data sur lequel sur lequel travail donc on va mettre en place cette partie là le waf sur notre application donc rendez vous dans l'application dans l'interface de cloudflare est ce qu'on va faire c'est qu'on va aller dans la partie ici sécurité dans la partie analytics et alors là on peut voir donc tout notre trafic ici ok je vais zoomer sur cette partie on peut voir aussi des événements liés à de la sécurité donc le trafic passé l'ensemble du trafic et c'est mon sécurité ce sont des des requêtes qui sont problématiques malicieuse abusives ce genre de choses donc là je peux regarder quelques requêtes donc je vais avoir des des statistiques et puis je vais avoir ici ma note sur 100 donc 87 sur 100 ok donc plutôt propre et avec comme je vous ai expliqué le classement par remote remote common execution sql et xss donc on a déjà cette partie là en place par contre nous n'avons pas l'attaque le de la détection par par signature donc pour mettre en place la détection par signature ce qu'on va faire ce qu'on va aller dans ici settings et on va aller dans web application exploits et là en fait on va on va activer le catalogue de signature donc qui est le cloudflare manage recette donc je vais cliquer ici pour l'activer et dans un premier temps ce que je vais faire c'est que je vais choisir donc les actions qui vont être effectués lorsqu'on détecte une signature donc je pourrais faire un challenge javascript donc pour rappel les challenges c'est quelque chose qui ressemble à ça c'est rapidement un message qui va s'afficher sur l'écran d'utilisateur pour lui dire voilà cloudflare vérifie votre navigateur pour être sûr que vous n'êtes pas un robot donc ça ce que je vous ai montré c'est le non interactive challenge interactive challenge on va demander de cliquer bloquer ben on va bloquer et manage challenge c'est qu'on va laisser cloudflare choisir entre ces deux ces deux challenges bloquer donc bloquer et ce qu'on va faire dans un premier temps c'est qu'on va mettre ce ruleset en mode log puisque pour le moment on veut ça on veut être sûr qu'il n'y ait pas de faux positifs ok donc on veut voir à peu près qu'est ce que le waaf va attraper comme comme signature donc pour être safe on va choisir le mode le mode log puis après on pourra par exemple désactiver des signatures spécifiques si elle pose si elle pose problème donc là je vais cliquer sur déployer donc là j'ai maintenant mon ruleset mon catalogue de signatures qui est déployé alors on va tester notre notre ruleset ce qu'on va faire c'est qu'on va faire une une injection sql qu'est ce à une xss pardon je vais aller plus tôt dans la partie up search et voilà donc là en fait ici on a une injection sql donc là on a une une xss pardon donc là on n'est pas bloqué puisqu'on est en mode log mais on va voir si le waaf a donc attraper ses signaux donc si je vais dans la partie security analytics événements et que je regarde et en dernière minute et là on voit donc un événement donc encore une fois la différence entre le trafic les événements le trafic c'est tout le trafic événements ce sont des événements de sécurité et donc là ici on peut voir notre roquette ok le hausse la passe ici notre injection à notre notre xss et là on va voir voilà le catalogue de règles que nous avons activé et la règle spécifique qui a été qui a été trigger par par ce call donc on a vu ensemble les deux les deux types de détection par signature et par machine learning maintenant si vous voulez créer une règle qui par exemple s'appuierait sur les scores de machine learning comment je pourrais faire ça alors on va devoir s'appuyer sur les scores et c'est là que la documentation 1 de waf attack score est utile si je regarde un petit peu le détail donc on va voir ces descriptions donc attaque de 1 à 20 donc on est quasiment sûr que c'est une attaque la clé in attaque la clé clean donc ce que je vais pouvoir faire donc c'est avoir un niveau de blocage assez granulaire mais dans un premier temps ce qu'on peut faire ensemble c'est tout ce qui va être requête de 1 à 20 ok et d'aller complètement les bloquer donc on va faire ça donc on va aller dans la partie règles de sécurité on va aller créer une règle custom et là on va pouvoir en fait s'appuyer sur des des champs donc le champ score donc là je peux être très spécifique comme on l'a dit tout à l'heure on peut s'appuyer sur le score sqli xss rce mais on va s'appuyer sur l'attaque score et là on va dire let than or equal to donc 20 au moins on avait dit 20 et là ce qu'on va faire c'est qu'on va pouvoir choisir une réaction donc une action donc là on va carrément bloquer on peut choisir voilà ce qu'on envoie du json donc json si on a une api ça peut être intéressant là on va laisser la page custom la page de base et je vais déployer hop et je vais entrer non bloc attaque and equal to any ok déployer que je trouve particulièrement intéressant avec la flair c'est qu'ici vous allez voir pour chaque règle le nombre de déclenchement donc ça c'est particulièrement utile si vous n'êtes pas sûr de votre règle mettez là en log et observer en fait ce champ de cette page qui va vous montrer le nombre de déclenchement qu'aurait eu cette règle en tout cas qu'a eu cette règle mais en mode en mode log donc ce que je vous propose c'est qu'on réessaye notre injection enfin notre xss je vais le cache navigateur et voilà donc ici je suis bien bloqué et si je reviens sur ma liste de règles voilà on peut voir mon événement qui est last sur six minutes et là on voit bien que j'ai été que j'ai été bloqué et on peut voir le l'adac score était d'un score de 1 ok donc bien en dessous de 20 et il a bien notre règle de machine learning a bien compris que c'était une xss puisqu'il lui a mis à 4 4 sur 100 donc plus on est proche de 0 plus on est sûr que c'est une attaque si je vais maintenant dans la partie analytics événements je peux voir je peux voir les blocs et quelle règle à bloquer ici bloc attaque under record to 20 on a bien notre règle une vue qui est intéressante c'est dans la partie donc elle dans la partie trafic analytics trafic et cliquez sur attaque analysis ici et là en fait on va avoir cette partie qui est extrêmement intéressante où je vais pouvoir voyez ici ça change le score ok donc ça c'est le score et toutes les données se mettre se se mettent en se mettre à jour donc là je vais pouvoir up même avant de créer une règle de voir par exemple quel genre de trafic aurait été attrapé par cette règle en allant dans les dans les samples de log on se parlera de la partie de la partie bot management mais le bot management va reprendre le même principe on va pouvoir scorer de 0 à 100 les les types les les bottes donc dans cette vidéo on a mis en place le waf dans une prochaine vidéo on va mettre en place ici dans pour cette même application le cache j'espère que cette vidéo vous a été utile c'est à la moindre question n'hésitez pas à m'envoyer un petit mail à très vite au revoir