Cloudflares neue WAF-Notfallregel: Schutz und Ausnahmen prüfen

Cloudflare hat am 14. Oktober eine Notfallregel zum Blockieren von Anfragen in sein Cloudflare Managed Ruleset aufgenommen. Nach Angaben des Unternehmens reagiert es damit auf die aktive Ausnutzung einer Schwachstelle in Webframeworks, die entfernte Codeausführung ermöglicht. Für Websitebetreiber ist der nächste sinnvolle Schritt, den tatsächlich eingesetzten Regelsatz und die Schutzkonfiguration ihrer Website zu prüfen.

Die Veröffentlichungsmitteilung nennt weder die betroffenen Frameworks noch verwundbare Versionen oder einen Patch des Herstellers. Sie kann deshalb nicht klären, ob eine bestimmte Website verwundbar ist. Cloudflares Aussage zur aktiven Ausnutzung ist die Darstellung des Unternehmens und kein Beleg für einen Angriff auf die Website eines bestimmten Lesers.

Den tatsächlich vorhandenen Schutz prüfen

Laut Mitteilung gehört die neue Erkennung zum Cloudflare Managed Ruleset und verwendet die Aktion Block. Cloudflares Dokumentation zu verwalteten Regeln unterscheidet diesen Regelsatz vom Free Managed Ruleset. Das umfangreichere Cloudflare Managed Ruleset ist in den Tarifen Pro, Business und Enterprise verfügbar.

Leiten Sie den Schutz nicht allein daraus ab, dass eine Domain Cloudflare-Nameserver verwendet. Lassen Sie die für das Konto zuständige Person prüfen, ob die relevanten Anfragen tatsächlich durch den Schutz laufen, ob der richtige Regelsatz eingesetzt wird und ob seine wirksame Aktion unverändert ist.

Notieren Sie den geprüften Hostnamen, Regelsatz und die Konfiguration. So wird aus einer allgemeinen Zusicherung etwas, das ein anderer Administrator nachvollziehen kann. Bei Managed Hosting sollten Sie den Anbieter fragen, welche Teile der Anwendung und des Anfragewegs er kontrolliert.

Cloudflares Dokumentation erklärt außerdem, dass Ausnahmen und Überschreibungen beeinflussen können, welche Regeln ausgeführt werden und was sie tun. Eine ältere Ausnahme, die ein defektes Formular reparieren sollte, verdient eine erneute Prüfung, wenn sie Anwendungssicherheitsprüfungen großflächig überspringt.

Anwendung und Firewall getrennt prüfen

Ein Filter vor einer Website und eine Korrektur der Anwendung sind unterschiedliche Schutzmaßnahmen. Diese Ankündigung nennt keine gepatchte Version zur Installation. Nutzen Sie deshalb die offiziellen Sicherheitshinweise für die tatsächlich eingesetzte Software. Wählen Sie keinen Patch auf Grundlage einer Vermutung darüber, welches ungenannte Framework Cloudflare meint.

Führen Sie ein Verzeichnis des CMS, der Frameworks, Plugins und gepflegten Eigenentwicklungen Ihrer Website. So lassen sich spätere Sicherheitshinweise umsetzen: Eine zuständige Person kann ein genanntes Produkt samt Version mit einer installierten Komponente abgleichen, statt sich auf die Erinnerung verlassen zu müssen.

Zeigen Sicherheitsprotokolle blockierte Anfragen, dokumentieren Sie diese zur Untersuchung. Eine blockierte Anfrage allein beweist keine erfolgreiche Kompromittierung. Ebenso ist ein unauffälliger Bericht keine vollständige Prüfung der Anwendung. Geben Sie Hinweise auf unbefugte Änderungen oder Zugriffe an die für Sicherheitsvorfälle verantwortliche Person weiter.

Den normalen Veröffentlichungsbetrieb testen

Probieren Sie nach der Regelprüfung die gewöhnlichen Abläufe aus, auf die Leser und Redaktion angewiesen sind: einen Artikel laden, anmelden, einen Entwurf speichern und ein zulässiges Testformular absenden. Wird eine legitime Aktion blockiert, sammeln Sie die zugehörigen Ereignisinformationen und grenzen Sie die Untersuchung ein, bevor Sie den Schutz ändern.

Schalten Sie den Schutz nicht als ersten Schritt pauschal ab. Identifizieren Sie die betroffene Anfrage und prüfen Sie mit dem Administrator die kleinste geeignete Korrektur.

Nehmen Sie Konfigurations- und Anwendungsprüfungen in die Wartungsroutine der Website auf. Kann niemand erklären, wer dafür zuständig ist, klären Sie diese Verantwortung vor der nächsten Hosting-Verlängerung oder Migration.