Cấu hình Cloudflare WAF Managed Rules: Bộ lọc thông minh chặn tấn công web tự động

Đăng nhập Cloudflare dashboard → chọn tài khoản → chọn domain cần cấu hình → vào Security → WAF → Managed rules.

Tại đây, hai ruleset mặc định thường đã có sẵn ở trạng thái Execute: Cloudflare Managed Ruleset và Cloudflare OWASP Core Ruleset. Để triển khai thêm ruleset khác (ví dụ Exposed Credentials Check Ruleset), kéo xuống mục Managed Rulesets và bấm Deploy bên cạnh ruleset mong muốn.

2.1 — Mở giao diện Configure deployment

Tại Managed rules, bấm vào tên ruleset (ví dụ Cloudflare Managed Ruleset) để mở trang Configure deployment. Trang này hiển thị phạm vi áp dụng (Execution scope — ví dụ “All incoming requests to domain.com”) và 2 lựa chọn cấu hình tổng quát: Ruleset action và Ruleset status, mặc định cả hai đều ở mức Default (giữ hành động gốc do Cloudflare định nghĩa cho từng rule).

2.2 — Tìm và chỉnh sửa từng quy tắc cụ thể

Dùng ô Search Rules để tìm theo mô tả, Rule ID hoặc lọc theo Tags (ví dụ: sqli, xss, wordpress, code-injection). Với mỗi rule trong kết quả, bạn có thể đổi Action qua dropdown — các lựa chọn thường gồm: Log (chỉ ghi nhận, không chặn), Block, Managed Challenge, JS Challenge, Interactive Challenge — hoặc bật/tắt toggle Status riêng cho rule đó.

Nếu lỡ đổi nhầm, mỗi rule có sẵn liên kết Reset to default để quay lại hành động gốc do Cloudflare định nghĩa.

2.3 — Custom filter expression (tuỳ chọn)

Nếu muốn các quy tắc trong ruleset chỉ áp dụng cho một tập con request — thay vì toàn bộ traffic — hãy check vào Custom filter expression và khai báo điều kiện lọc. Sau khi cấu hình xong, bấm Save để lưu lại.

Khi cần áp dụng cùng một hành động cho nhiều rule (ví dụ toàn bộ rule liên quan đến WordPress), việc sửa từng dòng sẽ rất mất thời gian. Cloudflare hỗ trợ chọn hàng loạt:

• Lọc rule theo tag (ví dụ “wordpress”) hoặc từ khoá tìm kiếm
• Tick checkbox ở từng dòng, hoặc tick checkbox tại header để chọn toàn bộ rule trên trang hiện tại
• Bấm Select all <TOTAL> rules để chọn toàn bộ rule khớp điều kiện trên tất cả các trang

Sau khi chọn xong, bấm Set action hoặc Set status để cập nhật đồng loạt cho tất cả rule đã chọn — các tuỳ chọn action gồm Managed Challenge, Block, JS Challenge, Interactive Challenge, Log, Default; status gồm Enabled, Disabled, Default. Bấm Next để xem lại danh sách, sau đó Save để áp dụng.

Lưu ý: nếu bạn lọc rule theo một tag cụ thể, hệ thống có thể hỏi liệu các rule mới được thêm vào tag đó trong tương lai (do Cloudflare cập nhật ruleset) có nên tự động áp dụng cùng cấu hình hay không.

5.1 — Mở giao diện Add exception

Vào Security → WAF → Managed rules → bấm nút Add exception ở góc trên bên phải. Form gồm 3 phần: Exception name (đặt tên gợi nhớ), When incoming requests match… (điều kiện áp dụng) và Then… (hành động bỏ qua).

5.2 — Khai báo điều kiện khớp request

Tại mục Field / Operator / Value, chọn trường cần lọc (ví dụ Hostname, URI, IP Source Address…) và điều kiện so khớp (contains, equals…). Có thể nối nhiều điều kiện bằng And/Or. Khung Expression Preview sẽ hiển thị biểu thức tương ứng dưới dạng Rules language, ví dụ: (http.host contains "vgsholding.com") or (http.host contains "sonic.com.vn").

5.3 — Chọn loại exception tại mục “Then…”

Hai lựa chọn chính, sắp theo mức ưu tiên giảm dần:

• Skip all remaining rules: bỏ qua toàn bộ rule còn lại của các bộ WAF managed ruleset cho request khớp điều kiện
• Skip specific rules from a Managed Ruleset: chỉ bỏ qua một hoặc nhiều rule cụ thể mà bạn chọn từ một ruleset nhất định — bấm Select ruleset rồi Select rules để tìm và tick chọn rule cần bỏ qua (tìm theo mô tả, Rule ID, hoặc tag, ví dụ tìm “920460” để ra rule 920460: Abnormal character escapes in request)

5.4 — Cấu hình Log matching requests và triển khai

Gạt toggle Log matching requests nếu muốn tắt việc ghi nhận log cho các request khớp với exception (khi tắt, request khớp sẽ không hiển thị tại Security overview). Sau khi hoàn tất, bấm Deploy để áp dụng ngay, hoặc Save as Draft nếu chưa muốn triển khai.

6.1 — Mở danh sách Managed rules

Vào Security → WAF → Managed rules, tìm đúng ruleset đang chứa rule mà bạn muốn ghi lại payload (ví dụ Cloudflare Managed Ruleset hoặc OWASP Core Ruleset) rồi bấm vào tên ruleset đó để mở trang chi tiết.

6.2 — Xác định rule muốn theo dõi

Trang chi tiết hiển thị toàn bộ rule con bên trong ruleset (ví dụ các rule dạng Anomaly:Header:User-Agent – Missing hay Anomaly:Method – Unknown HTTP Method) cùng action và trạng thái Enabled. Việc ghi log payload không cấu hình riêng cho từng rule mà áp dụng cho cả deployment hiện tại của ruleset.

6.3 — Mở liên kết Configure payload logging

Kéo xuống cuối trang cấu hình deployment, bấm Configure payload logging — liên kết này nằm cùng khu vực với các nút Delete deployment, Cancel và Save.

6.4 — Chọn cách tạo cặp khoá mã hoá

Hệ thống sẽ nhắc bạn đọc kỹ hậu quả của việc bật ghi log payload trước khi tiếp tục. Sau đó chọn một trong hai phương án:

• Generate key pair using your web browser: trình duyệt tự sinh cặp khoá public/private ngay tại máy bạn — private key không bao giờ được gửi lên Cloudflare
• Use my own public key: sử dụng public key được tạo sẵn từ công cụ dòng lệnh matched-data-cli, phù hợp khi team đã có quy trình quản lý khoá riêng

6.5 — Lưu lại Private key

Nếu chọn tạo khoá trong trình duyệt, hệ thống hiển thị cùng lúc Public key và Private key — copy và cất Private key vào nơi an toàn (password manager, vault nội bộ của công ty…) vì nó chỉ hiện đúng một lần. Bấm Next rồi Done để hoàn tất bước này.

6.6 — Triển khai cấu hình

Bấm Deploy nếu đây là lần đầu bạn triển khai ruleset kèm cấu hình payload logging, hoặc Save nếu đang cập nhật cấu hình cho một ruleset đã được triển khai từ trước đó.

7.1 — Mở Security → Events

Tại Activity log, tìm sự kiện được kích hoạt bởi rule cần kiểm tra và bấm vào để mở rộng chi tiết — các thông tin như Ray ID, Method, Host, Path, Query string, IP address, ASN, Country, Action taken… đều hiển thị đầy đủ tại đây.

7.2 — Tìm khu vực Payload match

Trong phần chi tiết sự kiện, kéo xuống mục Payload match — Cloudflare ghi rõ rằng phần request gây ra hành động của WAF đã được ghi nhận (ở dạng mã hoá), kèm liên kết Decrypt payload log để xem nội dung gốc.

7.3 — Nhập Private key để giải mã

Bấm Decrypt payload log, dán Private key đã lưu ở Bước 6.5 vào cửa sổ xuất hiện rồi bấm Decrypt. Nếu khoá đúng, nội dung payload — các tham số trong query string, request headers, body form values… — sẽ hiển thị ngay dưới dạng cleartext, giúp bạn xác định chính xác request đó là tấn công thật hay chỉ là false positive cần bổ sung exception.