Cloudflare מרחיבה את חומת האש ליישומי ווב (WAF) עם יכולת חדשה שבוחנת לא רק את הבקשה הנכנסת, אלא את העסקה כולה — הבקשה והתשובה שהחזיר שרת המקור. המהלך נועד לתת לצוותי אבטחה אינדיקציה טובה יותר לכך שניסיון תקיפה אכן הצליח, ולא רק שהבקשה נראתה חשודה.
מה השתנה ב-Cloudflare WAF?
עד היום, רוב כללי ה-WAF פעלו בעיקר בשלב הבקשה: כתובת IP, נתיב URL, כותרות, גוף הבקשה ודפוסים המזוהים עם מתקפות. לפי Cloudflare, הגישה הזו עדיין חיונית, אך לעיתים אי אפשר לדעת מהבקשה לבדה אם היישום היה פגיע בפועל. תגובת השרת יכולה להוסיף את ההקשר החסר.
היכולת החדשה, שנקראת Full Transaction Detection, מקשרת בין סימנים חשודים בבקשה לבין מאפייני התשובה. לדוגמה, ניסיון Path Traversal שמלווה בתשובה המכילה תוכן אופייני לקובץ תצורה מספק ראיה חזקה יותר לדליפת מידע מאשר כל אחד מהסימנים בפני עצמו.
כללי תגובה יכולים לעצור מידע לפני שהוא יוצא
לצד הזיהוי המלא Cloudflare מציגה Response Rules. כללים אלה יכולים לחסום את תגובת המקור לפני שהיא מגיעה למבקש, ולהחליף אותה בדף חסימה או בתגובה מותאמת. חשוב לסייג: חסימת התשובה אינה יכולה לבטל פעולה שכבר בוצעה בשרת המקור, ולכן היא שכבת הגנה נוספת ולא תחליף להקשחת היישום.
Cloudflare מפרידה בין מנגנון הזיהוי לבין פעולת האכיפה. צוותי אבטחה יכולים תחילה לצפות באירועים ב-Security Analytics, להבין אילו נתיבים וחתימות מעורבים, ורק לאחר מכן לבנות מדיניות Log או Block המתאימה ליישום. אירועים שנחסמו או נרשמו מוצגים גם ב-Security Events לצורכי חקירה.
זמינות ומה כדאי לבדוק בארגון
החברה מסרה שהיכולות זמינות באופן כללי לכל האזורים שמעבירים תעבורה דרך Cloudflare, כולל תוכניות Free. לכל הלקוחות יש גישה לכללי תגובה מותאמים, ועד שלושה כללים מותאמים עם פעולות Log ו-Block. לקוחות בתשלום מקבלים גישה רחבה יותר לתוצאות הזיהוי באמצעות השדות cf.waf.signature.response.*.
לצוותי IT ואבטחה מומלץ להתחיל במצב תצפית: לבדוק התאמות ב-Security Analytics, להגביל תחילה את היקף הכללים לנתיבים רגישים כמו ממשקי ניהול או הורדת קבצים, ולוודא שאין חסימות שווא. רק לאחר בחינת האירועים כדאי לעבור לאכיפה.
למה זה חשוב
המעבר מניתוח בקשה בלבד לניתוח עסקה מלאה מצמצם את הפער בין "ניסיון שנראה מסוכן" לבין "ניסיון שהחזיר תוצאה המעידה על פגיעה". עבור ארגונים שמנהלים API, פורטלים ויישומי SaaS, מדובר בעוד שכבת בקרה שיכולה לסייע בזיהוי דליפת מידע ובהקטנת זמן החקירה.
מקור: Cloudflare Blog — Introducing full transaction detection for Cloudflare WAF, פורסם ב-21 באוקטובר 2026.
