Cloudflare Web Application Firewall (WAF) 每天封鎖 570 多億次網路威脅，相當於每秒封鎖 65 萬個 HTTP 請求。用來篩選這些流量的原始程式碼是由 Cloudflare 現任技術長編寫的。WAF 迄今已獲無數好評，包括在 2020 年度 Gartner Magic Quadrant WAF 評測中獲得「執行能力」最高分。
由於我們非常重視在程式碼不再便於維護、效能下降或無法擴展時替換程式碼，我們經常重寫 Cloudflare 堆疊的關鍵部份。這樣做很有必要，因為我們的極速發展使得過去的解決方案逐漸失去效用。一段時間以來，我們努力將 John 編寫的原始 LuaJIT 程式碼替換為用 Rust 編寫的新程式碼，並對使用者介面進行改進。
我們很高興推出全新的 Cloudflare Web Application Firewall。
自即日起，Cloudflare 上 10% 的新建帳戶在開通 Pro 或以上方案時即可使用全新 WAF。這個比例將於四月份增加到 100%，然後啟動現有客戶的遷移工作。Enterprise 客戶可以聯繫其客戶團隊來提前遷移。
有何變化
Web Application Firewall (WAF) 是 Cloudflare 平台的核心組成部份。作為組合中最常用的一款產品，我們從大規模執行中得到了許多意見反應和經驗教訓，在這次重大反覆項目中給我們提供了指引。新版 WAF 提供：
更佳的規則瀏覽和設定 - 一鍵輕鬆部署但不失強大功能的工具：進階篩選、大量編輯、規則標記等。打開所有 Wordpress 規則、將所有 Cloudflare 託管規則設為 LOG 或找出哪些規則未在運作，如今都易如反掌。
全新比對引擎 - 用 Rust 語言編寫，支援 wirefilter 語法，這也是自訂防火牆規則所用的語法。這個引擎讓我們能夠更快部署託管規則，並且可以對更多流量部署 WAF，進而擴展到下一個級別。與此同時，效能和安全性也得以改善。
更新的規則集 - 新版 WAF 隨附更新的規則集，將規則狀態與操作分離，提供更佳的控制。Cloudflare OWASP 核心規則集也基於 OWASP 核心規則集最新版本（截至撰寫時為 v3.3）進行了改進，與目前版本相比，增加了 Paranoia Level 並改善了誤判率。
全域設定 - 在您的整個帳戶部署相同的設定。以規則集的形式對規則進行分組，並使用原生版本控制和復原能力。
新版 WAF 有很多讓我們感到興奮的特徵，以上只是一小部份，每一條都值得另文詳述，這裡先介紹一些亮點。
更好的規則瀏覽與設定
Cloudflare 託管規則集（包括 Cloudflare Specials1 群組）是 WAF 的重要組成部份之一。其中包括數百條 Cloudflare 提供和維護的規則。預設設定旨在實現極低誤判率，同時為所有 Web 應用程式提供極佳的安全基線。不過，為獲得最佳的安全狀態，您應該啟用盡可能多的規則。也就是說，有時候必須深入研究並根據基礎應用程式來自訂規則集行為。
對於新版 WAF，我們希望能借助預設設定來一鍵啟用託管規則集，同時為感興趣的使用者提供更佳的設定體驗。
新版 WAF 使用者介面。一鍵開啟 Cloudflare 託管規則集和 Cloudflare OWASP ModSecurity 核心規則集。
目前，若要啟用 Cloudflare 託管規則集，您需要開啟全域 WAF 開關並設定任何感興趣的規則群組。頁面上會直接顯示包括 WordPress、Joomla、PHP 等在内的 10 個規則群組，並附有切換開/關。在這個使用者介面中，您要分別檢查具體的規則，否則無法輕鬆篩選或設定各個規則群組中的規則。
目前（舊版）託管規則集 WAF 使用者介面。點選一個分組可顯示這個群組中規則的清單。
儘管使用者介面使用簡單，但無法快速執行常見的任務。例如，顯示所有關閉的規則，或者_顯示所有緩解 XSS 攻擊的規則_。現在，所有規則都顯示在一個表格中，而按照規則狀態、動作和標記進行篩選只要按一下即可達成。規則標記也代替了分組，一條規則可有一個或多個標記，大大提高了系統的靈活性。標記將用於：
標識某條規則是否適用於特定軟體元件
標識攻擊向量（例如 XSS、SQLi、RCE）
標識特定於 CVE 的規則
最後，除了單規則內聯控制項外，我們還允許大量編輯控制項，藉此更快地根據特定使用案例來調整設定。
新版 WAF 規則集瀏覽器。大量選項、標記和篩選元件彙集於一處。
我們預計可用規則數量將增加，並且為了讓更多使用者採用自訂設定，我們新增了一個部署設定變更時的檢閲螢幕。在這個螢幕中，您可以輕鬆查看相對預設值的任何變化，並可選擇復原。
規則集部署檢閱螢幕。在此，可以檢閱自訂設定相對於預設值的修改。
全新比對引擎
目前負責執行託管規則集的 Cloudflare WAF 是以 LuaJIT 編寫，並作為一個 NGINX 模組部署。規則語法採用 ModSecurity 所實現語法的一個超集合，增加了特定於 Cloudflare 實作的功能。
我們希望透過遷移到新引擎來實現以下目的：
更安全、更有利和更高效能的環境，與 Cloudflare 採用的其他技術保持一致
更出色的篩選和比對能力，提升部署靈活性並簡化異常處理
統一的產品功能集，採用 wirefilter 語法作為託管規則集的基礎
最後一點對我們和使用者而言都特別重要，因為這種語法已經在我們的自訂防火牆規則中使用，後者甚至使用同樣的基礎 Rust 程式庫來執行篩選器。
新引擎在 Rust 中實施，此篇部落格貼文已多次提到我們對這種語言的熱愛。我們也在努力確保新的實施不僅增強安全性，也能提高速度，相關細節將在後續部落格貼文中詳細介紹。
更新的 Cloudflare 規則集
Cloudflare 規則集已更新並移植到新版 WAF。值得注意的是，規則集現在使用 wirefilter 語法，而且規則狀態也與規則動作分離，讓您能夠分別設定這兩者。
Cloudflare OWASP 核心規則集也獲得了獨立於引擎的一次重大更新。目前的 Cloudflare WAF 實施官方 OWASP ModSecurity 核心規則集的 2.x 版。在新版 WAF 中，Cloudflare OWASP 核心規則集直接基於GitHub 存放庫上提供的最新 3.3 版。
與現有系統相比，新版 Cloudflare OWASP 核心規則集以及新增的引擎功能將帶來一些改進：
誤判更少，應用程式通用規則更爲強大
敏感度分數的掌控力度更大，清晰顯示每條規則對分數的貢獻度以及被觸發請求的總分數是多少
增加了 Paranoia Level - 可基於誤判風險輕鬆包含或排除規則群組
規則標記，藉此使用基於應用程式的相關規則來進行部署
Cloudflare OWASP 核心規則集
Cloudflare OWASP 核心規則集檢閲螢幕
為了協助將最新版本的 OWASP ModSecurity 核心規則集轉換為 Cloudflare 實施，我們的團隊還建構了一個 ModSecurity 至 wirefilter 語法轉換器。這樣一來，我們能夠在上游發佈任何改進後不久，輕鬆地部署和更新規則集，確保客戶始終獲得最新的版本。我們也計畫日後開放原始碼並將轉換器部署到使用者介面中，以方便客戶從基於 ModSecurity 的 WAF 遷移到 Cloudflare。
全域設定
從一開始，Cloudflare 一直在基於區域的模型上操作 Cloudflare WAF。這種方式非常適用於簡單的使用案例，即客戶保護少量應用程式，或者在單個區域中保護非常多樣化的應用程式。
更為複雜或統一的跨區域部署通常藉由 API 或自動化工具來實現，例如我們的 Cloudflare Terraform Provider。
有了新版 WAF，可以對單一帳戶下的任意流量進行篩檢並部署規則集。例如：
在我的所有區域部署 Cloudflare 託管規則集。
對路徑中不包含 /api/* 的所有流量部署 Cloudflare OWASP 核心規則集。
對來自我的 IP 的流量，停用我帳戶中的所有託管規則集。
這實現了一個強大的功能，只需按幾下滑鼠就能完成整個帳戶的 WAF 設定。
__對帳戶下任意應用程式部署 3 個規則集。
為實現這一點，規則集（一組規則）成為頭等概念，並具備原生版本控制，在使用者介面中直接提供復原和差異功能。我們計畫在未來幾個月內開始公佈這些功能。
基於帳戶的設定最初僅向 Enterprise 客戶開放，這些客戶現在就能聯繫客戶團隊來申請提前使用。自訂防火牆規則本身會在不久後遷移到新引擎，讓客戶也能自行建立自訂防火牆規則集，並按需部署到任何流量篩選。
新平台提供新功能
WAF 還有許多奧妙等待我們去發掘。我們的團隊已在奮力完善基於新版 WAF 打造的一套新功能，包括對引擎本身的改進、更出色的分析功能，以及對可採取行動之事件的可見度。實際上，整個引擎設計為 Cloudflare 許多基於規則型產品的基礎，最終目標是將整個 Cloudflare 設定呈現為一套規則。
與此同時，我們期待您的意見反應，也希望再接再厲，在創新之路上繼續前行。
.......
1Cloudflare Specials 是 Cloudflare 安全團隊根據對 Cloudflare 平台背後數百萬個 Web 應用程式的觀察和保護而編寫的規則。