Cloudflare WAF Kini Bisa Cek Respons Server, Bukan Hanya Request

Cloudflare menambahkan dua kemampuan baru ke web application firewall (WAF) miliknya: full transaction detection dan response rules. WAF tidak lagi menilai request saja. Ia kini membaca request beserta respons dari server asal (origin), lalu bisa memblokir respons itu sebelum sampai ke pengirim request. Fitur ini tersedia untuk semua pelanggan Cloudflare, termasuk paket Free.

Kenapa inspeksi request saja tidak cukup

Latar belakangnya ada di perkembangan AI. Model frontier terbaru mampu menemukan celah yang terkubur dalam software populer. Itu membantu pihak bertahan tahu apa yang harus diperbaiki, tapi juga membuka jalur baru bagi penyerang. Celah php2shell yang baru-baru ini terungkap jadi contohnya: kelemahan di satu komponen umum bisa membahayakan aplikasi di seluruh Internet.

AI agent yang memindai celah bisa sangat gigih. Mereka menyesuaikan payload berdasarkan feedback dan merangkai celah, kredensial, serta izin akses. Respons aplikasi sering membocorkan apakah sebuah percobaan berhasil, dan informasi itu membantu penyerang melangkah lebih dalam.

Cloudflare WAF selama ini melindungi website dan API lewat managed rules, custom rules, dan rate limiting. Semuanya bekerja di level request. Di sini ada dilema: signature yang luas menangkap lebih banyak serangan, tapi bisa memunculkan false positive yang mengenai lalu lintas sah dan merusak aplikasi. Kalau hanya memasang aturan yang bebas false positive, risikonya turun, tetapi lalu lintas yang ambigu lebih mudah lolos ke server. Respons memberi bukti yang selama ini hilang, dan Cloudflare kini bisa mengaitkannya dengan request yang memicunya.

Contoh kasus: path traversal

Bayangkan aplikasi yang membolehkan pengguna mengunduh file. Penyerang memanipulasi parameter file untuk meminta file konfigurasi privat di luar direktori yang diizinkan, misalnya GET /download?file=../../config/database.ini. Inspeksi request bisa mengenali percobaan path traversal ini dan memblokirnya. Tapi request saja tidak bisa memastikan apakah aplikasi akan membuka file tersebut. Bisa jadi aplikasi menolak, mengabaikan traversal, atau mengembalikan error.

Kalau request lolos ke origin dan server membalas 200 OK bertipe text/plain dengan isi berupa username dan password database, buktinya jelas. Full transaction detection mengaitkan percobaan akses file itu dengan isi respons yang khas file konfigurasi privat. Teks mirip konfigurasi memang bisa muncul secara sah di dokumentasi atau file contoh, tapi jika digabung dengan percobaan traversal, buktinya lebih kuat daripada salah satu sinyal saja. Sebuah response rule lalu mengganti respons origin dengan halaman blokir Cloudflare WAF dan HTTP 403 sebelum sampai ke pengirim request, sehingga data sensitif tidak pernah sampai ke penyerang.

Full transaction detection dan mitigasi sengaja dipisah

Fitur ini memperluas kerangka always-on detection yang diperkenalkan Cloudflare awal tahun ini. Detection menganalisis lalu lintas dan menempelkan metadata pada request dan respons, sedangkan rules yang menentukan tindakan berdasarkan hasilnya. Dengan pemisahan ini, tim keamanan bisa melihat dulu detection di lalu lintas mereka sendiri lewat Security Analytics, memahami endpoint dan signature mana yang terlibat, lalu memilih tindakan yang cocok untuk aplikasinya. Hasilnya disimpan di field yang bisa dipakai di response custom rules atau managed detections. Berikut tiga field baru, yang meniru field untuk request detection:

• cf.waf.signature.response.confidence: nilai confidence untuk signature yang cocok
• cf.waf.signature.response.categories: kategori untuk signature yang cocok
• cf.waf.signature.response.ref: ID referensi signature, maksimal 10

Pelanggan bisa memakai managed protections dari Cloudflare atau menyusun kebijakan sendiri dengan menggabungkan properti request dan respons. Deteksi pertama berfokus pada konfirmasi eksploitasi untuk celah yang sedang ramai, dengan mengaitkan input mencurigakan dan sinyal respons yang menandakan serangan mungkin berhasil. Managed protections pertama menyasar celah php2shell. Cloudflare berencana memperluas cakupan, termasuk ke deteksi sinyal kebocoran dan eksfiltrasi data.

Buat kamu yang mengelola website atau API di belakang Cloudflare, kabar baiknya fitur ini tersedia juga di paket Free, jadi tidak perlu upgrade untuk mencobanya. Untuk usaha kecil yang tidak punya tim keamanan khusus, perlindungan yang bisa membedakan sekadar probing dari serangan yang benar-benar berdampak jelas lebih praktis.