# Cloudflare научилась блокировать трафик по живой разведке. И это уже не просто «умный WAF» - Site: VeraPoint News - Section: Новости - Date: 2026-06-09 - Canonical: https://verapointmedia.com/news/turning-cloudflare-s-threat-indicators-into-real-time-waf-rules/ - Markdown: https://verapointmedia.com/news/turning-cloudflare-s-threat-indicators-into-real-time-waf-rules.md - Summary: Cloudflare встроила threat intelligence прямо в WAF: теперь можно автоматически резать подозрительный трафик по именам угроз, целевым индустриям и типам атак. - Tags: #cloudflare #кибербезопасность #waf #threatintelligence #soc #автоматизация - Image: https://verapointmedia.com/static/content-assets/news/turning-cloudflare-s-threat-indicators-into-real-time-waf-rules/cover.webp ## Sources - https://blog.cloudflare.com/realtime-threat-intel-waf-rules/ - https://news.google.com/rss/articles/CBMibEFVX3lxTE1sZ21WaVJXRzNJYzV6YU5sbGI4Q01pb0xUaXBVLUpCTGpPZHI2M1VjQ08zaWFyNTNUdGFxRXNzNU52MmJFbHBZWmV6bW9xUERjM1hwUlRPbnRLbS03bk5uTUFVVENmV29IRlRRaA?oc=5 - https://news.google.com/rss/articles/CBMid0FVX3lxTE96Vms0dVU1Mk1Bb2kwS3ExbF8wZzZOQy1jeW0ydEZ4R0RmRFZWWG41dVh6eVBIaWhSUE03Q3dGRk5KamlvOE93UFBMczZ1cjJRNzBkXzNiTUtLcDlSejRRNktfckdkUmRZbTN3U2tueExvOEVhS0ZN?oc=5 - https://news.google.com/rss/articles/CBMilAFBVV95cUxQN3hhWW4zOF9Kb05tckNmR2tpOW9rdnZWN1dZMWVCXzQzdWhNek5aY3VrUVRTR2dlelJwOExqUnVUSG5sdmZJcllPZ3lDSnl1NTFtWUtsVW41M3U2V2VzTDIxYWtpLTUxblEyTnJMVzRJcmppU1BNM1BzbnVGOFlfaVF5Z1lNT0xES0draC1qNWtBbU1v?oc=5 --- ## Когда аналитик видит угрозу, а сервер уже сам нажимает «нет» Вот это, честно, довольно любопытный поворот: раньше команда безопасности могла видеть, что по миру бегают, например, Tycoon 2FA или RaccoonO365, но дальше начиналась вся эта человеческая магия — руками собрать правило, согласовать, не сломать ничего легитимного и успеть до следующей волны атак. Теперь Cloudflare обещает другой сценарий: threat intelligence, то есть разведданные об угрозах, прямо вшивается в WAF. WAF — это web application firewall, по-русски межсетевой фильтр для веб-приложений. Он стоит на входе и решает, пустить запрос или развернуть его обратно. И вот Cloudflare сейчас пытается сделать его не просто фильтром, а фильтром с актуальной памятью. ## Что именно они добавили Cloudflare запускает новые `cf.intel` поля. Если по-человечески, это такие встроенные признаки, на которые можно опираться в правилах WAF. Можно писать правила по: - названию threat actor, то есть конкретной группы угроз; - индустрии или стране, которую этот IP уже атаковал раньше; - типу атаки — DDoS, WAF-атаки, cybercrime и прочее; - времени, когда это наблюдалось в последний раз. И вот тут я на секунду остановилась: подождите, а это вообще нормально — блокировать не по тому, что IP «плохой» сам по себе, а по тому, что он связан с живой разведкой? Вообще да, это как раз и есть смысл. Но важная оговорка: это не магия и не универсальный запрет на всё подозрительное, а способ переносить уже найденные сигналы в автоматику. ## Почему это важнее, чем звучит в пресс-релизе Сама идея простая, почти скучная — а на практике очень дорогая по времени. В обычной жизни SOC, то есть Security Operations Center, центр мониторинга и реагирования, сначала видит событие, потом проверяет, потом решает, что с ним делать. А угрозы, как мы знаем, вежливо ждать не любят. Если ручная реакция занимает часы, то за эти часы можно уже получить доступ, утечку или хотя бы очень неприятный шум. Cloudflare здесь делает ставку на скорость инфраструктуры: если данные об угрозе уже есть, почему бы не использовать их сразу на уровне блокировки? И это особенно заметно для малых и средних компаний. У них часто нет большой выделенной команды, которая круглосуточно сидит в консоли и вручную крутит правила. А значит, любая автоматизация — это не «приятный бонус», а способ вообще не утонуть. ## Где здесь реальная польза, а где красивый контрольный жест Польза, на мой взгляд, вполне понятная. Если WAF умеет опираться на живую threat intelligence, команда может сократить время между «мы увидели угрозу» и «мы её ограничили» с часов до секунд. Для безопасности это не мелочь, а почти смена ритма. Но тут же и начинается взрослая часть истории. Потому что любая автоматическая блокировка — это не только защита, но и риск ложных срабатываний. Cloudflare обещает real-time blocking, то есть блокировку в реальном времени. Звучит мощно, но я бы не спешила хлопать в ладоши раньше проверки. Надо смотреть: - насколько просто это настраивается; - можно ли ограничить действие правила; - не прилетит ли по легитимному трафику; - удобно ли потом разбирать, почему конкретный запрос был заблокирован. Потому что если система слишком агрессивная, безопасность быстро превращается в «ну мы сами себя отрезали от части пользователей, зато красиво». ## Что это меняет для команды безопасности Вот здесь новость уже становится действительно практичной. Раньше threat intel часто была чем-то вроде умной ленты наблюдений: интересно, полезно, но отдельно от исполнительного механизма. Аналитик увидел активность, сделал вывод, передал дальше, и где-то на этом пути часть смысла терялась. Теперь Cloudflare пытается соединить наблюдение и действие в одной точке. Это удобно, если вам нужно: - быстрее закрывать повторяющиеся паттерны атак; - уменьшать ручную работу; - строить правила не только по IP, но и по контексту угроз; - реагировать на кампании, которые уже светились против похожих компаний или отраслей. То есть это не просто «ещё одна фича в панели». Это попытка сделать из threat intel не отчёт, а инструмент. ## Но не надо путать это с серебряной пулей И вот тут я бы чуть остудила восторг. Cloudflare не обещает, что теперь можно расслабиться и всё за вас решат умные поля. Нет. cf.intel — это динамические данные, а не старая добрая IP reputation база, которую можно один раз загрузить и жить спокойно. Здесь как раз вся ценность в том, что контекст живой и обновляемый. Но именно поэтому и цена ошибки может быть выше: если сигнал неверно интерпретирован, блокировка тоже будет очень живой и очень быстрой. Так что это хорошая новость не про «машины победили людей», а про более тонкий баланс: аналитик по-прежнему нужен, просто у него появляется инструмент, который может действовать быстрее руки. И, пожалуй, это и есть главный смысл релиза. Не столько новый словарь в интерфейсе, сколько новая скорость принятия решений. А в кибербезопасности скорость, как ни скучно это звучит, иногда и есть разница между «успели» и «не успели». ## Что делать тем, кто за это отвечает Если вы админите защиту, я бы смотрела на это как на повод проверить свой текущий WAF-процесс. Не в смысле «срочно всё перестраивать», а в смысле: - есть ли у вас вообще место, куда можно безопасно подставить live threat intel; - кто утверждает такие правила; - есть ли режим теста или постепенного включения; - как быстро вы увидите, если правило задело нормальных пользователей. Для маленькой команды это может стать очень полезным ускорителем. Для большой — ещё одним слоем автоматизации, который надо приручить, а не просто включить. Так что новость, в общем, правильная и довольно логичная. Но, как обычно, вся интрига не в слове «real-time», а в том, кто потом будет разбираться с последствиями, если реальное время решит сэкономить на аккуратности. ## Материалы - [Cloudflare Blog] Turning Cloudflare’s threat indicators into real-time WAF rules: https://blog.cloudflare.com/realtime-threat-intel-waf-rules/ - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMibEFVX3lxTE1sZ21WaVJXRzNJYzV6YU5sbGI4Q01pb0xUaXBVLUpCTGpPZHI2M1VjQ08zaWFyNTNUdGFxRXNzNU52MmJFbHBZWmV6bW9xUERjM1hwUlRPbnRLbS03bk5uTUFVVENmV29IRlRRaA?oc=5 - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMid0FVX3lxTE96Vms0dVU1Mk1Bb2kwS3ExbF8wZzZOQy1jeW0ydEZ4R0RmRFZWWG41dVh6eVBIaWhSUE03Q3dGRk5KamlvOE93UFBMczZ1cjJRNzBkXzNiTUtLcDlSejRRNktfckdkUmRZbTN3U2tueExvOEVhS0ZN?oc=5 - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMilAFBVV95cUxQN3hhWW4zOF9Kb05tckNmR2tpOW9rdnZWN1dZMWVCXzQzdWhNek5aY3VrUVRTR2dlelJwOExqUnVUSG5sdmZJcllPZ3lDSnl1NTFtWUtsVW41M3U2V2VzTDIxYWtpLTUxblEyTnJMVzRJcmppU1BNM1BzbnVGOFlfaVF5Z1lNT0xES0draC1qNWtBbU1v?oc=5