讓你一看就會| Cloudflare WAF 設定指南
老實說，啟用 Cloudflare WAF 只是網站安全的第一步，真正的挑戰在於「如何調校」，避免它成為阻擋你生意的豬隊友。
📌 本文重點速覽：
- WAF 核心觀念：搞懂 Cloudflare WAF 不只是防火牆，更是保護你應用程式大腦的關鍵。
- 設定避坑指南：提供一份專家級的「防呆檢核表」，教你如何安全啟用，避免災難。
- 主流方案比較：客觀分析 Cloudflare WAF、AWS WAF 與 Akamai 的優劣，幫你做出明智選擇。
- 專家維運價值：揭示為何 WAF 是「精密儀器」而非「ON/OFF 開關」，以及專業託管的真實 ROI。
你可能覺得，只要在 Cloudflare 儀表板上將橘色雲朵點亮，再把 WAF 功能打開，網站就安全了。這是一個非常普遍、卻也極其危險的想法。一個未經細心調校的 Web Application Firewall (WAF)，輕則阻擋無效，讓駭客如入無人之境；重則過度敏感，將你的真實客戶與合作夥伴拒於門外，導致商機白白流失。
這篇文章，就是一位資深的資安顧問寫給你的實戰筆記。我們將帶你深入了解 Cloudflare Web Application Firewall 的核心，不僅教你如何正確使用這個強大的工具，更重要的是，建立一套完整的 Application Security 思維，讓你真正駕馭它，而不是被它綁架。
到底什麼是 WAF？跟一般防火牆差在哪？
簡單來說，WAF (Web Application Firewall)，或稱 Web 應用程式防火牆，是專門保護你「網站應用程式」的保鑣。
你可以想像一下，傳統防火牆就像你社區門口的警衛，他只看車牌和訪客登記（IP 位址和通訊埠），決定這台車能不能開進社區。但他不會管車上的人進到你家之後要做什麼。
而 WAF 則是你家大門的智慧警衛，他會檢查每一位訪客的「意圖和行為」，也就是分析 HTTP 請求的內容。他會判斷這個人是不是想撬門鎖 (SQL Injection)、在牆上塗鴉 (Cross-Site Scripting)，或者假冒成你家人的樣子想進門。
這就是所謂的第七層 (Layer 7) 防護，它看得懂應用程式的語言，因此能抵禦更複雜、更具針對性的攻擊。
傳統防火牆 vs. WAF 比較表
| 比較維度 | 傳統網路防火牆 | Web 應用程式防火牆 (WAF) |
|---|---|---|
| 防護層級 | OSI 第 3、4 層 (網路層、傳輸層) | OSI 第 7 層 (應用層) |
| 分析對象 | IP 位址、通訊埠 (Port) | HTTP/HTTPS 請求的內容、標頭、參數 |
| 主要功能 | 控制網路存取，區隔內外網 | 防禦網站應用程式漏洞攻擊 |
| 防禦範例 | 阻擋來自某個惡意 IP 的所有連線 | 阻擋一個包含惡意 SQL 語法的登入請求 |
| 類比 | 社區警衛 | 你家大門的智慧保鑣 |
Cloudflare WAF 的核心功能與方案選擇（Free/Pro/Business/Enterprise）
Cloudflare WAF 的核心功能都圍繞在「規則 (Rules)」上，主要分為兩大類：
- 託管規則集 (Managed Ruleset): 由 Cloudflare 的資安專家團隊維護和更新的規則包。這就像防毒軟體的病毒碼，能幫你自動防禦已知的常見威脅攻擊，例如 OWASP Top 10 常見威脅。
- 自訂規則 (Custom Rules): 你可以根據自己的業務邏輯，自行撰寫的專屬規則。例如，封鎖來自特定國家的流量、限制對某個 API 的存取頻率等。
不同方案的主要差異，就在於你能使用這些規則的「數量」和「深度」。
Cloudflare 方案 WAF 功能比較
Cloudflare 方案 WAF 功能比較
| 功能 / 方案 | Free (免費版) | Pro (專業版) | Business (商業版) | Enterprise (企業版) |
|---|---|---|---|---|
| Cloudflare 託管規則 | 提供一小部分免費規則 | ✅ (更多規則) | ✅ (完整規則集) | ✅ (完整 + 可自訂敏感度) |
| OWASP 核心規則集 | ❌ | ✅ | ✅ | ✅ |
| 自訂防火牆規則 | 5 條 | 20 條 | 100 條 | 1,000+ 條 |
| AI WAF (Attack Score) | ❌ | ❌ | ✅ | ✅ |
| 限速規則 (Rate Limiting) | 基礎版 | 基礎版 | 進階版 | 進階版 + 可自訂 |
| 適用對象 | 個人網站、部落格 | 小型商業網站 | 中小型企業、電商 (推薦起點) | 中大型企業、關鍵業務 |
簡單說，免費版只算是體驗，真正要談得上有效防護，至少要從 Business 方案開始。如果你想更深入了解哪個方案最適合你，或者想規劃更全面的網站應用程式安全與效能策略，可以免費諮詢，查看防禦方案。
Cloudflare Free 方案提供 Free Managed Ruleset；Pro 及以上方案可部署 Cloudflare Managed Ruleset 和 OWASP Core Ruleset。應依所需功能與規則數量選擇方案。（WAF 入門；方案可用性）
Cloudflare WAF 的三大迷思
Cloudflare WAF 的三大迷思：別讓錯誤觀念綁架你的網站安全
在我們深入設定之前，必須先破除幾個業界流傳已久的迷思。這些錯誤觀念，往往是導致安全漏洞或業務中斷的罪魁禍首。
| 迷思 ❌ (很多人這麼想...) | 事實 ✅ (但專家告訴你...) |
|---|---|
| 迷思 1:「Cloudflare 免費版就有 WAF，夠用了吧？」 | 事實：免費版提供 Free Managed Ruleset，也可建立最多 5 條自訂規則；但可用的託管規則集與進階功能依方案而異。（自訂規則方案限制；託管規則集方案可用性） |
| 迷思 2:「我把 Cloudflare WAF 的『OWASP 核心規則集』全開，就安全了。」 | 事實：這是災難的開始！直接「全部開啟並阻擋」極可能導致大量「誤報」，阻擋正常用戶和合作夥伴的 API 請求，造成商譽和營收損失。正確做法是先在「僅記錄 (Log)」模式下運行，分析並排除正常流量後，再分階段切換為「阻擋」模式。 |
| 迷思 3:「WAF 就是防火牆，有了它就不用管別的了。」 | 事實: WAF (Web Application Firewall) 主要工作在 OSI 第七層（應用層），防禦針對網站程式碼的攻擊。它無法取代網路層防火牆（防禦 L3/L4 DDoS），也無法防禦從雲端 SaaS 應用程式外洩的資料 (需 CASB/DLP)。WAF 只是縱深防禦的第一道防線，而非全部。 |
| 迷思 4:「AI WAF 會自動學習，完全不用人工介入。」 | 事實: AI WAF (如 Attack Score) 極大增強了偵測未知威脅的能力，但它仍需要人類專家來「解讀」其分析結果，並根據業務邏輯設定合適的閾值。AI 判斷為「可疑」的流量，仍需專家判斷該阻擋、質詢還是放行，以在安全與體驗間取得平衡。 |
| 迷思 5:「我的 WAF 儀表板顯示擋了很多攻擊，代表它運作得很好。」 | 事實: 數字高不代表防護效果好。你需要分析被阻擋的是否為真實威脅，還是只是無關緊要的掃描流量？更重要的是，你沒看到的（被繞過的攻擊）才是真正的風險。專業的維運服務會持續分析「放行」的流量，從中找出潛在的異常行為。 |
首次啟用 Cloudflare WAF 檢核表
【實戰教學】首次啟用 Cloudflare WAF？照著這份「防呆檢核表」走就對了
要安全地啟用 Cloudflare WAF，請務必遵循「先觀察，後調校，再上線」的三階段原則。這套流程是我們服務數百家企業客戶後，總結出的最佳實踐，能幫你避免 90% 的常見錯誤。
我見過太多客戶，滿心歡喜地打開所有規則，結果隔天客服電話就被打爆，說會員無法登入、購物車結不了帳。關鍵就在第一步：千萬不要直接 Block！
✅ 階段一：觀察與準備 (上線前 72 小時)
- 確認方案等級: 確保你的方案 (建議 Business 或以上) 支援足夠的 Managed Rules 和 Custom Rules。
- 開啟核心規則集: 進入 WAF -> Managed rules，啟用 Cloudflare Managed Ruleset 和 OWASP ModSecurity Core Rule Set。
- 🚨【關鍵步驟】將所有規則的預設動作設為 Log 或 Simulate: 絕對不要直接設為 Block。此舉讓你能在不影響用戶的情況下，觀察哪些正常行為會被誤判。
- 部署 Page Shield: 進入 WAF -> Page Shield，開啟基礎功能，開始監測第三方腳本。
✅ 階段二：分析與調校 (持續進行)
- 每日檢查安全事件: 進入 Security -> Events，篩選 Action taken: Logged/Simulated 的事件。
- 分析誤報來源: 尋找被誤擋的正常使用者 IP、URL 或請求標頭。常見誤報源：後台編輯器、支付閘道回調 (callback)、合作夥伴 API。
- 建立例外規則 (Exceptions): 針對誤報，點擊該事件，使用 Create exception 功能，將其排除在特定規則之外。例如：排除公司 IP 對後台 URL 的存取限制。
- 設定基本限速規則 (Rate Limiting): 針對登入頁面、搜尋 API 等關鍵端點，設定合理的請求頻率限制（例如：每 IP 10 秒內不得超過 5 次請求）。
✅ 階段三：逐步上線與監控 (上線後)
- 切換高信賴度規則: 將明確針對 SQLi, XSS 等高風險攻擊的規則，從 Log 模式謹慎切換為 Challenge 或 Block 模式。
- 監控業務指標: 在切換規則後，密切關注網站轉換率、使用者登入成功率等核心業務指標，確保沒有負面影響。
- 建立告警 (Alerts): 針對 WAF 規則觸發、DDoS 攻擊等關鍵事件設定通知，確保第一時間掌握狀況。
- 定期審查 (Review): 每月與你的團隊或像我們這樣的專業顧問一起回顧安全事件與規則有效性，進行「規則清洗」。
這套流程雖然繁瑣，但卻是確保 WAF 發揮最大效用且不傷及無辜的唯一途徑。如果你覺得這個過程太複雜，或沒有足夠的人力去持續監控，這也正是像歐米英泰這樣的專業託管服務商存在的價值。
主流 WAF 該如何選擇?
主流 WAF 大對決：Cloudflare vs. AWS WAF vs. Akamai 怎麼選？
選擇 WAF 不只是比較功能列表，更是一場策略選擇。我們從幾個關鍵維度，為你客觀分析三大主流 WAF 供應商的特點。
| 評估維度 | Cloudflare WAF | AWS WAF | Akamai App & API Protector | 歐米英泰的整合服務視角 |
|---|---|---|---|---|
| 部署簡易度 | ★★★★★ (極高) | ★★★☆☆ (中等) | ★★★★☆ (高) | 我們能根據你現有的雲端架構 (AWS/GCP/Azure) 設計最佳的引流與部署路徑，無論選擇哪個平台都能無痛導入。 |
| DDoS 防護能力 | ★★★★★ (頂級) | ★★★★☆ (高，需整合 Shield Advanced) | ★★★★★ (頂級，Prolexic 是業界標竿) | 我們能為你設計結合不同原廠優勢的DDoS 防護解決方案，甚至打造雙重清洗備援架構，應對國家級的毀滅性攻擊。 |
| 規則彈性 | ★★★★☆ (高，尤以 Enterprise 方案) | ★★★★★ (極高，但設定複雜) | ★★★★☆ (高，自適應規則是亮點) | 規則彈性是雙面刃。我們專家團隊的價值，在於能將複雜的彈性轉化為精準有效的防護策略，避免你「有力使不出」。 |
| AI/機器學習能力 | ✅ (Attack Score) | ✅ (Bot Control with ML) | ✅ (Adaptive Security Engine) | 我們不只看單一平台的 AI，而是能整合多方情資，判斷一個在 Cloudflare 看似正常的請求，是否在 Netskope 的行為分析中被標記為高風險。 |
| 生態系整合度 | 非常高 (整合 CDN, ZTNA, Magic WAN) | 極高 (與所有 AWS 服務無縫整合) | 高 (整合 CDN, Edge Computing) | 這是我們的核心價值。我們能將這三個獨立的強大生態系，「橫向」整合起來，打造真正的零信任安全縱深防禦。 |
| 專家託管支援 (MSP) | 需透過夥伴 (如歐米英泰) | 需自行處理或找 AWS 合作夥伴 | 需透過夥伴 | 我們提供 7x24、不分品牌、直接對接資深工程師的 No. One 等級支援，這是你直接跟原廠或一般代理商買不到的服務。 |
總結來說，沒有絕對的「最好」，只有「最適合」。我們的角色，就是基於對各大平台的深度理解，以及豐富的產業服務經驗，為你量身打造最符合你業務需求的應用程式防火牆解決方案。
不只是防禦：如何利用 WAF 解決真實的業務痛點？
一個好的 WAF 策略，應該從解決你的業務痛點出發。讓我們看看 WAF 如何在不同場景下發揮關鍵作用。
| 你的業務痛點/場景 | Cloudflare WAF 關鍵功能 | 歐米英泰的進階策略與整合方案 |
|---|---|---|
| 電商網站：促銷活動時，被大量黃牛機器人程式搶光限量商品，普通顧客怨聲載道。 | Bot Management + Rate Limiting | 我們會幫你設定更精細的機器人行為偵測，結合 Waiting Room (虛擬排隊)，並疊加 hCaptcha 進行人機驗證，確保活動公平性，保護品牌形象。 |
| 金融科技 (FinTech)：API 被頻繁測試，擔心有未知的商業邏輯漏洞被利用，導致詐欺交易。 | API Shield + Custom Rules | 我們會導入 Akamai API Security 進行深度的 API 邏輯分析與行為基準線建立，再將威脅情資回饋到 Cloudflare WAF 規則中，實現「邊緣防護+深度分析」的雙重保障。 |
| 新聞媒體：原創內容被惡意爬蟲大量抓取，不僅偷走流量，還影響伺服器效能。 | Super Bot Fight Mode + WAF Attack Score | 我們能利用 Cloudflare Workers (邊緣運算) 部署更複雜的爬蟲陷阱 (Honeypot)，並分析其行為模式，制定動態封鎖策略，在不影響 Google 等正常搜尋引擎爬蟲的前提下，精準打擊惡意爬取。 |
| 高科技製造業：供應鏈平台 (SCM) 對外開放，擔心成為駭客入侵內部網路的破口，且需滿足合規。 | Managed Rules (OWASP) + Access (ZTNA) | 我們會為你規劃完整的零信任安全架構，使用 Cloudflare Access 保護後端應用，並結合 Netskope DLP 監控是否有敏感設計圖等 IP 從平台外洩，建構從邊界到資料的全方位防護。 |
AI 助攻下的智慧防禦：Cloudflare 的 AI WAF 如何運作？
當我們談論 AI WAF，核心就是 Cloudflare 的 Attack Score 系統。傳統 WAF 像是一個靠「通緝犯名單（簽章碼）」抓人的警察，只能抓已知的壞人。而 AI WAF 則更像一位經驗豐富的偵探。
它利用機器學習，分析了來自 Cloudflare 全球網路上數萬億次的請求，從中學習「正常請求」和「惡意請求」的細微差別。因此，當一個全新的、前所未見的攻擊出現時，即使沒有特定的「簽章碼」，AI WAF 也能從其異常的行為模式中嗅出危險，並給出一個威脅分數 (1-99分，分數越低越危險)。(WAF Attack Score 以機器學習為請求分類；Enterprise 可使用 1–99 的數值分數，Business 則僅能使用 Attack Score Class 分類欄位。)
這正是 Cloudflare WAF 能夠主動防禦許多「零日漏洞 (Zero-Day Vulnerability)」的關鍵。例如，在 2024 年初的 Ivanti Connect Secure 重大漏洞事件中，Cloudflare 的 AI WAF 就在漏洞被公開披露之前，就已經憑藉其行為分析能力，主動偵測並攔截了相關的攻擊嘗試。這種主動性，是傳統 WAF 難以企及的優勢。想了解更多最新資安趨勢，歡迎關注我們的產業訊息。
為何我的 WAF 規則沒生效？資安專家的 5 步驟除錯指南
這是我們在技術支援中最常聽到的問題之一。「我明明設定了規則要 Block，為什麼惡意流量還是進來了？」別急，跟著以下步驟逐一排查，通常就能找到問題所在。
起點：我設定的 WAF 規則 (Block/Challenge) 似乎沒有阻擋預期的惡意流量。
- 問題：流量是否真的經過 Cloudflare？
- 否: 你的 DNS 設定可能有問題（例如，有人直接攻擊你的主機 IP）。
- 解決方案: 確保所有流量都通過 Cloudflare Proxy (橘色雲朵)，並鎖定你的源站防火牆，只允許來自 Cloudflare 公布的 IP 列表 的流量。
- 是: 繼續下一步。
- 否: 你的 DNS 設定可能有問題（例如，有人直接攻擊你的主機 IP）。
- 問題：規則表達式 (Expression) 是否正確？
- 檢查方法: 使用 WAF 規則編輯器中的 Edit expression 功能，檢查表達式是否有拼寫錯誤、大小寫錯誤或邏輯不符；相等比較可使用 field eq "value"。（Cloudflare 表達式語法）
- 最常見的錯誤是把 contains (包含) 用成了 equals (等於)，導致無法匹配帶有其他參數的 URL。
- 解決方案: 修正你的表達式。如果不確定，可以先建立一個 Log 規則來測試表達式是否能抓到你想要的流量。
- 問題：規則的順序 (Order) 是否正確？
- 檢查方法: Cloudflare 規則依序評估；Skip 會依其設定略過指定的安全功能或規則。只有設定為略過目前 ruleset 的剩餘自訂規則時，才會停止評估該範圍內的後續規則。
- 解決方案: 檢查你的規則列表，確保沒有一個更前面的、更寬鬆的 Allow 或 Skip 規則提前把流量放行了。通常，更具體的 Block 規則應該放在更前面。
- 問題：是否被「例外 (Exception)」或「Disabled Rule」影響？
- 檢查方法: 檢查 Managed rules 中，你認為應該生效的規則是否被意外地 Disable 了。同時，檢查 WAF Exceptions 列表，看看是否有一個寬鬆的例外把你的目標流量豁免了。
- 解決方案: 重新啟用被禁用的規則，或刪除/修改不合理的例外設定。
- 如果以上都檢查過了，還是沒用...
- 可能原因: 這可能是一個更複雜的問題，例如攻擊流量被巧妙地偽裝，或者涉及到多個規則的複雜交互。
- 下一步建議: 這時候，盲目修改只會讓情況更糟。最好的方法是收集完整的安全事件日誌 (Security Events Log)，並尋求專業協助。我們的專家團隊每天都在處理這類疑難雜症，可以快速幫你定位問題根源。
超越工具本身：為何你需要專業的 WAF 託管維運服務？
Cloudflare WAF 是一個極其強大的工具，但工具本身不會解決問題，善用工具的「專家」才會。這就像給你一台頂級的 F1 賽車，如果沒有專業的技師和賽車手，它也跑不出好成績。
這就是專業 WAF 託管維運服務 (Managed Service Provider, MSP) 的價值所在。
我常跟客戶說，你買 WAF，買的是「安心」。但真正的安心，不是來自那個儀表板，而是來自「知道有人在 7x24 小時幫你看著它」。
一個像歐米英泰這樣的專業服務商，能為你做的不只是初始設定：
- 持續監控與調校: 我們 7x24 監控你的流量，分析新型態攻擊，並持續優化你的 WAF 規則，在安全與效能間找到最佳平衡。
- 緊急事件應對: 當重大漏洞爆發或遭受大規模攻擊時，我們的專家團隊會立即介入，為你部署虛擬補丁或應變策略，縮短你的風險暴露時間。
- 客製化安全報告: 我們會定期提供你能看得懂的安全報告，解釋本月攔截了哪些重要威脅、規則的表現如何，並提供下一步的優化建議，讓你的安全投資透明化。
- 跨平台整合規劃: 作為台灣唯一榮獲 Cloudflare ASDP 資格的合作夥伴，我們不僅精通 Cloudflare 解決方案，更能將其與 Akamai、Netskope 等頂尖產品無縫整合，為你打造真正無懈可擊的資安檢測服務與防護體系。
說到底，你是希望自己成為資安專家，還是讓資安專家為你服務？如果你的時間更應該花在核心業務上，那麼把 WAF 的維運交給我們，絕對是更具 ROI 的選擇。免費諮詢，立即部署WAF 保護。
Cloudflare WAF 常見相關問題
Cloudflare WAF 常見相關問題
1. Cloudflare WAF 是什麼？
Cloudflare WAF 是一個雲端型的網站應用程式防火牆，它位於你的訪客和你的伺服器之間，能即時分析 HTTP/HTTPS 流量，並阻擋如 SQL Injection、XSS 等針對網站應用程式的攻擊。
2. Cloudflare WAF 是免費的嗎？
Cloudflare 的所有方案（包含免費版）都提供基礎的 WAF 功能，但功能非常有限。要獲得完整的託管規則集、OWASP 防護以及足夠的自訂規則，強烈建議至少使用 Business 方案。Cloudflare Free 方案提供 Free Managed Ruleset；Pro 及以上方案可部署 Cloudflare Managed Ruleset 和 OWASP Core Ruleset。自訂規則數量依方案而異。（託管規則集方案可用性；自訂規則方案限制）
3. WAF 是第 7 層防火牆嗎？
是的。WAF 專門在 OSI 模型的第七層（應用層）運作，因為它需要「看懂」HTTP 這類應用層的通訊協定，才能有效識別針對應用程式邏輯的攻擊。
4. Cloudflare WAF 如何防禦常見的網路攻擊？
它主要透過「託管規則集」（防禦已知威脅，如 OWASP Top 10）、「自訂規則」（針對特定業務邏輯設定防護）以及「AI WAF」（利用機器學習偵測未知和零日攻擊）三種方式來協同防禦。
5. Cloudflare WAF 是否支援自訂規則和限速？
是的，所有付費方案都支援自訂規則 (Custom Rules) 和限速規則 (Rate Limiting)，但可用數量和進階功能依方案等級而異。這是 WAF 是否能發揮最大價值的關鍵功能。
6. Cloudflare WAF 與 AWS WAF 有何不同？
主要差異在於部署模式、定價、生態系和管理哲學。Cloudflare 是一個整合性平台，易於上手；AWS WAF 則與 AWS 生態深度綁定，規則彈性極高但設定較複雜。選擇哪個取決於你現有的基礎架構和管理能力。
結論：你的下一步是什麼？
恭喜你！看完了這篇深度指南，你對 Cloudflare WAF 的理解已經超越了 90% 的使用者。現在，你面前有兩條清晰的路：
- 親自動手 (DIY) 優化: 如果你的業務規模尚可，且團隊具備一定的技術能力，你可以從現在開始，回頭檢視你的 WAF 設定，並嚴格遵循我們提供的「防呆檢核表」進行優化。這將大幅提升你的基礎防護能力。
- 尋求專家協助: 如果你的網站是核心營收來源、處理大量敏感資料，或者你根本沒有時間和人力去處理複雜的資安維運，那麼最明智的選擇，就是尋求專家的協助。
一個好的開始，是進行一次全面的架構體檢。歐米英泰的專家團隊很樂意為你提供免費的諮詢，評估你當前的安全態勢，並提供客製化的改善建議。別再獨自面對複雜的網路威脅，讓專家成為你最強大的後盾。立即連絡歐米英泰，免費諮詢。