Cloudflare WAF ตรวจทั้ง Request และ Response ได้แล้ว พร้อมกฎหยุดคำตอบจาก Origin

Cloudflare ประกาศเมื่อ 21 ตุลาคม 2026 เพิ่มความสามารถสองอย่างให้ WAF ได้แก่ full transaction detections และ response rules โดยวิเคราะห์คำขอ HTTP ร่วมกับคำตอบจาก origin และสามารถหยุดคำตอบก่อนส่งกลับผู้ร้องขอได้ บริษัทระบุว่าเปิดให้ทุกแผนรวมถึง Free ใช้ ข่าวนี้น่าสนใจเพราะ WAF แบบเดิมมักตัดสินจาก request เพียงด้านเดียว ขณะที่หลักฐานว่าการโจมตีสำเร็จหรือไม่อาจปรากฏใน response

สิ่งที่เปลี่ยนไปในเส้นทางคำขอ

เมื่อมีคำขอที่ดูผิดปกติ WAF อาจบล็อกทันทีหากตรงกับกฎที่มั่นใจสูง แต่ payload ใหม่หรือคำขอที่หน้าตาใกล้กับผู้ใช้ปกติอาจทำให้กฎ request อย่างเดียวเลือกยาก ระหว่างปล่อยให้ผ่านกับยอมรับ false positive ที่กระทบผู้ใช้ Full transaction detection ช่วยเพิ่มบริบท: หาก request ต้องสงสัยตามด้วย response ที่มีร่องรอยข้อมูลลับหรือผลลัพธ์บางชนิด ความเสี่ยงย่อมต่างจาก response ที่เป็นการปฏิเสธตามปกติ

Response rules เป็นชั้นการตัดสินใจหลัง origin ทำงานแล้ว จึงสามารถกันไม่ให้คำตอบบางอย่างไหลกลับไปถึงผู้ร้องขอ Cloudflare ระบุว่ามีกฎที่จัดการให้และเปิดทางให้ลูกค้าสร้างนโยบายโดยใช้คุณสมบัติทั้งสองฝั่ง พร้อมผลตรวจใน Security Analytics เพื่อใช้สืบสวน ผู้ดูแลระบบควรจำไว้ว่าการบล็อก response อาจลดการรั่วไหลหรือ feedback ให้ผู้โจมตี แต่ไม่ได้ย้อนเวลาลบผลที่เกิดขึ้นภายใน origin เช่น การเขียนไฟล์หรือการเปลี่ยนข้อมูลที่สำเร็จไปแล้ว

เหตุผลที่ข่าวนี้สำคัญกับทีมปฏิบัติการ

Cloudflare ยกกรณี php2shell เป็นตัวอย่างแรกของ managed protections ที่ใช้แนวทางนี้ การมีสัญญาณจากคำตอบทำให้ทีมแยกการสแกนจำนวนมากออกจากเหตุการณ์ที่ควรตรวจเชิงลึกได้ดีขึ้น แต่ไม่ควรนับเหตุการณ์ที่ WAF block ว่าเป็นหลักฐานยืนยันว่าระบบหลังบ้านปลอดภัยทั้งหมด การประเมินเหตุการณ์จริงยังต้องดู access log, application log และการเปลี่ยนแปลงของระบบปลายทางประกอบ

ก่อนเปิดกฎใหม่ในเว็บสำคัญ ควรเลือก endpoint ตัวอย่างที่มีพฤติกรรมหลากหลาย ได้แก่ หน้า login, API ที่คืน JSON, การดาวน์โหลดไฟล์ และ error page ตรวจว่าการตอบกลับปกติถูกจัดประเภทอย่างไร แล้วกำหนดผู้รับผิดชอบตรวจ false positive บน Security Analytics กรณีแอปคืนข้อมูลอ่อนไหวโดยตั้งใจให้ผู้มีสิทธิ์ เช่น ใบแจ้งหนี้หรือรายงาน การวิเคราะห์ response ต้องเคารพขอบเขตสิทธิ์และรูปแบบผลลัพธ์ของแอป ไม่เช่นนั้นกฎที่กว้างเกินอาจขัดการใช้งานจริง

ทีมควรออกแบบการทดสอบแยกสองชั้น ชั้นแรกใช้คำขอจำลองที่ควรถูกปฏิเสธและคำขอปกติที่ควรผ่าน ชั้นที่สองตรวจข้อมูลที่ origin ได้รับและผลลัพธ์ที่ client เห็นจริง หาก response ถูกหยุดหลัง origin ประมวลผลแล้ว จะต้องมีแผนตรวจผลกระทบที่ backend ด้วย รวมถึงการ rollback กฎเมื่อมีการปิดกั้นผิดพลาด การเก็บตัวอย่างพร้อมเวลา request ID และเวอร์ชันกฎช่วยลดเวลาวิเคราะห์ภายหลัง

ข่าวนี้เพิ่มเครื่องมือให้ผู้ดูแลเว็บเห็นผลของการโจมตีในระดับธุรกรรมมากขึ้น แต่ยังต้องอัปเดตซอฟต์แวร์ต้นทาง ปิด endpoint ที่ไม่จำเป็น และกำหนดสิทธิ์ให้น้อยที่สุด การตั้ง WAF ให้ตอบสนองดีขึ้นเป็นชั้นป้องกันเสริม ไม่ใช่เหตุผลเลื่อนแพตช์

แหล่งข่าว: ประกาศ Cloudflare วันที่ 21 ตุลาคม 2026