Cloudflare가 HTTP 요청과 그 응답을 함께 보는 전체 트랜잭션 탐지와 응답 규칙을 발표했습니다. 의심스러운 요청뿐 아니라 서버가 반환한 결과를 고려하고, 필요한 경우 응답이 요청자에게 전달되기 전에 차단하는 기능입니다. Cloudflare 공식 발표
요청이 수상해 보이는지와 실제 응답에 민감한 정보가 있는지는 다른 신호입니다. 두 정보를 연결하면 탐지를 보완할 수 있지만, 원본 서버에서 이미 수행한 파일 변경이나 데이터 작업까지 취소할 수 있는 것은 아닙니다.
이 글의 목차
요청과 응답을 함께 보면 보이는 것
WAF는 웹 애플리케이션 앞에서 HTTP 트래픽을 살피는 방화벽입니다. 요청만 검사하면 공격처럼 보이는 입력을 찾을 수 있지만, 서버가 실제로 무엇을 돌려줬는지는 별도의 정보입니다. 같은 의심 요청이라도 인증 오류로 끝난 경우와 민감한 내용을 포함한 응답이 나온 경우는 다르게 조사해야 합니다. 요청과 응답을 연결하면 이 판단에 사용할 신호가 늘어납니다.
예를 들어 일반적으로 접근할 수 없어야 하는 관리 경로에 대한 요청이 로그인 화면으로 이동했는지, 성공 응답과 함께 관리 내용을 반환했는지 구분할 수 있습니다. 다만 상태 코드 하나만으로 노출을 확정하면 안 됩니다. 정상 앱도 오류 화면을 200으로 반환할 수 있으므로 응답 유형과 해당 경로의 실제 동작을 함께 확인해야 합니다.
탐지와 차단의 적용 지점은 다릅니다
탐지는 트래픽의 특징을 보고 의심 신호를 기록하는 일이고, 차단은 그 신호에 따라 전달을 막는 정책입니다. 응답 단계에서 막으면 요청자는 원본 응답을 받지 못할 수 있지만 원본 애플리케이션은 이미 요청을 처리했을 수 있습니다. 파일 쓰기나 데이터 변경처럼 서버 안에서 끝난 작업이 되돌아가는 것은 아니에요. 이 차이를 알아야 차단 이벤트를 올바르게 해석할 수 있습니다.
따라서 응답 차단 뒤에도 원본의 요청 처리 기록과 데이터 변경 여부를 조사합니다. WAF 이벤트의 요청 식별자와 시간을 앱 로그에 연결해 두면 조사하기 편합니다. 클라이언트에게 보인 차단 화면만 보관하면 서버 안에서 어떤 일이 있었는지 빠질 수 있으므로 네트워크 방어와 애플리케이션 증거를 함께 남깁니다.
정상 응답을 알고 나서 규칙을 넓힙니다
가상의 규칙 시험에서는 공개 페이지, 로그인 실패, 정상 관리자 접근, 파일 다운로드를 각각 대표 요청으로 준비합니다. 요청과 응답의 특징을 기록한 다음 제한된 경로에서 탐지 결과와 오탐을 검토합니다. 운영 데이터가 포함된 응답을 시험 자료로 널리 복제하지 않고, 필요한 근거만 접근이 제한된 장소에 보관합니다.
규칙을 적용한 뒤에는 차단 수와 함께 정상 요청의 실패율도 확인합니다. 장애 시 어떤 규칙을 되돌릴지와 원본 취약점의 수정 책임자를 따로 정합니다. WAF가 알려진 공격의 노출을 줄이는 역할을 하더라도 원본 패치와 권한 설계를 대신하지 않습니다. 사용 중인 계정의 규칙 범위와 지원 필드는 공식 안내에 맞춰 확인합니다.
응답 규칙 도입 순서
- 정상 트래픽의 상태 코드·헤더와 주요 응답 유형을 파악합니다.
- 제한된 경로에서 탐지와 오탐을 검토합니다.
- WAF 이벤트와 원본 로그를 같은 요청 단위로 연결합니다.
공급업체는 모든 요금제에 제공되는 기능을 안내하지만 세부 탐지·규칙 범위는 다릅니다. 사용할 계정에서 지원 범위와 적용 상태를 확인합니다.
발표문 기준일: 2026-10-21 · 확인일: 2026-10-24
