Cloudflare, 위협 인텔리전스를 WAF 규칙에 직접 연동

Cloudflare 공식 블로그에 따르면 회사는 2026년 7월 13일 Cloudforce One 위협 인텔리전스를 웹 애플리케이션 방화벽(WAF) 규칙에 직접 활용할 수 있는 통합 기능을 공개했다. 보안팀은 이 기능을 통해 특정 공격자 이름, 표적 산업, 공격 출처 국가, 데이터셋 유형 같은 위협 신호를 WAF 조건으로 사용할 수 있다.

Cloudflare는 기존 보안 운영에서 위협 인텔리전스와 실제 차단 정책 사이에 간극이 있었다고 설명했다. 특정 IP가 특정 위협 행위자와 연결돼 있거나 특정 산업을 표적으로 삼았다는 정보를 알고 있어도, 이를 WAF에서 자동화된 차단 규칙으로 옮기려면 수동 설정이 필요했다는 것이다.

이번 통합은 이 과정을 줄이는 데 초점을 맞췄다. Cloudflare는 요청 초기 단계에서 위협 인텔리전스 필드를 채워 넣고, WAF가 이를 기준으로 트래픽을 평가할 수 있게 했다고 밝혔다. 새로 노출된 필드에는 cf.intel.ip.attacker_names, cf.intel.ip.target_industries, cf.intel.ip.attacker_countries, cf.intel.ip.target_countries, cf.intel.ip.datasets 등이 포함된다.

운영자는 이 필드를 기존 WAF 사용자 지정 규칙과 속도 제한 규칙에서 사용할 수 있다. 예를 들어 특정 국가를 표적으로 삼은 디도스 관련 IP를 차단하거나, 금융 산업을 겨냥한 특정 공격자 인프라를 식별해 방어 정책에 반영하는 식이다. Cloudflare는 API와 Terraform을 통한 자동화 구성도 지원한다고 설명했다.

Cloudflare는 위협 이벤트 데이터가 보안 분석 화면에도 기록된다고 밝혔다. 규칙이 어떤 조건에 의해 작동했는지, 어떤 위협 지표가 일치했는지를 사후 분석할 수 있도록 하는 방식이다. 위협 인텔리전스 대시보드의 필터를 저장한 뒤 이를 WAF 규칙으로 내보내는 흐름도 제공된다.

성능 측면에서는 위협 인텔리전스 데이터셋을 압축된 고성능 형식으로 전 세계 Cloudflare 데이터센터에 배포한다고 설명했다. 요청이 네트워크에 도달하면 로컬 데이터셋을 조회하는 구조이며, 회사는 대량 지표를 다루더라도 지연 시간 부담을 낮추는 데 초점을 맞췄다고 밝혔다.

이번 발표는 보안 제품이 단순 탐지 화면을 넘어 실시간 정책 집행과 결합되는 흐름을 보여준다. 특히 AI 기반 자동화와 공격 인프라 회전 속도가 빨라지면서, 위협 인텔리전스를 운영자가 수동으로 해석하는 단계를 줄이고 방어 규칙에 직접 연결하려는 수요가 커지고 있다.

해당 기능은 Cloudforce One 구독 고객을 대상으로 제공된다. Cloudflare는 초기 릴리스가 IP 기반 매칭에 초점을 맞추며, 향후 JA3 핑거프린트와 도메인 기반 매칭으로 확장하는 방안도 보고 있다고 밝혔다.

출처: Cloudflare Blog https://blog.cloudflare.com/realtime-threat-intel-waf-rules/