← Cloudflare One / cloudflare-one / traffic-policies

Kategorie domén

Cloudflare Gateway umožňuje blokovat známá i potenciální bezpečnostní rizika na veřejném Internetu a také konkrétní kategorie obsahu. Domény jsou kategorizovány podle Cloudforce One, řešení Cloudflare pro zpravodajství o hrozbách. Chcete-li zkontrolovat kategorie konkrétní domény, použijte Cloudflare Radar.

Cloudflare řadí domény do obsahových a bezpečnostních kategorií, které pokrývají bezpečnostní rizika a bezpečnostní hrozby:

• Kategorie obsahu: Kategorie obsahu pro domény dodává upstream dodavatel. Tyto kategorie nám pomáhají řadit domény do širokých tematických oblastí. Konkrétní kritéria a metody používané naším dodavatelem však nemusí být zveřejněny.
• Bezpečnostní rizika: Cloudflare určuje bezpečnostní rizika domén pomocí interních modelů. Tyto modely analyzují různé faktory, včetně stáří domény a její reputace, což nám umožňuje identifikovat potenciálně rizikové domény.
• Bezpečnostní hrozby: Za účelem identifikace škodlivých domén, které představují bezpečnostní hrozbu, Cloudflare využívá kombinaci interních datových zdrojů, modelů strojového učení, komerčních zdrojů dat a informací o hrozbách z otevřených zdrojů.

Bezpečnostní a obsahové kategorie můžete blokovat vytvořením zásad DNS nebo HTTP. Jakmile zásady nakonfigurujete, budete moci kontrolovat síťovou aktivitu a přidružené kategorie v protokolech Gateway.

Chcete-li požádat o změnu kategorizace domény, více informací najdete v Změňte kategorizaci. Další informace o zkoumání potenciálně rizikových domén najdete v Prošetřit hrozby.

Při vytváření zásady DNS pro kategorie zabezpečení nebo obsahu můžete volitelně zapnout Filtrovat provoz podle kategorie přeložené IP adresy v nastavení zásady. Po zapnutí bude Gateway blokovat dotazy nejen podle názvu domény, ale i podle přeložené IP adresy. Toto nastavení může zvýšit počet falešně pozitivních výsledků, protože domény v blokované kategorii mohou sdílet IP adresy s legitimními doménami.

Kategorie pro Canonical Name pobočky (CNAME) záznamy se mohou lišit od jeho A záznam. Například blog.example.com může být zařazena do kategorie Personal Blogs, zatímco example.com je zařazena do kategorie Technology. Chcete-li omezit shody DNS zásady pouze na kategorie kořenové domény, zapněte Ignorovat kategorie domén CNAME.

Bez ohledu na toto nastavení CNAME kategorie domén se budou i nadále zobrazovat ve vaší Gateway Logpush protokoly.

Nástroj Cloudflare pro kategorizaci domén vychází z několika zdrojů dat, mimo jiné:

1. Vlastní data Cloudflare využívající naši globální síť.

2. Zpravodajské zdroje třetích stran. Cloudflare čerpá data z více než 30 open-source zpravodajských zdrojů a prémiových komerčních zdrojů, jako jsou Avira a Zvelo.

Poté se počáteční kategorizace zpřesní pomocí:

3. Modely strojového učení. Naše algoritmy, včetně modelů pro DGA domény, DNS tunneling a detekci phishingu, analyzují vzorce a chování a odhalují nové a vyvíjející se hrozby.

4. Zpětná vazba komunity. Cloudflare v rámci hodnoticího procesu posuzuje zpětnou vazbu jak pomocí interních modelů, tak analytiků hrozeb. Díky tomu naše kategorizace odrážejí nejaktuálnější a nejpřesnější informace o hrozbách.

Uživatelé Terraformu mohou získat seznam kategorií pomocí cloudflare_zero_trust_gateway_categories_list zdroj dat. Díky tomu můžete vytvářet zásady Gateway podle názvu kategorie, a ne podle jejího číselného ID. Například:

data "cloudflare_zero_trust_gateway_categories_list" "categories" {
  account_id = var.cloudflare_account_id
}

locals {
  main_categories_map = {
    for idx, c in data.cloudflare_zero_trust_gateway_categories_list.categories.result :
    c.name => c.id
  }

  subcategories_map = merge(flatten([
    for idx, c in data.cloudflare_zero_trust_gateway_categories_list.categories.result : {
      for k, v in coalesce(c.subcategories, []) :
      v.name => v.id
    }
  ])...)
}

resource "cloudflare_zero_trust_gateway_policy" "zt_block_dns_tech_categories" {
  account_id = var.cloudflare_account_id
  name       = "DNS Blocked"
  action     = "block"
  traffic    = "any(dns.content_category[*] in {${join(" ", [
    local.main_categories_map["Technology"],
    local.subcategories_map["APIs"],
    local.subcategories_map["Artificial Intelligence"],
    local.subcategories_map["Content Servers"],
    local.subcategories_map["Translator"]
  ])}})"
}