← Dokumentace WAF / analytics

Security Analytics

Security Analytics zobrazuje informace o všech příchozích HTTP požadavcích pro vaši doménu, včetně požadavků, které nezpracovávají bezpečnostní produkty Cloudflare. Získáte tak přehled o celém profilu provozu, nejen o požadavcích, které aktivovaly bezpečnostní pravidlo.

Security Analytics ve výchozím nastavení zobrazuje požadavky od koncových uživatelů, tedy požadavky směřující přímo na váš web, nikoli požadavky generované produkty Cloudflare. Požadavky generované Cloudflare Workers podpožadavky nejsou zahrnuty.

Pomocí dashboardu Security Analytics můžete:

• Zobrazte si rozložení provozu pro vaši doménu.
• Pochopte, jaký provoz je zmírněno bezpečnostními produkty Cloudflare a odkud je obsluhován neblokovaný provoz (globální síť Cloudflare nebo origin server ↗).
• Analyzujte podezřelý provoz a na základě použitých filtrů vytvářejte přizpůsobená vlastní pravidla WAF.
• Prohlédněte si bezpečnostní skóre Cloudflare (attack score, bot score, škodlivé nahrané soubory, a uniklé přihlašovací údaje výsledky) se skutečnými daty z vašeho provozu.
• Najděte vhodný rate limit pro příchozí provoz.
• Analyzujte podezřelý provoz (nový bezpečnostní dashboard pouze).

Security Analytics zobrazuje veškerý provoz bez ohledu na to, zda na něj Cloudflare zasáhl. Pokud hledáte požadavky, na které bezpečnostní produkty Cloudflare zasáhly nebo je označily, přejděte na Security Events místo toho.

Analytika na úrovni zóny/domény je součástí všech plánů, liší se však doba uchovávání, okno dotazu, zobrazované statistiky a možnosti filtrování podle plánu. Analytika na úrovni účtu je dostupná pouze zákazníkům s plány Business a Enterprise pro domény.

Chcete-li použít Security Analytics:

Rozsah analytiky můžete upravit ručním zadáním podmínek filtru. Můžete také vybrat Filtr nebo Vyloučit k filtrování podle hodnoty pole. Tato tlačítka se zobrazí při najetí myší na legendu dat v analytice.

Chcete-li ručně přidat filtr:

Při zadávání hodnot filtru mějte na paměti následující:

• Kolem hodnot nepřidávejte uvozovky.
• Nezadávejte AS jako předponu při zadávání čísel ASN. Zadejte například 1423 místo AS1423.
• Zástupné znaky nejsou podporovány.

Vyberte časové období, které chcete analyzovat, z Posledních 24 hodin rozbalovacího seznamu.

Chcete-li vytvořit vlastní pravidlo s výrazem založeným na filtrech, které jste použili v Security Analytics, vyberte Vytvořte vlastní bezpečnostní pravidlo nad hlavním grafem.

nový bezpečnostní dashboard a starým dashboardem existuje několik rozdílů, včetně pořadí jednotlivých sekcí na stránce Security Analytics.

Sekce Podezřelá aktivita poskytuje informace o podezřelých požadavcích identifikovaných detekcemi Cloudflare, které máte povolené. Mezi podporované detekce patří:

• Account Takeover
• Kontrola uniklých přihlašovacích údajů (pouze pro únik uživatelského jména a hesla)
• Škodlivé nahrávky
• Skóre útoku WAF
• AI Security for Apps

Každá podezřelá aktivita má přiřazené skóre závažnosti, které se pohybuje od kritické po nízkou. Podrobnější šetření umožňuje možnost filtrování.

Hlavní graf zobrazuje pro vybrané časové období následující data, podle zvolené karty:

• Analýza provozu: Provoz zmírněný bezpečnostní platformou Cloudflare, obsloužený Cloudflare a obsloužený origin serverem, podle následující klasifikace:

  • Zmírněno pomocí WAF: Požadavky blokované nebo vyzváno bezpečnostními produkty aplikací Cloudflare, jako je WAF a ochrana proti HTTP DDoS útokům. Požadavky s Log, Přeskočit, nebo Allow akce se nepočítají jako zmírněné.
  • Doručeno Cloudflare: Požadavky obsloužené globální sítí Cloudflare, například obsah z mezipaměti a přesměrování.
  • Obsluhováno originem: Požadavky obsloužené vaším origin serverem.

• Analýza útoků: Skóre útoku WAF analýzu příchozích požadavků a klasifikuje je jako Vyčistit, Pravděpodobně čistý, Pravděpodobný útok, nebo Útok.

• Analýza botů: Skóre bota analýzu příchozích požadavků a klasifikuje je jako Automated, Likely automated, Pravděpodobně člověk, nebo Ověřený robot.

• Analýza frekvence požadavků: Zobrazuje data o frekvenci požadavků pro provoz odpovídající vybraným filtrům a časovému období. Tuto kartu použijte k nalezení vhodného limitu frekvence pro příchozí provoz odpovídající použitým filtrům.

• Analýza Cloudy (beta): Získejte přehled o zabezpečení své aplikace tak, že se na svá data budete dotazovat běžným jazykem. Další informace najdete v náš blogový příspěvek ↗.

Tato část zobrazuje souhrnné statistiky o příchozích požadavcích a zvýrazňuje relevantní vlastnosti běžně používané při bezpečnostní analýze.

Některé nejčastější hodnoty můžete filtrovat nebo vyloučit výběrem Filtr nebo Vyloučit vedle každé hodnoty.

Chcete-li zobrazit další nejvýznamnější statistiky, vyberte Další nejvýznamnější statistiky.

Poskytnutá zjištění zobrazují statistiky běžně používaných filtrů při provádění bezpečnostních analýz, aniž by tyto filtry rovnou aplikovala na zobrazená data.

Pokud najdete vysokou hodnotu u jednoho nebo více zjištění, může to znamenat, že existuje sada podezřelých požadavků, které byste měli prošetřit. Tato zjištění jsou zároveň dobrým výchozím bodem pro nastavení první sady filtrů v dashboardu.

Chcete-li na data zobrazená v dashboardu Security Analytics použít filtry daného zjištění, vyberte Filtr vedle daného zjištění.

Analýza útoků, Analýza botů, Škodlivé nahrávky, a Detekce zneužití účtu části zobrazují statistiky týkající se bezpečnostního skóre Cloudflare pro příchozí požadavky ve vybraném časovém rozmezí:

• Analýza útoků: Používá WAF attack scores ke klasifikaci požadavků na základě pravděpodobnosti, že je požadavek škodlivý.
• Analýza botů: Používá bot score ke klasifikaci požadavků na základě pravděpodobnosti, že pocházejí z automatizovaného provozu.
• Škodlivé nahrávky: Používá WAF content scanning skóre pro detekci potenciálně škodlivého obsahu nahraného v požadavcích.
• Detekce zneužití účtu: Používá detekce uniklých přihlašovacích údajů k identifikaci pokusů o přihlášení pomocí přihlašovacích údajů, které unikly při úniku dat. Všechny plány zahrnují přístup k Kontrola uniklých přihlašovacích údajů v této části. Další informace o tom, co dělat, pokud máte odhalené přihlašovací údaje, najdete v Příklad pravidel zmírnění.

Různé segmenty provozu můžete zkoumat podle aktuální metriky (attack score, bot score nebo content scanning). Chcete-li použít filtry skóre pro různé segmenty, vyberte tlačítka pod grafem provozu. Například vyberte Pravděpodobný útok v části Analýza útoků k filtrování požadavků, které jsou pravděpodobně útokem (požadavky s hodnotami WAF attack score mezi 21 a 50).

Pod grafem můžete navíc použít posuvník k filtrování příchozích požadavků podle aktuální metriky. To vám umožní filtrovat skupiny provozu mimo předdefinované segmenty.

Security Analytics zobrazuje protokoly požadavků za zvolené časové období a s použitými filtry, spolu s podrobnými informacemi a bezpečnostními analýzami těchto požadavků.

Security Analytics ve výchozím nastavení používá vzorkované protokoly, tedy podmnožinu vašeho provozu, nikoli každý jednotlivý požadavek. Vzorkování umožňuje Cloudflare vracet výsledky během několika sekund i při velkém objemu dotazů. Pokud máte předplacenou Log Explorer, můžete mít také přístup k nezpracované protokoly.

Tato část obsahuje podrobné informace z protokolu pro jednotlivé (vzorkovaný) požadavků ve zvoleném časovém rozmezí.

Zobrazené informace zahrnují:

• Akce zmírnění uplatněná na požadavek
• Stav mezipaměti
• Stavový kód vrácený origin serverem Cloudflare (v případě cache miss)
• Stavový kód vrácený Cloudflare klientovi
• Bezpečnostní skóre požadavku (útok, bot, kontrola nahraného obsahu)
• Vlastnosti požadavku

Při forenzní analýze někdy zvolíte velmi krátké časové rozmezí a použijete několik filtrů, abyste určili konkrétní skupinu požadavků. V takové situaci, chcete-li lépe porozumět příchozím požadavkům v daném okamžiku, potřebujete úplný výčet požadavků, nikoli jen vzorek.

Security Analytics ve výchozím nastavení zobrazuje vzorkované protokoly na základě filtrů, které použijete. Za určitých podmínek můžete přepnout na Raw logy. Toto zobrazení ukazuje všechny protokoly požadavků za zvolené časové období a filtry místo vzorkovaných protokolů. V současnosti je toto zobrazení k dispozici jen tehdy, když je počet vzorkovaných protokolů zobrazených na stránce Security Analytics nižší než 100.

Chcete-li přepnout ze vzorkovaných protokolů na surové protokoly, vyberte Přepněte na nezpracované protokoly v části Sampled logs. Tato možnost je k dispozici jen tehdy, když je počet (vzorkovaných) protokolů za zvolené časové období nižší než 100.

Chcete-li přepnout ze surových protokolů zpět na vzorkované protokoly, vyberte Přepněte zpět na vzorkované protokoly.

Můžete přepnout na Log Explorer k hlubší analýze při zachování stejných filtrů, jaké jste použili v Security Analytics. Raw logy v Security Analytics vycházejí ze stejného zdroje dat jako Log Explorer.

Dashboard Security Analytics používá vzorkovaná data, kromě zobrazení nezpracovaných protokolů.

Pokud dotazujete data Security Analytics pomocí GraphQL Analytics API, primárními podkladovými datovými sadami jsou httpRequestsAdaptiveGroups a httpRequestsAdaptive. Další informace najdete v Datasety (tabulky).

Doba uchování dat (historické období) a maximální okno dotazu u datových sad podporujících Security Analytics se liší od datové sady, která pohání Security Events.

Následující tabulky zobrazují jednotlivé limity podle plánu Cloudflare: