← Dokumentace WAF / analytics

Security Events

Security Events vám umožňuje zkontrolovat zmírněné požadavky a pomáhá vám přizpůsobit bezpečnostní konfigurace. Pomocí Security Events prozkoumejte požadavky, na které bezpečnostní produkty Cloudflare reagovaly nebo je označily, identifikujte falešně pozitivní výsledky a vylaďte svá bezpečnostní pravidla.

Pokud chcete analyzovat veškerý příchozí provoz, včetně požadavků, u kterých Cloudflare nepodnikl žádnou akci, přečtěte si Security Analytics místo toho.

Hlavní prvky dashboardu jsou následující:

• Souhrn událostí: Uvádí počet bezpečnostních událostí v provozu za vybrané časové období, seskupených podle vybrané dimenze (například Action, Host, Country).
• Události podle služby: Uvádí bezpečnostní aktivitu podle jednotlivých bezpečnostních funkcí (například WAF, API Shield).
• Nejčastější události podle zdroje: Poskytuje podrobnosti o provozu označeném nebo zpracovaném bezpečnostní funkcí Cloudflare (například IP addresses, User Agents, Paths, Countries, Hosts, ASNs).
• Sampled logs: Shrnuje bezpečnostní události podle data a zobrazuje provedenou akci a použitý bezpečnostní produkt Cloudflare.

Security Events zobrazuje informace o požadavcích, na které zasáhly nebo které označily bezpečnostní produkty Cloudflare, včetně funkcí jako Browser Integrity Check. Jeden HTTP požadavek může při aktivaci bezpečnostních funkcí vygenerovat jednu nebo více bezpečnostních událostí. Dashboard Security Events zobrazuje tyto jednotlivé události, nikoli samotné HTTP požadavky.

Dostupné funkce se liší podle vašeho plánu Cloudflare:

Chcete-li otevřít Security Events pro danou zónu:

1. V dashboardu Cloudflare přejděte na Analytics stránce.

   Přejděte na Analytics ↗

2. Vyberte Události kartě.

Zákazníci s plánem Enterprise mají navíc přístup k dashboardu na úrovni účtu:

Rozsah Security Events můžete zúžit pomocí více filtrů a výjimek a upravit dobu trvání přehledu. Změna doby trvání, filtrů nebo výjimek ovlivní analytická data zobrazená na celé stránce, včetně Sampled logs a všechny grafy.

Rozsah analýzy můžete upravit ručním zadáním podmínek filtru. Případně vyberte Filtr nebo Vyloučit k filtrování podle hodnoty pole. Tato tlačítka se zobrazí při najetí myší na legendu dat v analytice.

Chcete-li ručně přidat filtr:

Při zadávání hodnot filtru mějte na paměti následující:

• Kolem hodnot nepřidávejte uvozovky.
• Nezadávejte AS jako předponu při zadávání čísel ASN. Zadejte například 1423 místo AS1423.
• Zástupné znaky nejsou podporovány.

Chcete-li upravit dobu trvání sestavy, vyberte požadovanou dobu z rozevírací nabídky. Výchozí hodnota je Last 24 hours.

Dostupné hodnoty doby trvání sestavy závisí na vašem plánu Cloudflare. Viz Dostupnost s podrobnostmi.

Chcete-li vytvořit vlastní pravidlo na základě vašich aktuálních filtrů a výjimek vyberte Vytvořte vlastní bezpečnostní pravidlo.

Souhrn událostí část uvádí počet bezpečnostních událostí v provozu za vybrané časové období, seskupených podle vybrané dimenze (například Akce, Host, Země, nebo ASN).

Zobrazená data můžete upravit podle jedné z hodnot výběrem Filtr nebo Vyloučit při najetí myší na legendu.

Události podle služby část uvádí aktivitu podle jednotlivých bezpečnostních funkcí Cloudflare (například Spravovaná pravidla nebo Rate limiting rules).

Rozsah Security Events můžete omezit na jednu ze zobrazených služeb výběrem Filtr nebo Vyloučit při najetí myší na legendu nebo výběrem odpovídajícího sloupce grafu.

V Nejčastější události podle zdroje najdete podrobnosti o provozu označeném nebo zpracovaném bezpečnostní funkcí, například IP adresy, User Agenti, Cesty, a Země.

Rozsah Security Events můžete omezit na jednu z uvedených hodnot zdroje výběrem Filtr nebo Vyloučit při najetí myší na hodnotu.

Sampled logs zobrazuje podmnožinu bezpečnostních událostí za vybrané časové období, seřazených podle data s uvedenou akcí a použitou bezpečnostní funkcí Cloudflare. U velkých objemů provozu Cloudflare používá vzorkování, aby se výsledky vracely rychleji. To znamená, že se v seznamu nemusí zobrazit úplně každá jednotlivá událost.

Security Events se zobrazují po jednotlivých událostech, nikoli podle požadavků. Pokud například jediný požadavek aktivuje tři různé bezpečnostní funkce, Security Events zobrazí tři jednotlivé události v Sampled logs.

Rozbalte každou událost, zkontrolujte její podrobnosti a na základě hodnot polí události definujte filtry a výjimky. Vyberte Filtr nebo Vyloučit tlačítko po najetí myší na pole, čímž se hodnota pole přidá do filtrů nebo seznamu výjimek zobrazené analýzy. Chcete-li stáhnout data o událostech ve formátu JSON, vyberte Export JSON události.

Chcete-li nakonfigurovat sloupce zobrazené v Sampled logs, vyberte Upravit sloupce. To vám dává flexibilitu podle typu analýzy, kterou potřebujete provést.

Pokud například řešíte problém související s boty, může být užitečné zobrazit User agent a Země sloupce. Pokud se naopak snažíte identifikovat DDoS útok, může se vám hodit zobrazit IP adresa, ASN, a Cesta sloupce.

Podrobnosti o většině akcí, které se zobrazují v Sampled logs, přečtěte si Akce.

Kromě akcí, které můžete vybrat při konfiguraci pravidel v bezpečnostních produktech Cloudflare, se můžete setkat i s událostmi, které mají přiřazeny následující akce:

• Connection Close
• Force Connection Close

Podrobnosti o těchto akcích najdete v Parametry HTTP DDoS Attack Protection.

Managed Challenge akce, která se může objevit v Sampled logs je dostupné v následujících bezpečnostních funkcích a produktech: WAF custom rules, rate limiting rules, Bot Fight Mode, IP Access rules, User Agent Blocking rules a firewall rules (zastaralé).

Sadu až 500 nezpracovaných událostí můžete exportovat z Sampled logs ve formátu JSON. Exportujte data o událostech, abyste mohli data Cloudflare zkombinovat a analyzovat spolu s vlastními daty uloženými v samostatném systému nebo databázi, jako je Systém SIEM. Exportovaná data budou odrážet veškeré filtry, které jste použili.

Chcete-li exportovat zobrazené události (až 500), vyberte Export v Sampled logs.

Když v Security Events přidáte filtr a zadáte dobu trvání sestavy (časové okno), URL adresa dashboardu Cloudflare se změní tak, aby odrážela nakonfigurované parametry. Tuto URL adresu můžete sdílet s dalšími uživateli, aby si mohli prohlédnout stejné informace jako vy.

Pokud například přidáte filtr pro Action equals Managed Challenge a nastavením doby trvání sestavy na Last 3 days, URL adresa by měla vypadat následovně:

https://dash.cloudflare.com/{account_id}/example.net/security/analytics/events?action=managed_challenge&time-window=4320

Chcete-li vytisknout nebo stáhnout sestavu snímku, vyberte tři tečky > Vytisknout report.

Tiskové rozhraní vašeho webového prohlížeče vám zobrazí možnosti tisku nebo stažení sestavy PDF.

Vygenerovaná sestava bude odrážet všechny použité filtry.

Security Events má v současnosti následující omezení:

• Security Events může pro zlepšení výkonu využívat vzorkovaná data. Další informace najdete na Vzorkování s dalšími informacemi.
• Dashboard Cloudflare může zobrazovat nepřesný počet událostí na stránku. Datové dotazy jsou vysoce optimalizované, což ale znamená, že stránkování nemusí vždy fungovat, protože zdrojová data mohla být vzorkována. GraphQL Analytics API tento problém se stránkováním nemá.
• Aktivováno pravidla OWASP se zobrazí na stránce Security Events v části Další protokoly, ale nejsou součástí exportovaných souborů JSON.

Security Events může využívat vzorkovaná data. Pokud vaše hledání používá vzorkovaná data, Security Events nemusí zobrazit všechny události a filtry nemusí vrátit očekávané výsledky. Chcete-li zobrazit více událostí, vyberte kratší časové období (užší časový rozsah snižuje objem dat, čímž se vzorkování omezí nebo úplně odstraní).

Pokud dotazujete data Security Events pomocí GraphQL Analytics API, podkladovou datovou sadou je firewallEventsAdaptive. Další informace najdete v Datasety (tabulky).

Další informace o dotazování firewallEventsAdaptive sadu dat viz Dotazování na události firewallu pomocí GraphQL.

Doba uchovávání a okno dotazu pro firewallEventsAdaptive sady dat se liší od sad dat, které pohánějí Security Analytics.

Následující tabulky zobrazují jednotlivé limity podle plánu Cloudflare: