← Dokumentace WAF / detections

Detekce uniklých přihlašovacích údajů

Uniklé přihlašovací údaje detekce provozu prohledává příchozí požadavky na přihlašovací údaje (uživatelská jména a hesla), které dříve unikly z úniky dat ↗.

Když zapnete detekci uniklých přihlašovacích údajů, Cloudflare prohledává příchozí požadavky HTTP na uživatelská jména a hesla. Kontrola porovnává autentizační vzory z běžné webové aplikace a jakýkoli vlastní umístění detekce které nakonfigurujete.

Zjištěné přihlašovací údaje se porovnávají s databází známých uniklých přihlašovacích údajů. Tato databáze obsahuje:

• Have I Been Pwned (HIBP) ↗ datová sada shodných hesel (pouze hesla)
• Přihlašovací údaje shromážděné Cloudflare (uživatelská jména)
• Páry uniklých přihlašovacích údajů (uživatelské jméno a heslo)

Na základě výsledků Cloudflare naplní pole pro uniklé přihlašovací údaje pro skenované požadavky. Tato pole můžete použít dvěma způsoby:

• Analyzujte provoz: Zkontrolujte výsledky detekce v Security Analytics dashboardu zjistit, jak často se ve vašem provozu objevují uniklé přihlašovací údaje.
• Vytvoření pravidel: Použijte pole v vlastní pravidla nebo pravidla rate limitingu k vyzývání k ověření nebo blokování požadavků, které obsahují kompromitované přihlašovací údaje.

Uniklé přihlašovací údaje se mohou ve vašem provozu objevit z různých důvodů. Útočník může provádět credential stuffing ↗ útok, nebo legitimní uživatel může opakovaně používat dříve uniklé heslo.

Detekce uniklých přihlašovacích údajů poskytuje Managed Transform které přidává Exposed-Credential-Check hlavičku požadavku k odpovídajícím požadavkům. Hodnota hlavičky uvádí, co uniklo, například 1 pokud uživatelské jméno i heslo tvořily uniklou dvojici, 2 pokud uniklo uživatelské jméno, nebo 4 pokud uniklo pouze heslo.

Tuto hlavičku můžete na svém origin serveru použít k upozornění uživatelů a vyzvání k resetování hesla.

Podrobnosti o dostupných funkcích podle plánu najdete v Dostupnost na stránce detekcí provozu.

Detekce uniklých přihlašovacích údajů zahrnuje pravidla pro identifikaci přihlašovacích údajů v HTTP požadavcích u následujících známých webových aplikací:

• Drupal
• Joomla
• Ghost
• Magento
• Plone
• WordPress
• Microsoft Exchange OWA

Kontrola navíc zahrnuje obecná pravidla pro další běžné vzory webové autentizace.

Můžete také nakonfigurovat vlastní umístění detekce tak, aby odpovídalo konkrétnímu autentizačnímu mechanismu použitému ve vašich webových aplikacích. Vlastní umístění detekce sděluje Cloudflare WAF, kde v HTTP požadavcích vaší webové aplikace hledat uživatelská jména a hesla.

Výchozí kontrola zahrnuje běžné webové aplikace, ale vaše aplikace může přihlašovací údaje odesílat v jiném formátu nebo pod jiným názvem pole. Custom detection locations umožňují Cloudflare přesně sdělit, kde v HTTP požadavcích hledat uživatelská jména a hesla.

Pokud tělo JSON HTTP požadavku ověřujícího uživatele vypadá například takto:

{ "user": "<username>", "secret": "<password>" }

Vlastní detekční lokaci můžete nakonfigurovat s následujícím nastavením:

• Vlastní umístění uživatelského jména:
  lookup_json_string(http.request.body.raw, "user")
• Vlastní umístění hesla:
  lookup_json_string(http.request.body.raw, "secret")

Při zadávání vlastního umístění detekce stačí uvést pouze umístění pole s uživatelským jménem.

Následující tabulka obsahuje ukázková místa detekce pro různé typy požadavků:

Výrazy použité k určení vlastních umístění detekce mohou obsahovat následující pole a funkce:

• Pole:
  • http.request.body.form
  • http.request.body.multipart
  • http.request.body.raw
  • http.request.headers
  • http.request.uri.args
  • http.request.uri.query
• Funkce:
  • lookup_json_string()
  • url_decode()

Pokyny ke konfiguraci vlastního umístění detekce najdete v Začínáme.

Následující pole udávají typ shody uniklých přihlašovacích údajů, kterou Cloudflare zjistil. Tato pole použijte v vlastní pravidla nebo pravidla rate limitingu k reakci na požadavky obsahující kompromitované přihlašovací údaje.