← Dokumentace WAF / detections / threat-intelligence
Příklady pravidel
Custom rule a pravidlo pro omezení frekvence příklady s použitím pole threat intelligence. Všechna pole jsou pole hodnot (array), proto použijte any() hodnotou [*].
Zaznamenávat shody před blokováním
Nasazení pomocí Log (plány Enterprise), abyste před vynucením zkontrolovali shody:
- Výraz:
any(cf.intel.ip.attacker_names[*] != "") - Akce: Log
Zkontrolujte shody v Security Events, poté změňte akci na Block nebo Managed Challenge.
Blokování účastníků DDoS útoků zaměřených na váš region
- Výraz:
any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos") - Akce: Block
Vyzývání k ověření útočníka zaměřeného na finanční sektor
- Výraz:
any(cf.intel.ip.target_industries[*] == "Banking & Financial Services") and any(cf.intel.ip.attacker_names[*] == "BLACKBASTA") - Akce: Managed Challenge
Filtrujte podle země útočníka
- Výraz:
any(cf.intel.ip.attacker_countries[*] == "CN") - Akce: Block
Kombinujte se skóre útoku
Blokování požadavků označených datovou sadou WAF threat intelligence, které mají zároveň nízké skóre útoku:
- Výraz:
any(cf.intel.ip.datasets[*] == "waf") and cf.waf.score lt 20 - Akce: Block
Omezte frekvenci útočníků na cestách API
Rate limiting rule uplatněním přísnějšího limitu na označené IP adresy ve vašem API:
- Výraz:
any(cf.intel.ip.datasets[*] == "ddos") and starts_with(http.request.uri.path, "/api/") - Akce: Block při překročení rychlosti.
