← Dokumentace WAF / detections / threat-intelligence
Pole threat intelligence
Detekce threat intelligence vyplní následující pole, pokud se IP adresa klienta najde v databázi threat intelligence. Pokud IP adresa nalezena není, pole zůstanou prázdná.
Všechna pole jsou typu array. Použijte any() funkci s [*] zástupný znak pro porovnání hodnot.
| Pole | Popis |
|---|---|
Datové sady threat intelligence cf.intel.ip.datasets Array<String> |
Dataset, který danou IP adresu označil. Hodnoty: ddos, waf. |
Cílová odvětví cf.intel.ip.target_industries Array<String> |
Odvětví, na která tato IP adresa útočila. Přečtěte si cílová odvětví s platnými hodnotami. |
Jména útočníků cf.intel.ip.attacker_names Array<String> |
Jména aktérů hrozeb spojená s touto IP adresou (například CONVOLUTEDKRILL). |
Země útočníků cf.intel.ip.attacker_countries Array<String> |
Zdrojové země hrozivé aktivity, jako ISO 3166-1 Alpha 2 ↗ kódy. |
Cílové země cf.intel.ip.target_countries Array<String> |
Země, na které tato IP adresa útočila, podle ISO 3166-1 Alpha 2 ↗ kódy. |
Rozlišování velkých a malých písmen
Hodnoty rozlišují velká a malá písmena. Použijte velikost písmen uvedenou v příkladech: ddos (malá písmena), FR (kódy zemí velkými písmeny), Banking & Financial Services (velká písmena na začátku slov), BLACKBASTA (názvy útočníků velkými písmeny).
Chcete-li zjistit platné hodnoty pro svůj provoz, použijte Threat Events dashboardu.
Chování při shodě
Pole odrážejí veškerou aktivitu související s hrozbami pro danou IP adresu za posledních sedm dní, sloučenou do jedné sady hodnot na pole.
Hodnota v jednom poli nemusí pocházet ze stejné bezpečnostní události jako hodnota v jiném poli. Například tento výraz vytvoří shodu, pokud IP adresa má any aktivita pocházející z Číny a any aktivitu zaměřenou na bankovnictví, a to i z jednotlivých samostatných událostí:
any(cf.intel.ip.attacker_countries[*] == "CN") and any(cf.intel.ip.target_industries[*] == "Banking & Financial Services")Kombinování polí napříč dimenzemi vede k širším shodám, než byste čekali. Kombinovaná pravidla otestujte pomocí Log akce jako první.
Cílová odvětví
cf.intel.ip.target_industries pole používá pevně danou sadu názvů odvětví. Příklady:
AutomotiveBanking & Financial ServicesCryptocurrencyTelecommunications
Úplný seznam najdete v Threat Events.
