← Dokumentace WAF / detections / threat-intelligence
Začínáme
Než začnete
- Váš účet musí mít aktivní Předplatné Cloudforce One. O přístup požádejte svůj account team.
- WAF musí být ve vaší zóně zapnuto.
1. Vytvořte pravidlo z Threat Events
Nejrychlejší způsob, jak vytvořit pravidlo threat intelligence, je z uloženého zobrazení v Threat Events dashboardu. Vyfiltrujte hrozby, které vás zajímají, a poté filtry exportujte přímo do pravidla WAF.
-
V dashboardu Threat Events vytvořte uložené zobrazení s filtry, podle kterých chcete jednat (například IP adresy cílící na finanční sektor za posledních sedm dní).
-
Exportujte uložené zobrazení do pravidla WAF. Cloudflare vygeneruje vlastní výraz pravidla, který odpovídá filtrům uloženého zobrazení.
-
Zkontrolujte vygenerované pravidlo. Nastavte akci na Log, abyste si shody ověřili ještě před vynucením.
-
Nasaďte pravidlo.
2. Zkontrolujte shody v Security Analytics
Jakmile je pravidlo nasazeno, shody se zobrazí v Security Analytics. Podrobnosti o bezpečnostní události, včetně aktérů hrozeb, cílových odvětví a zemí, si můžete prohlédnout přímo v zobrazení analytiky.
-
V dashboardu Cloudflare přejděte na Analytics stránce.
Přejděte na Analytics ↗ -
Zkontrolujte shody threat intelligence. Na základě podrobností o události rozhodněte, které kategorie provozu chcete blokovat nebo prověřit.
Pokud se po nasazení pravidla nezobrazí žádné shody, obraťte se na svůj tým podpory účtu a ověřte, že je vaše předplatné Cloudforce One aktivní.
3. Přepněte na Block nebo Managed Challenge
Jakmile si budete jistí vzory shod, změňte akci pravidla z Log na Block nebo Managed Challenge.
Další příklady najdete v Příklady pravidel. Úplný seznam polí najdete v Pole threat intelligence.
4. (Alternativa) Vytvořte pravidlo manuálně
Pokud dáváte přednost přímému zápisu výrazů, můžete pravidlo vytvořit v dashboardu nebo pomocí API.
-
Přihlaste se do Cloudflare dashboard ↗ a vyberte svůj účet a doménu.
-
Přejděte na Security > Bezpečnostní pravidla.
-
Vyberte Vytvořit pravidlo > Custom rules.
-
Zadejte název pravidla.
-
Vyberte Edit expression a zadejte výraz pomocí polí threat intelligence. Například:
any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos") -
Nastavte akci na Log, abyste si shody ověřili ještě před vynucením.
-
Vyberte Nasadit.
Pole threat intelligence fungují s Cloudflare API a Terraform provider ↗. Chcete-li vytvořit vlastní pravidlo přes API, podívejte se na Vytvoření vlastního pravidla přes API.
Použijte následující výraz k porovnání IP adres spojených s DDoS aktivitou zaměřenou na Francii:
any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")Nastavte akci na log, abyste si shody ověřili ještě před vynucením.
