← Dokumentace WAF / managed-rules / reference

Cloudflare Sensitive Data Detection

Spravovaná sada pravidel Cloudflare Sensitive Data Detection pomáhá odhalovat úniky dat generované vašimi origin servery. Její pravidla kontrolují tělo odpovědi a hledají vzory běžných citlivých dat, včetně:

• Osobní údaje ↗ (PII), například čísla cestovních pasů.
• Finanční informace, například čísla platebních karet.
• Secrets: Například klíče API.

Zapnutí Cloudflare Sensitive Data Detection nezpůsobí žádné dodatečné zpoždění, protože k detekci dochází mimo cestu odpovědi. Z tohoto důvodu jsou pravidla vždy nasazena s Log akce (odpověď, která již byla odeslána, nelze zablokovat), která vám poskytuje přehled o citlivých datech opouštějících vaše origin servery.

Po zapnutí Cloudflare Sensitive Data Detection kontroluje všechny odpovědi odesílané návštěvníkům (podle vašeho vlastního výrazu filtru, pokud je definován), včetně odpovědí z cache a odpovědí zpracovaných Workers.

Detekce zpracuje obsah typu text, HTML, JSON a XML v odpovědi až do velikosti 1 MB.

Cloudflare Sensitive Data Detection v současné době nepodporuje protokolování shodujícího se payloadu.

Sadu pravidel Cloudflare Sensitive Data Detection můžete konfigurovat (nebo přepsat) na několika úrovních:

• Úroveň sady pravidel
• Úroveň tagu
• Úroveň pravidla

Konkrétnější konfigurace (na úrovni pravidla a tagu) mají vyšší prioritu než méně konkrétní konfigurace (na úrovni sady pravidel). Viz Přepsání spravované sady pravidel v dokumentaci Ruleset Engine, kde najdete další informace.

V Cloudflare dashboardu můžete konfigurovat (nebo přepsat) následující nastavení sady Cloudflare Sensitive Data Detection:

• Rozsah: Pokud pro rozsah definujete vlastní filtrovací výraz, sada pravidel Cloudflare Sensitive Data Detection se použije jen na podmnožinu příchozích požadavků. Ve výchozím nastavení se spravovaná sada pravidel nasazená v dashboardu vztahuje na veškerý příchozí provoz.

Jakmile máte nasadili sadu pravidel Cloudflare Sensitive Data Detection, pro konfiguraci v dashboardu postupujte takto:

V dashboardu můžete konfigurovat (nebo přepsat) následující nastavení pro pravidla označená alespoň jedním z vybraných štítků:

• Stav pravidla: Nastaví stav pravidla pro všechna pravidla s vybranými štítky.

Jakmile máte nasadili sadu pravidel Cloudflare Sensitive Data Detection, pro konfiguraci pravidel s konkrétními tagy v dashboardu postupujte takto:

V dashboardu můžete konfigurovat (nebo přepsat) následující nastavení pro vybraná pravidla:

• Stav pravidla: Nastaví stav (povoleno nebo zakázáno) jednoho pravidla, nebo pokud vyberete více pravidel, stav pro vybraná pravidla.

Jakmile máte nasadili sadu pravidel Cloudflare Sensitive Data Detection, pro konfiguraci jednotlivých pravidel sady pravidel v dashboardu postupujte takto:

Chcete-li nasadit sadu pravidel Cloudflare Sensitive Data Detection pro danou zónu pomocí API, vytvořte pravidlo s execute akce v vstupní sada pravidel pro http_response_firewall_managed fáze.

Tento příklad nasazuje sadu pravidel Cloudflare Sensitive Data Detection do http_response_firewall_managed fáze dané zóny ($ZONE_ID) vytvořením pravidla, které spustí spravovanou sadu pravidel. Pravidla ve spravované sadě pravidel se spouštějí pro všechny příchozí požadavky.

1. Vyvolejte Získání vstupní sady pravidel zóny operaci k získání definice vstupní sady pravidel pro http_response_firewall_managed fáze. Budete potřebovat ID zóny pro tento úkol.

   Získání vstupní sady pravidel zóny

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/http_response_firewall_managed/entrypoint" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"result": {
   		"description": "Zone-level phase entry point (response)",
   		"id": "<RULESET_ID>",
   		"kind": "zone",
   		"last_updated": "2024-03-16T15:40:08.202335Z",
   		"name": "zone",
   		"phase": "http_response_firewall_managed",
   		"rules": [
   			// ...
   		],
   		"source": "firewall_managed",
   		"version": "10"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

2. Pokud vstupní sada pravidel již existuje (to znamená, pokud jste obdrželi 200 OK stavový kód a definici sady pravidel), poznamenejte si ID sady pravidel z odpovědi. Poté zavolejte Vytvoření pravidla sady pravidel zóny operaci pro přidání execute pravidlo do stávající sady pravidel nasazující spravovanou sadu pravidel Cloudflare Sensitive Data Detection (s ID e22d83c647c64a3eae91b71b499d988e). Ve výchozím nastavení se pravidlo přidá na konec seznamu pravidel, která už v sadě pravidel jsou.

   Vytvoření pravidla sady pravidel zóny

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/$RULESET_ID/rules" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"action": "execute",
   		"action_parameters": {
   				"id": "e22d83c647c64a3eae91b71b499d988e"
   		},
   		"expression": "true",
   		"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset"
   	}'

   {
   	"result": {
   		"id": "<RULESET_ID>",
   		"name": "Zone-level phase entry point (response)",
   		"description": "",
   		"kind": "zone",
   		"version": "11",
   		"rules": [
   			// ... any existing rules
   			{
   				"id": "<RULE_ID>",
   				"version": "1",
   				"action": "execute",
   				"action_parameters": {
   					"id": "e22d83c647c64a3eae91b71b499d988e",
   					"version": "latest"
   				},
   				"expression": "true",
   				"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset",
   				"last_updated": "2024-03-18T18:08:14.003361Z",
   				"ref": "<RULE_REF>",
   				"enabled": true
   			}
   		],
   		"last_updated": "2024-03-18T18:08:14.003361Z",
   		"phase": "http_response_firewall_managed"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

3. Pokud vstupní sada pravidel neexistuje (to znamená, pokud jste obdrželi 404 Not Found stavový kód v kroku 1), vytvořte ji pomocí Vytvoření rulesetu zóny operaci. Zahrňte jedno pravidlo do rules pole, které spouští spravovanou sadu pravidel Cloudflare Sensitive Data Detection (s ID e22d83c647c64a3eae91b71b499d988e) pro všechny příchozí požadavky v zóně.

   Vytvoření rulesetu zóny

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "My ruleset",
   		"description": "Entry point ruleset for WAF managed rulesets (response)",
   		"kind": "zone",
   		"phase": "http_response_firewall_managed",
   		"rules": [
   				{
   						"action": "execute",
   						"action_parameters": {
   								"id": "e22d83c647c64a3eae91b71b499d988e"
   						},
   						"expression": "true",
   						"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset"
   				}
   		]
   	}'

Chcete-li nakonfigurovat spravovanou sadu pravidel Cloudflare Sensitive Data Detection přes API, vytvořte přepisy pomocí Rulesets API. Můžete provést následující konfigurace:

• Jednotlivá pravidla vypněte vytvořením rule overrides.

Příklady vytváření přepisů pomocí API najdete v Přepsání spravované sady pravidel.

Další informace o práci se spravovanými sadami pravidel přes API najdete v Práce se spravovanými sadami pravidel v dokumentaci k Ruleset Engine.

Chcete-li zkontrolovat úniky dat zjištěné funkcí Cloudflare Sensitive Data Detection, můžete provést následující:

• Pravidelně kontrolujte Security Events pro jakékoli události generované spravovanou sadou pravidel.
• Nakonfigurujte Upozornění WAF abyste byli upozorněni na jakýkoli nárůst událostí WAF. U Advanced Security Events Alert můžete v plánech Enterprise filtrovat podle jedné nebo více domén a podle Data Loss Protection službu, abyste dostávali konkrétní upozornění týkající se Sensitive Data Detection.