← Документация WAF / analytics

Security Analytics

Security Analytics отображает информацию обо всех входящих HTTP-запросах к вашему домену, включая запросы, которые не обрабатывались продуктами безопасности Cloudflare. Это даёт полное представление о вашем трафике в целом, а не только о запросах, вызвавших срабатывание правила безопасности.

По умолчанию Security Analytics показывает запросы от конечных пользователей, то есть запросы, поступающие напрямую на ваш сайт, а не запросы, создаваемые продуктами Cloudflare. Запросы, создаваемые Cloudflare Workers подзапросы не включаются.

Используйте дашборд Security Analytics, чтобы:

• Просматривайте распределение трафика для вашего домена.
• Узнайте, какой трафик Предотвращено продуктами безопасности Cloudflare и о том, откуда обслуживается непредотвращённый трафик (глобальная сеть Cloudflare или origin server ↗).
• Анализируйте подозрительный трафик и создавайте адаптированные пользовательские правила WAF на основе применённых фильтров.
• Просмотрите показатели безопасности Cloudflare (показатель атаки, Bot Score, вредоносные загрузки, а также утекшие учётные данные результатов) с реальными данными о вашем трафике.
• Найдите подходящий лимит скорости для входящего трафика.
• Анализируйте подозрительный трафик (новая панель безопасности только).

Security Analytics показывает весь трафик независимо от того, отреагировал ли на него Cloudflare. Если вам нужны запросы, на которые отреагировали или которые отметили продукты безопасности Cloudflare, см. Security Events взамен.

Аналитика на уровне зоны/домена включена во все тарифные планы, хотя период хранения данных, окно запроса, отображаемая статистика и параметры фильтрации зависят от плана. Аналитика на уровне аккаунта доступна только клиентам с доменными тарифными планами Business и Enterprise.

Чтобы использовать Security Analytics:

Настройте область аналитики, вручную указав условия фильтра. Также можно выбрать Фильтр или Exclude чтобы фильтровать по значению поля. Эти кнопки появляются при наведении на легенду данных аналитики.

Чтобы добавить фильтр вручную:

При вводе значений фильтра учитывайте следующее:

• Не добавляйте кавычки вокруг значений.
• Не вводите AS префикс при вводе номеров ASN. Например, введите 1423 вместо AS1423.
• Подстановочные знаки не поддерживаются.

Выберите период, который нужно проанализировать, в Последние 24 часа раскрывающемся списке.

Чтобы создать пользовательское правило с выражением на основе фильтров, применённых вами в Security Analytics, выберите Создание собственного правила безопасности над основным графиком.

новая панель безопасности и старой панелью управления есть несколько различий, включая порядок расположения разделов на странице Security Analytics.

Раздел Подозрительная активность содержит информацию о подозрительных запросах, которые были выявлены включёнными вами функциями обнаружения Cloudflare. Поддерживаемые функции обнаружения включают:

• Захват аккаунта
• Проверка утёкших учётных данных (только для скомпрометированных имени пользователя и пароля)
• Вредоносные загрузки
• WAF attack score
• Безопасность ИИ для приложений

Каждая подозрительная активность классифицируется по баллу серьезности, который может варьироваться от критического до низкого. Для дальнейшего расследования можно использовать фильтр.

Основной график отображает следующие данные за выбранный период времени в зависимости от выбранной вкладки:

• Анализ трафика: Трафик, обработанный платформой безопасности Cloudflare, обслуженный Cloudflare и обслуженный исходным сервером, согласно следующей классификации:

  • Смягчено с помощью WAF: Запросы, заблокированные или Challenge продуктами Cloudflare для защиты приложений, такими как WAF и защита от HTTP DDoS-атак. Запросы с Log, Пропустить, или Allow действия не считаются устранёнными.
  • Обслужено Cloudflare: Запросы, обслуженные глобальной сетью Cloudflare, например кешированный контент и перенаправления.
  • Обслуживается origin-сервером: Запросы, обслуженные вашим исходным сервером.

• Анализ атак: WAF attack score анализ входящих запросов с классификацией их как Чисто, Вероятно чистый, Вероятная атака, или Атака.

• Анализ ботов: Показатель бота анализ входящих запросов с классификацией их как Automated, Likely automated, Вероятно человек, или Проверенный бот.

• Анализ частоты запросов: Отображает данные о скорости запросов для трафика, соответствующего выбранным фильтрам и периоду времени. Используйте эту вкладку, чтобы подобрать подходящий лимит частоты для входящего трафика, соответствующего применённым фильтрам.

• Анализ Cloudy (бета): получайте сведения о безопасности вашего приложения, делая запросы к данным на обычном языке. Дополнительные сведения см. в наша запись в блоге ↗.

В этом разделе представлена основная статистика по входящим запросам с акцентом на свойства, которые обычно используются при анализе безопасности.

Некоторые из наиболее частых значений можно отфильтровать или исключить, выбрав Фильтр или Exclude рядом с каждым значением.

Чтобы отобразить дополнительную основную статистику, выберите Дополнительная основная статистика.

Представленные показатели отображают статистику по часто используемым фильтрам при проведении анализа безопасности, не применяя эти фильтры сразу к отображаемым данным.

Если вы обнаружили высокое значение в одном или нескольких показателях, это может означать наличие группы подозрительных запросов, которые стоит изучить. Кроме того, эти показатели служат хорошей отправной точкой для применения первого набора фильтров в панели управления.

Чтобы применить фильтры рекомендации к данным, отображаемым на дашборде Security Analytics, выберите Фильтр рядом с этой рекомендацией.

Анализ атак, Анализ ботов, Вредоносные загрузки, а также Обнаружение злоупотреблений аккаунтом разделы отображают статистику показателей безопасности Cloudflare для входящих запросов за выбранный период времени:

• Анализ атак: Использует WAF attack scores чтобы классифицировать запросы по вероятности того, что запрос является вредоносным.
• Анализ ботов: Использует значения Bot Score чтобы классифицировать запросы по вероятности того, что они поступают из автоматизированного трафика.
• Вредоносные загрузки: Использует Сканирование содержимого WAF баллы для обнаружения потенциально вредоносного содержимого, загружаемого в запросах.
• Обнаружение злоупотреблений аккаунтом: Использует обнаружение утекших учётных данных чтобы выявлять попытки входа с использованием учётных данных, скомпрометированных в результате утечек данных. Все планы включают доступ к Проверка утёкших учётных данных в этом разделе. Дополнительную информацию о том, что делать при утечке учётных данных, см. в Пример правил противодействия.

Различные сегменты трафика можно изучать по текущей метрике (attack score, bot score или content scanning). Чтобы применить фильтры по показателю к разным сегментам, выберите кнопки под графиком трафика. Например, выберите Вероятная атака в разделе Анализ атак чтобы отфильтровать запросы, которые, вероятно, являются атакой (запросы со значением WAF Attack Score от 21 до 50).

Кроме того, под графиком можно использовать ползунок, чтобы фильтровать входящие запросы по текущей метрике. Это позволяет отфильтровать группы трафика за пределами предустановленных сегментов.

Security Analytics показывает журналы запросов за выбранный период с учётом применённых фильтров, а также подробную информацию и анализ безопасности этих запросов.

По умолчанию Security Analytics использует выборочные журналы, то есть подмножество вашего трафика, а не каждый отдельный запрос. Выборка позволяет Cloudflare возвращать результаты за секунды даже при большом объёме запросов. Если у вас подключена Log Explorer, у вас также может быть доступ к необработанные журналы.

В этом разделе содержится подробная информация журнала для отдельных (выборочный) запросов за выбранный период времени.

Отображаемая информация включает:

• Действие смягчения, применённое к запросу
• Статус кеша
• Код состояния, возвращаемый исходным сервером Cloudflare (в случае промаха кеша)
• Код состояния, возвращаемый Cloudflare клиенту
• Показатели безопасности запроса (атака, бот, сканирование загружаемого содержимого)
• Свойства запроса

Проводя криминалистический анализ, вы иногда выбираете очень короткий временной интервал и применяете несколько фильтров, чтобы выделить конкретный набор запросов. В такой ситуации, чтобы лучше понять картину входящих запросов в заданный момент времени, вам нужен полный список запросов, а не просто выборка.

По умолчанию Security Analytics показывает выборочные журналы на основе применённых вами фильтров. При определённых условиях вы можете переключиться на Необработанные логи. Это представление показывает все журналы запросов за выбранный период и фильтры вместо выборочных журналов. На данный момент это представление доступно только тогда, когда количество выборочных журналов на странице Security Analytics меньше 100.

Чтобы переключиться с выборочных журналов на необработанные журналы, выберите Переключитесь на необработанные журналы в разделе Sampled logs. Этот вариант доступен только тогда, когда количество (выборочных) журналов за выбранный период меньше 100.

Чтобы переключиться с необработанных журналов обратно на выборочные журналы, выберите Переключитесь обратно на выборочные журналы.

Можно переключиться на Log Explorer чтобы глубже проанализировать данные, применяя те же фильтры, которые вы использовали в Security Analytics. Необработанные логи в Security Analytics используют тот же источник данных, что и Log Explorer.

Дашборд Security Analytics использует выборочные данные, за исключением отображения необработанных журналов.

Если вы запрашиваете данные Security Analytics через GraphQL Analytics API, основными базовыми наборами данных являются httpRequestsAdaptiveGroups и httpRequestsAdaptive. Дополнительную информацию см. в Наборы данных (таблицы).

Хранение данных (исторический период) и максимальное окно запроса у наборов данных, поддерживающих Security Analytics, отличаются от набора данных, на основе которого работает Security Events.

Следующие таблицы показывают различные лимиты в зависимости от тарифного плана Cloudflare: