← Документация WAF / analytics

Security Events

Security Events позволяет проверить предотвращённые запросы и помогает адаптировать настройки безопасности. Используйте Security Events для изучения запросов, на которые отреагировали или которые отметили продукты безопасности Cloudflare, выявления ложных срабатываний и точной настройки правил безопасности.

Если вы хотите проанализировать весь входящий трафик, включая запросы, по которым Cloudflare не предпринимал никаких действий, см. Security Analytics взамен.

Основные элементы панели управления следующие:

• Сводка событий: Показывает количество событий безопасности в трафике за выбранный период времени, сгруппированных по выбранному измерению (например, Action, Host, Country).
• События по сервису: Отображает активность, связанную с безопасностью, по каждой функции безопасности (например, WAF, API Shield).
• Основные события по источникам: Предоставляет подробные сведения о трафике, отмеченном или обработанном функцией безопасности Cloudflare (например, IP-адреса, User Agent, пути, страны, хосты, ASN).
• Sampled logs: Группирует события безопасности по дате, показывая применённое действие и продукт безопасности Cloudflare.

Security Events отображает информацию о запросах, на которые отреагировали или которые отметили продукты безопасности Cloudflare, включая такие функции, как Browser Integrity Check. Один HTTP-запрос может породить одно или несколько событий безопасности при срабатывании функций защиты. Панель Security Events показывает именно эти отдельные события, а не сами HTTP-запросы.

Доступные функции зависят от вашего тарифного плана Cloudflare:

Чтобы открыть Security Events для заданной зоны:

1. На панели управления Cloudflare перейдите к разделу Аналитика страницу.

   Перейдите в Аналитика ↗

2. Выберите События на вкладке.

Кроме того, клиенты с планом Enterprise получают доступ к дашборду на уровне аккаунта:

Область охвата Security Events можно сузить с помощью нескольких фильтров и исключений, а также настроить длительность отчёта. Изменение длительности, фильтров или исключений влияет на аналитические данные, отображаемые на всей странице, включая Sampled logs и все графики.

Область аналитики можно настроить, вручную указав условия фильтра. Либо выберите Фильтр или Exclude чтобы фильтровать по значению поля. Эти кнопки появляются при наведении на легенду данных аналитики.

Чтобы добавить фильтр вручную:

При вводе значений фильтра учитывайте следующее:

• Не добавляйте кавычки вокруг значений.
• Не вводите AS префикс при вводе номеров ASN. Например, введите 1423 вместо AS1423.
• Подстановочные знаки не поддерживаются.

Чтобы изменить длительность отчёта, выберите нужное значение в раскрывающемся списке. Значение по умолчанию: Last 24 hours.

Доступные значения длительности отчёта зависят от вашего тарифного плана Cloudflare. См. Доступность для получения подробностей.

Чтобы создать пользовательское правило на основе текущих фильтров и исключений, выберите Создание собственного правила безопасности.

Сводка событий раздел показывает количество событий безопасности в трафике за выбранный период времени, сгруппированных по выбранному измерению (например, Действие, Host, Страна, или ASN).

Отображаемые данные можно скорректировать по одному из значений, выбрав Фильтр или Exclude при наведении на легенду.

События по сервису раздел содержит список активности по каждой функции безопасности Cloudflare (например, Управляемые правила или Правила ограничения скорости).

Область охвата Security Events можно ограничить одной из отображаемых служб, выбрав Фильтр или Exclude при наведении на легенду или при выборе соответствующего столбца графика.

В Основные события по источникам можно найти подробности о трафике, помеченном или обработанном функцией безопасности, например IP-адреса, User Agents, Пути, а также Страны.

Область охвата Security Events можно ограничить одним из перечисленных значений источника, выбрав Фильтр или Exclude при наведении на значение.

Sampled logs показывает подмножество событий безопасности за выбранный период времени с указанием даты, принятого действия и применённой функции безопасности Cloudflare. При больших объёмах трафика Cloudflare использует выборка чтобы возвращать результаты быстрее. Это означает, что не каждое отдельное событие может отображаться в списке.

События в Security Events отображаются по отдельности, а не по запросам. Например, если один запрос активирует три разные функции безопасности, Security Events покажет три отдельных события в Sampled logs.

Разверните каждое событие, чтобы проверить его подробности, и определите фильтры и исключения на основе значений полей события. Выберите Фильтр или Exclude кнопку, которая появляется при наведении на поле, чтобы добавить значение поля в список фильтров или исключений отображаемой аналитики. Чтобы скачать данные о событиях в формате JSON, выберите Экспорт JSON события.

Чтобы настроить столбцы, отображаемые в Sampled logs, выберите Изменить столбцы. Это даёт вам гибкость в зависимости от того, какой анализ вам нужно провести.

Например, если вы диагностируете проблему, связанную с ботами, может понадобиться отобразить User agent и Страна столбцы. Если же вы пытаетесь выявить DDoS-атаку, может быть полезно отобразить IP-адрес, ASN, а также Путь столбцы.

Сведения о большинстве действий, отображаемых в Sampled logs, см. Действия.

Помимо действий, которые можно выбрать при настройке правил в продуктах безопасности Cloudflare, вы также можете встретить события со следующими связанными действиями:

• Connection Close
• Force Connection Close

Сведения об этих действиях см. в Параметры HTTP DDoS Attack Protection.

Managed Challenge действие, которое может встречаться в Sampled logs доступен в следующих функциях и продуктах безопасности: пользовательские правила WAF, правила ограничения скорости, Bot Fight Mode, правила IP Access, правила User Agent Blocking и правила брандмауэра (устарели).

Набор из не более чем 500 необработанных событий можно экспортировать из Sampled logs в формате JSON. Экспортируйте данные о событиях, чтобы объединить и проанализировать данные Cloudflare вместе с собственными данными, хранящимися в отдельной системе или базе данных, например Система SIEM. Экспортируемые данные будут отражать все применённые вами фильтры.

Чтобы экспортировать отображаемые события (до 500), выберите Экспорт в Sampled logs.

Когда вы добавляете фильтр и задаёте длительность отчёта (временное окно) в Security Events, URL-адрес дашборда Cloudflare изменяется, отражая заданные вами параметры. Этим URL-адресом можно поделиться с другими пользователями, чтобы они могли анализировать ту же информацию, что видите вы.

Например, после добавления фильтра для Action equals Managed Challenge и установив длительность отчёта равной Last 3 days, URL-адрес должен выглядеть следующим образом:

https://dash.cloudflare.com/{account_id}/example.net/security/analytics/events?action=managed_challenge&time-window=4320

Чтобы распечатать или скачать отчёт-снимок, выберите три точки > Печать отчета.

Интерфейс печати вашего браузера предложит варианты печати или скачивания PDF-отчёта.

Сформированный отчёт будет отражать все применённые фильтры.

У Security Events в настоящее время есть следующие ограничения:

• Security Events может использовать выборочные данные для повышения производительности. См. Сэмплирование, где это описано подробнее.
• Дашборд Cloudflare может отображать неточное количество событий на странице. Запросы данных сильно оптимизированы, но это означает, что пагинация может работать некорректно, поскольку исходные данные могли быть сэмплированы. В GraphQL Analytics API такой проблемы с пагинацией нет.
• Сработало правила OWASP отображаются на странице Security Events в разделе Дополнительные журналы, но они не включаются в экспортированные файлы JSON.

Security Events может использовать выборочные данные. Если в вашем поиске используются выборочные данные, Security Events может отображать не все события, а фильтры могут возвращать не те результаты, которых вы ожидаете. Чтобы увидеть больше событий, выберите более короткий период времени (более узкий временной диапазон уменьшает объём данных, что снижает или полностью устраняет выборку).

Если вы запрашиваете данные Security Events через GraphQL Analytics API, базовым набором данных является firewallEventsAdaptive. Дополнительную информацию см. в Наборы данных (таблицы).

Дополнительную информацию о выполнении запросов к firewallEventsAdaptive набора данных см. Запрос событий Firewall Events через GraphQL.

Период хранения и окно запроса для firewallEventsAdaptive наборы данных отличаются от наборов данных, лежащих в основе Security Analytics.

Следующие таблицы показывают различные лимиты в зависимости от тарифного плана Cloudflare: