Когда входящие запросы соответствуют:
(any(cf.bot_management.detection_ids[*] eq 201326593) and cf.waf.credential_check.username_and_password_leaked)
С теми же характеристиками: IP
Когда скорость превышает:
- Запросы:
5 - Период: 1 минута
← Документация WAF / detections / leaked-credentials
Пример правил противодействия
Ограничение скорости подозрительных попыток входа со скомпрометированными учётными данными
Создание правила ограничения скорости с помощью обнаружение захвата аккаунтов (ATO) и поля скомпрометированных учётных данных, чтобы ограничить объёмные атаки с конкретных IP-адресов, JA4 Fingerprints или стран.
Следующее правило-пример применяет ограничение скорости к запросам с определённым ID обнаружения ATO (что соответствует Observes all login traffic to the zone) содержащие ранее скомпрометированные имя пользователя и пароль:
Проверка запросов, содержащих утёкшие учётные данные
Создание пользовательского правила который запрашивает прохождение проверки для запросов, содержащих ранее утекший набор учётных данных (имя пользователя и пароль).
-
Выражение: Если вы используете Expression Builder, настройте следующее выражение:
Поле Оператор Значение User and Password Leaked равно True Если вы используете Expression Editor, введите следующее выражение:
(cf.waf.credential_check.username_and_password_leaked) -
Действие: Managed Challenge
