← Документация WAF / detections

Аналитика угроз

Обнаружение на основе анализа угроз сопоставляет входящие запросы с индикаторами в Cloudforce One базы данных анализа угроз. Обнаружение выполняется по IP-адресу клиента. Если этот IP был замечен в угрожающей активности за последние семь дней, Cloudflare заполняет поля Threat intelligence можно использовать в выражениях правил WAF.

Эти поля можно использовать в пользовательские правила и правила ограничения частоты запросов для сопоставления:

• Известные названия субъектов угроз (cf.intel.ip.attacker_names)
• Отрасли, на которые нацелен IP-адрес (cf.intel.ip.target_industries)
• Страны источника и назначения активности угроз (cf.intel.ip.attacker_countries, cf.intel.ip.target_countries)
• Набор данных, который отметил IP-адрес (cf.intel.ip.datasets, значения: ddos, waf)

Совпадения можно просмотреть в Security Analytics чтобы увидеть, какие субъекты угроз и кампании достигают вашего приложения.

База данных анализа угроз отражает скользящее окно за последние семь дней:

• IP-адрес, отмеченный ранее в течение периода, продолжает соответствовать правилу, даже если угроза больше не активна.
• IP-адрес исключается через семь дней после последней зафиксированной активности. Правила, которые ему соответствовали, перестают срабатывать без уведомления.

Требует активного Cloudforce One подписку. Для получения доступа обратитесь к вашей команде по работе с аккаунтом.

Прежде чем использовать поля threat intelligence в выражениях правил, необходимо включить WAF для вашей зоны.

• Поля Threat intelligence, Доступные поля и особенности сопоставления.
• Начало работы, Создайте своё первое правило анализа угроз.
• Threat Events, Исследуйте угрозы на панели Cloudforce One.