← Документация WAF / detections / threat-intelligence

Примеры правил

Custom rule и правило ограничения частоты запросов примеры использования поля Threat intelligence. Все поля являются массивами, поэтому используйте any() с [*].

Развёртывание с помощью Log (планы Enterprise), чтобы проверить совпадения перед применением:

• Выражение:
  any(cf.intel.ip.attacker_names[*] != "")
• Действие: Log

Просмотрите совпадения в Security Events, затем измените действие на Block или Managed Challenge.

• Выражение:
  any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")
• Действие: Block

• Выражение:
  any(cf.intel.ip.target_industries[*] == "Banking & Financial Services") and any(cf.intel.ip.attacker_names[*] == "BLACKBASTA")
• Действие: Managed Challenge

• Выражение:
  any(cf.intel.ip.attacker_countries[*] == "CN")
• Действие: Block

Блокировка запросов, отмеченных набором данных WAF threat intelligence, у которых также низкий оценка атаки:

• Выражение:
  any(cf.intel.ip.datasets[*] == "waf") and cf.waf.score lt 20
• Действие: Block

Правило ограничения скорости применяя более строгое ограничение скорости к помеченным IP-адресам для вашего API:

• Выражение:
  any(cf.intel.ip.datasets[*] == "ddos") and starts_with(http.request.uri.path, "/api/")
• Действие: Block когда частота превышена.