← Документация WAF / detections / threat-intelligence
Поля Threat intelligence
Обнаружение на основе анализа угроз заполняет следующие поля, если IP-адрес клиента найден в базе данных анализа угроз. Если IP-адрес не найден, поля остаются пустыми.
Все поля являются массивами. Используйте any() функцию с [*] подстановочный знак для сопоставления значений.
| Поле | Описание |
|---|---|
Наборы данных Threat intelligence cf.intel.ip.datasets Array<String> |
Набор данных, отметивший IP-адрес. Значения: ddos, waf. |
Целевые отрасли cf.intel.ip.target_industries Array<String> |
Отрасли, на которые нацелен этот IP-адрес. См. Целевые отрасли допустимые значения. |
Имена злоумышленников cf.intel.ip.attacker_names Array<String> |
Названия субъектов угроз, связанных с этим IP-адресом (например, CONVOLUTEDKRILL). |
Страны злоумышленников cf.intel.ip.attacker_countries Array<String> |
Страны источника активности угроз, согласно ISO 3166-1 Alpha 2 ↗ коды. |
Целевые страны cf.intel.ip.target_countries Array<String> |
Страны, на которые нацелен этот IP-адрес, согласно ISO 3166-1 Alpha 2 ↗ коды. |
Учёт регистра
Значения чувствительны к регистру. Используйте регистр, показанный в примерах: ddos (нижний регистр), FR (коды стран в верхнем регистре), Banking & Financial Services (заглавные буквы в начале слов), BLACKBASTA (имена атакующих в верхнем регистре).
Чтобы определить допустимые значения для своего трафика, используйте Threat Events на дашборде.
Поведение сопоставления
Поля отражают всю угрожающую активность для IP-адреса за последние семь дней, объединённую в единый набор значений для каждого поля.
Значение в одном поле не обязательно должно относиться к тому же событию угрозы, что и значение в другом поле. Например, следующее выражение совпадает, если IP-адрес имеет any активность из Китая и any активность, нацеленную на банковские сервисы, даже из отдельных событий:
any(cf.intel.ip.attacker_countries[*] == "CN") and any(cf.intel.ip.target_industries[*] == "Banking & Financial Services")Объединение полей из разных категорий даёт более широкие совпадения, чем можно ожидать. Проверяйте объединённые правила с помощью Log действие сначала.
Целевые отрасли
cf.intel.ip.target_industries поле использует фиксированный набор отраслевых названий. Примеры:
AutomotiveBanking & Financial ServicesCryptocurrencyTelecommunications
Полный список см. в Threat Events.
