← Документация WAF / detections / threat-intelligence

Начало работы

Перед началом работы

У вашего аккаунта должен быть активный Подписка Cloudforce One. Для получения доступа обратитесь к вашей команде по работе с аккаунтом.
WAF должен быть включён в вашей зоне.

1. Создайте правило из Threat Events

Быстрее всего создать правило анализа угроз можно из сохранённого представления в Threat Events панели управления. Отфильтруйте интересующие вас угрозы, а затем экспортируйте фильтры напрямую в правило WAF.

На панели Threat Events создайте сохранённое представление с нужными фильтрами (например, IP-адреса, атакующие финансовый сектор за последние семь дней).
Экспортируйте сохранённое представление в правило WAF. Cloudflare сгенерирует пользовательское выражение правила, которое соответствует фильтрам сохранённого представления.
Просмотрите созданное правило. Установите действие Log чтобы проверить совпадения перед принудительным применением.
Разверните правило.

2. Проверьте совпадения в Security Analytics

После развёртывания правила совпадения отображаются в Security Analytics. Подробности о событии угрозы, включая источники угроз, целевые отрасли и страны, можно увидеть прямо в представлении аналитики.

На панели управления Cloudflare перейдите к разделу Аналитика страницу.
Перейдите в Аналитика ↗
Просмотрите совпадения threat intelligence. Используйте сведения о событии угрозы, чтобы решить, какие категории трафика блокировать или запрашивать проверку.

Если после развёртывания правила совпадений не появляется, обратитесь в свою команду по работе с аккаунтом, чтобы проверить, активна ли ваша подписка Cloudforce One.

3. Переключитесь на Block или Managed Challenge

Убедившись в правильности шаблонов совпадений, измените действие правила с Log к Block или Managed Challenge.

Дополнительные примеры см. в Примеры правил. Полный список полей см. в Поля Threat intelligence.

4. (Альтернативный вариант) Создайте правило вручную

Если вы предпочитаете писать выражения напрямую, вы можете создать правило в панели управления или через API.

Войдите в Панель управления Cloudflare ↗ и выберите свой аккаунт и домен.
Перейдите в Безопасность > Правила безопасности.
Выберите Создать правило > Custom rules.
Введите имя правила.
Выберите Edit expression и введите выражение с использованием полей threat intelligence. Например:
```
any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")
```
Задайте действие Log чтобы проверить совпадения перед принудительным применением.
Выберите Развернуть.

Поля Threat intelligence работают с Cloudflare API и Провайдер Terraform ↗. Чтобы создать пользовательское правило через API, см. Создание пользовательского правила через API.

Используйте следующее выражение, чтобы сопоставить IP-адреса, связанные с DDoS-активностью, нацеленной на Францию:

any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")

Задайте действие log чтобы проверить совпадения перед принудительным применением.