← Документация WAF / managed-rules

Проверка на скомпрометированные учётные данные

Многие веб-приложения уже сталкивались с подстановка учётных данных атаки за последнее время. В ходе таких атак выполняется огромное количество попыток входа с использованием пар логин/пароль из баз данных скомпрометированные учётные данные.

Cloudflare предлагает автоматизированные проверки на скомпрометированные учётные данные с помощью Cloudflare Web Application Firewall (WAF).

WAF предоставляет два механизма для этой проверки:

• Exposed Credentials Check Managed Ruleset, который содержит предопределенные правила для популярных CMS-приложений. Включив этот набор правил для зоны, вы сразу же активируете проверки на предмет утечки учетных данных для этих известных приложений. Управляемый набор правил доступен на всех платных планах.

• Возможность писать пользовательские правила на уровне аккаунта, которые проверяют скомпрометированные учётные данные по заданным вами критериям. Эта опция настройки доступна клиентам с планом Enterprise при наличии платного дополнения.

Cloudflare регулярно обновляет базы данных скомпрометированных учётных данных, на которых основана функция проверки скомпрометированных учётных данных.

Учётные данные (имя пользователя и пароль) в открытом виде никогда не покидают сеть Cloudflare. WAF использует только анонимизированную версию имени пользователя и пароля при определении наличия ранее раскрытых учётных данных. Cloudflare при этом следует подходу, основанному на k-анонимность, математическое свойство, описанное в следующей статье блога: Проверка утёкших паролей с помощью k-анонимности ↗.

При обнаружении скомпрометированных учётных данных WAF может выполнить одно из следующих действий:

• Заголовок Exposed-Credential-Check: Добавляет новый HTTP-заголовок к HTTP-запросам со скомпрометированными учётными данными. После этого ваше приложение на источнике может принудительно сбросить пароль, запустить процесс двухфакторной аутентификации или выполнить любое другое действие. Имя добавленного HTTP-заголовка: Exposed-Credential-Check и его значение составляет 1. Название действия: Rewrite в Security Events.

• Non-Interactive Challenge: Показывает неинтерактивную проверку клиентам, которые отправляют HTTP-запросы со скомпрометированными учётными данными.

• Managed Challenge: Помогает сократить время, которое люди тратят на решение CAPTCHA по всему интернету. В зависимости от характеристик запроса Cloudflare динамически выбирает подходящий тип проверки на основе определённых критериев.

• Block: Блокирует HTTP-запросы, содержащие скомпрометированные учётные данные.

• Log: Доступно только на тарифе Enterprise. Регистрирует запросы со скомпрометированными учётными данными в журналах Cloudflare. Рекомендуется для проверки правила перед переходом к более строгому действию.

• Interactive Challenge: Показывает интерактивную проверку клиентам, которые отправляют HTTP-запросы со скомпрометированными учётными данными.

Действие по умолчанию для правил в Exposed Credentials Check Managed Ruleset: Заголовок Exposed-Credential-Check (с именем rewrite в API).

Cloudflare рекомендует использовать только следующие действия: Заголовок Exposed-Credential-Check (с именем rewrite в API) и Log (log).

Помимо включения Exposed Credentials Check Managed Ruleset, вы также можете проверить утечку учетных данных в пользовательские правила. Один из распространённых сценариев использования: создание пользовательских правил на эндпоинтах аутентификации конечных пользователей вашего приложения для проверки скомпрометированных учётных данных. Правила, проверяющие скомпрометированные учётные данные, выполняются раньше правил ограничения скорости.

Чтобы проверять наличие скомпрометированных учётных данных в пользовательском правиле, включите в определение правила на уровне аккаунта проверку скомпрометированных учётных данных и укажите, как получать значения имени пользователя и пароля из HTTP-запроса. Дополнительную информацию см. в Создание пользовательского правила для проверки скомпрометированных учётных данных.