← Документация WAF / managed-rules / reference

Cloudflare Sensitive Data Detection

Управляемый набор правил Cloudflare Sensitive Data Detection помогает выявлять утечки данных, возникающие на ваших исходных серверах. Его правила проверяют тело ответа на наличие паттернов распространённых чувствительных данных, включая:

• Персональные данные ↗ (PII), например номера паспортов.
• Финансовая информация, например номера банковских карт.
• Секреты, например API-ключи.

Включение Cloudflare Sensitive Data Detection не увеличивает задержку, поскольку обнаружение происходит вне пути ответа. Поэтому правила всегда развёртываются с Log действие (вы не можете заблокировать ответ, который уже был отправлен), что даёт вам видимость чувствительных данных, покидающих ваши исходные серверы.

После включения Cloudflare Sensitive Data Detection проверяет все ответы, отправляемые посетителям (согласно вашему пользовательскому выражению фильтра, если оно задано), включая ответы из кеша и ответы, обрабатываемые Workers.

Обнаружение обрабатывает содержимое типа text, HTML, JSON и XML в ответе размером до 1 МБ.

В настоящее время Cloudflare Sensitive Data Detection не поддерживает логирование совпавшего payload.

Набор правил Cloudflare Sensitive Data Detection можно настроить (или переопределить) на нескольких уровнях:

• Уровень набора правил
• Уровень тега
• Уровень правила

Более конкретные конфигурации (на уровне правила и тега) имеют более высокий приоритет, чем менее конкретные конфигурации (на уровне набора правил). См. Переопределение управляемого набора правил в документации Ruleset Engine, где приведена дополнительная информация.

В дашборде Cloudflare можно настроить (или переопределить) следующий параметр Cloudflare Sensitive Data Detection:

• Область действия: Если вы определяете пользовательское выражение фильтра для области действия, набор правил Cloudflare Sensitive Data Detection применяется только к подмножеству входящих запросов. По умолчанию управляемый набор правил, развёрнутый в панели управления, применяется ко всему входящему трафику.

После того как вы развернули набор правил Cloudflare Sensitive Data Detection, выполните следующие действия, чтобы настроить это в панели управления:

В дашборде можно настроить (или переопределить) следующий параметр для правил, помеченных хотя бы одним из выбранных тегов:

• Статус правила: Задаёт статус правила для всех правил с выбранными тегами.

После того как вы развернули набор правил Cloudflare Sensitive Data Detection, выполните следующие действия, чтобы настроить правила с определенными тегами в панели управления:

В дашборде можно настроить (или переопределить) следующий параметр для выбранных правил:

• Статус правила: Задаёт статус (включено или отключено) для одного правила или, если выбрано несколько правил, для всех выбранных правил.

После того как вы развернули набор правил Cloudflare Sensitive Data Detection, выполните следующие действия, чтобы настроить отдельные правила набора правил в панели управления:

Чтобы развернуть набор правил Cloudflare Sensitive Data Detection для заданной зоны с помощью API, создайте правило с execute действие в ruleset точки входа для http_response_firewall_managed фазы.

В этом примере набор правил Cloudflare Sensitive Data Detection развёртывается в http_response_firewall_managed фаза заданной зоны ($ZONE_ID) путём создания правила, которое выполняет управляемый набор правил. Правила в управляемом наборе правил выполняются для всех входящих запросов.

1. Вызовите Получить входной набор правил зоны операцию для получения определения входного набора правил для http_response_firewall_managed фаза. Вам понадобится ID зоны для этой задачи.

   Получить входной набор правил зоны

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/http_response_firewall_managed/entrypoint" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"result": {
   		"description": "Zone-level phase entry point (response)",
   		"id": "<RULESET_ID>",
   		"kind": "zone",
   		"last_updated": "2024-03-16T15:40:08.202335Z",
   		"name": "zone",
   		"phase": "http_response_firewall_managed",
   		"rules": [
   			// ...
   		],
   		"source": "firewall_managed",
   		"version": "10"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

2. Если входной набор правил уже существует (то есть если вы получили 200 OK код состояния и определение набора правил), запишите ID набора правил из ответа. Затем вызовите Создание правила набора правил зоны операцию для добавления execute правило в существующий набор правил, разворачивающий управляемый набор правил Cloudflare Sensitive Data Detection (с ID e22d83c647c64a3eae91b71b499d988e). По умолчанию правило добавляется в конец списка правил, уже присутствующих в наборе правил.

   Создание правила набора правил зоны

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/$RULESET_ID/rules" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"action": "execute",
   		"action_parameters": {
   				"id": "e22d83c647c64a3eae91b71b499d988e"
   		},
   		"expression": "true",
   		"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset"
   	}'

   {
   	"result": {
   		"id": "<RULESET_ID>",
   		"name": "Zone-level phase entry point (response)",
   		"description": "",
   		"kind": "zone",
   		"version": "11",
   		"rules": [
   			// ... any existing rules
   			{
   				"id": "<RULE_ID>",
   				"version": "1",
   				"action": "execute",
   				"action_parameters": {
   					"id": "e22d83c647c64a3eae91b71b499d988e",
   					"version": "latest"
   				},
   				"expression": "true",
   				"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset",
   				"last_updated": "2024-03-18T18:08:14.003361Z",
   				"ref": "<RULE_REF>",
   				"enabled": true
   			}
   		],
   		"last_updated": "2024-03-18T18:08:14.003361Z",
   		"phase": "http_response_firewall_managed"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

3. Если входной набор правил не существует (то есть если вы получили 404 Not Found код состояния на шаге 1), создайте его с помощью Создание набора правил зоны операцию. Включите одно правило в rules массив, который выполняет управляемый набор правил Cloudflare Sensitive Data Detection (с ID e22d83c647c64a3eae91b71b499d988e) для всех входящих запросов в зоне.

   Создание набора правил зоны

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "My ruleset",
   		"description": "Entry point ruleset for WAF managed rulesets (response)",
   		"kind": "zone",
   		"phase": "http_response_firewall_managed",
   		"rules": [
   				{
   						"action": "execute",
   						"action_parameters": {
   								"id": "e22d83c647c64a3eae91b71b499d988e"
   						},
   						"expression": "true",
   						"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset"
   				}
   		]
   	}'

Чтобы настроить управляемый набор правил Cloudflare Sensitive Data Detection через API, создайте переопределения с помощью Rulesets API. Вы можете выполнять следующие настройки:

• Отключите отдельные правила, создав переопределения правил.

Примеры создания переопределений через API см. в Переопределение управляемого набора правил.

Дополнительную информацию о работе с управляемыми наборами правил через API см. в Работа с управляемыми наборами правил в документации по Ruleset Engine.

Чтобы проверить утечки данных, обнаруженные Cloudflare Sensitive Data Detection, вы можете сделать следующее:

• Регулярно проверяйте Security Events для любых событий, создаваемых управляемым набором правил.
• Настройте Оповещения WAF чтобы получать уведомления о любых всплесках событий WAF. Для Advanced Security Events Alert вы можете фильтровать по одному или нескольким доменам на планах Enterprise и по Data Loss Protection службу для получения специальных оповещений о Sensitive Data Detection.