📘 תיעוד 124

תחילת העבודה

הערה

סריקת תוכן של WAF זמינה ללקוחות בתוכנית Enterprise עם תוסף בתשלום.

#1. הפעלת הזיהוי

1. בלוח הבקרה של Cloudflare, עבור לדף Settings של Security. מעבר אל Settings ↗
2. (אופציונלי) סנן לפי Detection tools.
3. הפעל את Malicious uploads detection.

השתמש בבקשת POST דומה לבאה:

הרשאות נדרשות לאסימון API

נדרשת לפחות אחת מהרשאות האסימון הבאות:

• Zone WAF Write
• Account WAF Write

הפעלת סריקת תוכן עבור אזור.bash

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/content-upload-scan/enable" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

השתמש במשאב cloudflare_content_scanning כדי להפעיל סריקת תוכן עבור אזור. לדוגמה:

resource "cloudflare_content_scanning" "zone_content_scanning_example" {
	zone_id = var.cloudflare_zone_id
	enabled = true
}

הערה

הפעלת זיהוי העלאות זדוניות יכולה להוסיף השהיה, מכיוון שאובייקטי תוכן ייסרקו. ההשהיה יכולה להשתנות בהתאם לגודל האובייקט.

#2. אימות התנהגות סריקת התוכן

השתמש ב-Security Analytics וביומני HTTP כדי לאמת שאובייקטי תוכן זדוניים מזוהים בצורה נכונה.

אפשר להשתמש ב-קובץ הבדיקה של EICAR נגד תוכנות זדוניות ↗︎ כדי לבדוק את סריקת התוכן (בחר את פורמט ZIP).

לחלופין, צור כלל מותאם אישית כמתואר בשלב הבא, עם פעולת Log במקום פעולת הפחתה כמו Block. הכלל הזה ייצור אירועי אבטחה שיאפשרו לך לאמת את התצורה.

#3. יצירת כלל מותאם אישית

צור כלל מותאם אישית שחוסם אובייקטי תוכן זדוניים שזוהו והועלו ליישום שלך.

לדוגמה, צור כלל מותאם אישית עם פעולת Block והביטוי הבא:

אם אתה משתמש ב-Expression Editor, הזן את הביטוי הבא:

(cf.waf.content_scan.has_malicious_obj)

פעולת הכלל: Block

הכלל הזה יתאים לבקשות שבהן Cloudflare מזהה אובייקט תוכן חשוד או זדוני. לרשימת השדות שסריקת התוכן של WAF מספקת, עיין ב-שדות סריקת תוכן.

אופציונלי: שילוב עם שדות אחרים של שפת הכללים

אפשר לשלב את הביטוי הקודם עם שדות ופונקציות אחרים של שפת הכללים. זה מאפשר להתאים אישית את היקף הכלל או לשלב סריקת תוכן עם תכונות אבטחה אחרות. לדוגמה:

• הביטוי הבא יתאים לבקשות עם אובייקטי תוכן זדוניים שהועלו לנקודת קצה מסוימת:

ביטוי בעת שימוש בעורך:

(cf.waf.content_scan.has_malicious_obj and http.request.uri.path contains "upload.php")

• הביטוי הבא יתאים לבקשות מבוטים שמעלים אובייקטי תוכן:

ביטוי בעת שימוש בעורך:

(cf.waf.content_scan.has_obj and cf.bot_management.score lt 10)

לדוגמאות נוספות, עיין ב-כללי דוגמה.

#4. (אופציונלי) הגדרת ביטוי סריקה מותאם אישית

כדי לבדוק תוכן שהועלה באופן שתצורת ברירת המחדל אינה מכסה, הוסף ביטוי סריקה מותאם אישית.

1. בלוח הבקרה של Cloudflare, עבור לדף Settings של Security. מעבר אל Settings ↗

2. (אופציונלי) סנן לפי Detection tools.

3. תחת Malicious uploads detection > Configurations, בחר בסמל העריכה.

4. בחר Add content location.

5. ב-Content location, הזן את ביטוי הסריקה המותאם אישית שלך. לדוגמה:

   העתק

   lookup_json_string(http.request.body.raw, "file")

6. בחר Save.

השתמש בבקשת POST דומה לבאה:

הרשאות נדרשות לאסימון API

נדרשת לפחות אחת מהרשאות האסימון הבאות:

• Zone WAF Write
• Account WAF Write

יצירת ביטויי סריקת תוכן מותאמים אישית עבור אזור.bash

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/content-upload-scan/payloads" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '[
		{
				"payload": "lookup_json_string(http.request.body.raw, \"file\")"
		}
	]'

הבקשה שלמעלה תוסיף את הביטוי הבא לרשימה הנוכחית של ביטויי סריקה מותאמים אישית:

lookup_json_string(http.request.body.raw, "file")

השתמש במשאב cloudflare_content_scanning_expression כדי להוסיף ביטוי סריקה מותאם אישית. לדוגמה:

resource "cloudflare_content_scanning_expression" "my_custom_scan_expression" {
  zone_id = var.cloudflare_zone_id
  payload = "lookup_json_string(http.request.body.raw, \"file\")"
}

למידע נוסף, עיין ב-ביטויי סריקה מותאמים אישית.