תיעוד 125
תחילת העבודה
#לפני שמתחילים
- החשבון חייב לכלול מנוי Cloudforce One פעיל. פנו לצוות החשבון כדי לקבל גישה.
- ה-WAF חייב להיות מופעל באזור.
#1. יצירת כלל מאירועי איומים
הדרך המהירה ביותר ליצור כלל מודיעין איומים היא מתצוגה שמורה בלוח הבקרה Threat Events. סננו את האיומים שחשובים לכם, ואז ייצאו את המסננים ישירות לכלל WAF.
- בלוח הבקרה Threat Events, בנו תצוגה שמורה עם המסננים שעליהם תרצו לפעול (לדוגמה, כתובות IP שמכוונות למגזר הפיננסי בשבעת הימים האחרונים).
- ייצאו את התצוגה השמורה לכלל WAF. Cloudflare יוצרת ביטוי כלל מותאם שמתאים למסנני התצוגה השמורה.
- בדקו את הכלל שנוצר. הגדירו את הפעולה ל-Log כדי לאמת התאמות לפני אכיפה.
- פרסו את הכלל.
#2. בדיקת התאמות ב-Security Analytics
אחרי פריסת הכלל, ההתאמות מופיעות ב-Security Analytics. אפשר לראות את פרטי אירוע האיום, כולל שחקני איום, תעשיות יעד ומדינות, ישירות בתצוגת הניתוח.
- בלוח הבקרה של Cloudflare, עברו לעמוד Analytics. מעבר אל Analytics ↗
- בדקו את התאמות מודיעין האיומים. השתמשו בפרטי אירוע האיום כדי להחליט אילו קטגוריות של תעבורה לחסום או לאתגר.
אם לא מופיעות התאמות אחרי פריסת הכלל, פנו לצוות החשבון כדי לוודא שמנוי Cloudforce One פעיל.
#3. מעבר ל-Block או ל-Managed Challenge
כשאתם בטוחים בדפוסי ההתאמה, עדכנו את פעולת הכלל מ-Log ל-Block או ל-Managed Challenge.
לדוגמאות נוספות, ראו כללי דוגמה. לרשימת השדות המלאה, ראו שדות מודיעין איומים.
#4. (חלופה) יצירת כלל באופן ידני
אם אתם מעדיפים לכתוב ביטויים ישירות, אפשר ליצור כלל מלוח הבקרה או מה-API.
התחברו אל לוח הבקרה של Cloudflare ↗︎ ובחרו את החשבון ואת הדומיין.
עברו אל Security > Security rules.
בחרו Create rule > Custom rules.
הזינו שם לכלל.
בחרו Edit expression והזינו ביטוי שמשתמש בשדות מודיעין איומים. לדוגמה:
any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")הגדירו את הפעולה ל-Log כדי לאמת התאמות לפני אכיפה.
בחרו Deploy.
שדות מודיעין איומים עובדים עם Cloudflare API ועם ספק Terraform ↗︎. כדי ליצור כלל מותאם דרך ה-API, ראו יצירת כלל מותאם דרך API.
השתמשו בביטוי הבא כדי להתאים לכתובות IP שמשויכות לפעילות DDoS שמכוונת לצרפת:
any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")הגדירו את הפעולה ל-log כדי לאמת התאמות לפני אכיפה.