📘 תיעוד 132

ערכת הכללים המנוהלת לבדיקת פרטי גישה חשופים של Cloudflare

הודעת הוצאה משימוש

בדיקת פרטי גישה חשופים הוצאה משימוש.

עברו מבדיקת פרטי גישה חשופים אל זיהוי פרטי גישה שדלפו לשיפור האבטחה. כדי לשדרג את התצורה הנוכחית, עיינו במדריך השדרוג.

ערכת הכללים המנוהלת לבדיקת פרטי גישה חשופים של Cloudflare היא אוסף של כללים מוגדרים מראש עבור יישומי CMS מוכרים, שמבצעים חיפוש מול מסד נתונים ציבורי של פרטי גישה גנובים.

ערכת הכללים המנוהלת כוללת כללים עבור יישומי ה-CMS הבאים:

• WordPress
• Joomla
• Drupal
• Ghost
• Plone
• Magento

בנוסף, ערכת הכללים המנוהלת כוללת גם כללים גנריים עבור דפוסים נפוצים אחרים:

• בדיקת טפסים שנשלחים בבקשת POST ומכילים את הארגומנטים username ו-password
• בדיקת פרטי גישה שנשלחים כ-JSON עם המפתחות email ו-password
• בדיקת פרטי גישה שנשלחים כ-JSON עם המפתחות username ו-password

פעולת ברירת המחדל של הכללים בערכת הכללים המנוהלת היא Exposed-Credential-Check Header (השם שלה הוא rewrite ב-API ובאירועי אבטחה).

ערכת הכללים המנוהלת מכילה גם כלל שחוסם בקשות HTTP שכבר כוללות את כותרת ה-HTTP Exposed-Credential-Check, שבה משתמשת הפעולה Exposed-Credential-Check Header. בקשות אלה עלולות לשמש כדי לגרום למקור לחשוב שבקשה הכילה (או לא הכילה) פרטי גישה חשופים.

למידע נוסף על בדיקות של פרטי גישה חשופים, עיינו בבדיקה של פרטי גישה חשופים.

#הגדרה בלוח הבקרה

הערה

ערכת הכללים המנוהלת Exposed Credentials Check מוצגת בלוח הבקרה של Cloudflare רק אם פרסתם אותה בעבר. Cloudflare ממליצה להשתמש בזיהוי פרטי גישה שדלפו במקום זאת.

אפשר להגדיר את ההגדרות הבאות של ערכת הכללים המנוהלת לבדיקת פרטי גישה חשופים של Cloudflare בלוח הבקרה:

• הגדרת הפעולה לביצוע. כשמגדירים פעולה לערכת הכללים, עוקפים את פעולת ברירת המחדל שהוגדרה לכל כלל. הפעולות הזמינות הן: Block, Log, Non-Interactive Challenge, Managed Challenge ו-Interactive Challenge. כדי להסיר את עקיפת הפעולה, הגדירו את פעולת ערכת הכללים ל-Default.
• עקיפת הפעולה שמבצעים כללים בודדים. הפעולות הזמינות הן: Exposed-Credential-Check Header, Block, Log, Non-Interactive Challenge, Managed Challenge ו-Interactive Challenge. למידע נוסף, עיינו בפעולות זמינות.
• השבתת כללים מסוימים.
• התאמה של ביטוי הסינון. עם ביטוי מותאם, ערכת הכללים המנוהלת לבדיקת פרטי גישה חשופים של Cloudflare חלה רק על תת קבוצה של הבקשות הנכנסות.
• הגדרת תיעוד מטען.

לפרטים על הגדרת ערכת כללים מנוהלת בלוח הבקרה, עיינו בהגדרת ערכת כללים מנוהלת.

#הגדרה דרך ה-API

כדי להפעיל את ערכת הכללים המנוהלת לבדיקת פרטי גישה חשופים של Cloudflare עבור אזור נתון דרך ה-API, צרו כלל עם פעולת execute בערכת כללי נקודת הכניסה של השלב http_request_firewall_managed.

#דוגמה

דוגמה זו פורסת את ערכת הכללים המנוהלת לבדיקת פרטי גישה חשופים של Cloudflare לשלב http_request_firewall_managed של אזור נתון ($ZONE_ID) על ידי יצירת כלל שמריץ את ערכת הכללים המנוהלת. הכללים בערכת הכללים המנוהלת רצים עבור כל הבקשות הנכנסות.

1. הפעילו את הפעולה Get a zone entry point ruleset כדי לקבל את ההגדרה של ערכת כללי נקודת הכניסה עבור השלב http_request_firewall_managed. תצטרכו את מזהה האזור למשימה זו.

   Get a zone entry point ruleset, bash

   העתק

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/http_request_firewall_managed/entrypoint" \
       --request GET \
       --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   העתק

   {
       "result": {
           "description": "Zone-level phase entry point",
           "id": "<ENTRY_POINT_RULESET_ID>",
           "kind": "zone",
           "last_updated": "2024-03-16T15:40:08.202335Z",
           "name": "zone",
           "phase": "http_request_firewall_managed",
           "rules": [
               // ...
           ],
           "source": "firewall_managed",
           "version": "10"
       },
       "success": true,
       "errors": [],
       "messages": []
   }

2. אם ערכת כללי נקודת הכניסה כבר קיימת (כלומר, אם קיבלתם קוד מצב 200 OK ואת הגדרת ערכת הכללים), שימו לב למזהה ערכת הכללים בתשובה. לאחר מכן, הפעילו את הפעולה Create a zone ruleset rule כדי להוסיף כלל execute לערכת הכללים הקיימת, שפורס את ערכת הכללים המנוהלת לבדיקת פרטי גישה חשופים של Cloudflare (עם המזהה c2e184081120413c86c3ab7e14069605). כברירת מחדל, הכלל יתווסף בסוף רשימת הכללים שכבר נמצאים בערכת הכללים.

   Create a zone ruleset rule, bash

   העתק

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/$ENTRY_POINT_RULESET_ID/rules" \
       --request POST \
       --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
       --json '{
           "action": "execute",
           "action_parameters": {
                   "id": "c2e184081120413c86c3ab7e14069605"
           },
           "expression": "true",
           "description": "Execute the Cloudflare Exposed Credentials Check Managed Ruleset"
       }'

   העתק

   {
       "result": {
           "id": "<ENTRY_POINT_RULESET_ID>",
           "name": "Zone-level phase entry point",
           "description": "",
           "kind": "zone",
           "version": "11",
           "rules": [
               // ... any existing rules
               {
                   "id": "<RULE_ID>",
                   "version": "1",
                   "action": "execute",
                   "action_parameters": {
                       "id": "c2e184081120413c86c3ab7e14069605",
                       "version": "latest"
                   },
                   "expression": "true",
                   "description": "Execute the Cloudflare Exposed Credentials Check Managed Ruleset",
                   "last_updated": "2024-03-18T18:08:14.003361Z",
                   "ref": "<RULE_REF>",
                   "enabled": true
               }
           ],
           "last_updated": "2024-03-18T18:08:14.003361Z",
           "phase": "http_request_firewall_managed"
       },
       "success": true,
       "errors": [],
       "messages": []
   }

3. אם ערכת כללי נקודת הכניסה אינה קיימת (כלומר, אם קיבלתם קוד מצב 404 Not Found בשלב 1), צרו אותה באמצעות הפעולה Create a zone ruleset. כללו כלל יחיד במערך rules שמריץ את ערכת הכללים המנוהלת לבדיקת פרטי גישה חשופים של Cloudflare (עם המזהה c2e184081120413c86c3ab7e14069605) עבור כל הבקשות הנכנסות באזור.

   Create a zone ruleset, bash

   העתק

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
       --request POST \
       --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
       --json '{
           "name": "My ruleset",
           "description": "Entry point ruleset for WAF managed rulesets",
           "kind": "zone",
           "phase": "http_request_firewall_managed",
           "rules": [
                   {
                           "action": "execute",
                           "action_parameters": {
                                   "id": "c2e184081120413c86c3ab7e14069605"
                           },
                           "expression": "true",
                           "description": "Execute the Cloudflare Exposed Credentials Check Managed Ruleset"
                   }
           ]
       }'

#השלבים הבאים

כדי להגדיר את ערכת הכללים המנוהלת Exposed Credentials Check דרך ה-API, צרו עקיפות באמצעות Rulesets API. אפשר לבצע את ההגדרות הבאות:

• לציין את הפעולה לביצוע עבור כל הכללים בערכת הכללים על ידי יצירת עקיפה של ערכת כללים.
• להשבית או להתאים את הפעולה של כללים בודדים על ידי יצירת עקיפות של כללים.

לדוגמאות ליצירת עקיפות באמצעות ה-API, עיינו בעקיפת ערכת כללים מנוהלת.

בדיקת פרטי גישה חשופים בכללים מותאמים

מלבד הפעלת ערכת הכללים המנוהלת Exposed Credentials Check, אפשר גם לבדוק פרטי גישה חשופים בכללים מותאמים. תרחיש שימוש נפוץ אחד הוא יצירת כללים מותאמים בנקודות הקצה לאימות משתמשי קצה של היישום, כדי לבדוק פרטי גישה חשופים.

למידע נוסף, עיינו ביצירת כלל מותאם שבודק פרטי גישה חשופים.

#משאבים נוספים

למידע נוסף על עבודה עם ערכות כללים מנוהלות דרך ה-API, עיינו בעבודה עם ערכות כללים מנוהלות בתיעוד של Ruleset Engine.