מדריך קלאודפלייר בעברית
לאתר הראשי כל המדריכים קלוד קוד קלוד דסקטופ גרוק CLI גרוק בוט MCP קרסור וואטסאפ OpenClaw n8n בענן n8n בהתקנה עצמית

תיעוד 137

זיהוי נתונים רגישים של Cloudflare

הערה

תכונה זו דורשת תוכנית Enterprise.

ערכת הכללים המנוהלת Cloudflare Sensitive Data Detection מסייעת לזהות דליפות נתונים שנוצרות בשרתי המקור שלכם. הכללים שלה פועלים על גוף התגובה ומחפשים תבניות של נתונים רגישים נפוצים, כולל:

  • מידע אישי מזהה ↗︎ (PII): לדוגמה, מספרי דרכון.
  • מידע פיננסי: לדוגמה, מספרי כרטיסי אשראי.
  • סודות: לדוגמה, מפתחות API.

הפעלת Cloudflare Sensitive Data Detection לא תוסיף השהיה נוספת, מכיוון שהזיהוי מתרחש מחוץ לנתיב התגובה. מסיבה זו, הכללים תמיד נפרסים עם הפעולה Log (אי אפשר לחסום תגובה שכבר נשלחה), ומספקים לכם נראות על הנתונים הרגישים שיוצאים משרתי המקור שלכם.

הערה

חלק מהכללים בערכת הכללים המנוהלת Cloudflare Sensitive Data Detection מושבתים כברירת מחדל, כדי למנוע חיוביים שגויים ומספר גדול של אירועים שנרשמים ביומן. כדאי לסקור את ה-PII ואת הנתונים הרגישים הרלוונטיים ליישום שלכם ולהפעיל את הכללים המתאימים בערכת הכללים המנוהלת, לפי ההוראות בסעיפים הבאים.

#הערות נוספות

כשהתכונה מופעלת, Cloudflare Sensitive Data Detection יבדוק את כל התגובות שנשלחות למבקרים (לפי ביטוי הסינון המותאם אישית שלכם, אם הוגדר), כולל תגובות מהמטמון ותגובות שמטופלות על ידי Workers.

הזיהוי יטפל בתוכן text, HTML, JSON ו-XML בתגובה עד 1 MB.

כרגע, Cloudflare Sensitive Data Detection לא תומך ב-matched payload logging.

#פריסת ערכת הכללים Cloudflare Sensitive Data Detection

הערה

נדרשת תוכנית Enterprise.

  1. בלוח הבקרה של Cloudflare, עברו אל דף ה-Settings של Security. מעבר אל Settings ↗
  2. (אופציונלי) סננו לפי Web application exploits.
  3. הפעילו את Sensitive data detection כדי לפרוס את ערכת הכללים.

#הגדרה בלוח הבקרה

אפשר להגדיר (או לעקוף) את ערכת הכללים Cloudflare Sensitive Data Detection בכמה רמות:

הגדרות ספציפיות יותר (רמת כלל ורמת תגית) מקבלות עדיפות גבוהה יותר מהגדרות פחות ספציפיות (רמת ערכת כללים). למידע נוסף, ראו Override a managed ruleset בתיעוד של Ruleset Engine.

#הגדרה ברמת ערכת הכללים

אפשר להגדיר (או לעקוף) בלוח הבקרה של Cloudflare את ההגדרה הבאה של Cloudflare Sensitive Data Detection:

  • Scope: כשמגדירים ביטוי סינון מותאם אישית עבור ההיקף, ערכת הכללים Cloudflare Sensitive Data Detection חלה רק על תת קבוצה של הבקשות הנכנסות. כברירת מחדל, ערכת כללים מנוהלת שנפרסה בלוח הבקרה חלה על כל התעבורה הנכנסת.

אחרי שפרסתם את ערכת הכללים Cloudflare Sensitive Data Detection, בצעו את הפעולות הבאות כדי להגדיר אותה בלוח הבקרה:

  1. בלוח הבקרה של Cloudflare, עברו אל דף ה-Settings של Security. מעבר אל Settings ↗
  2. (אופציונלי) סננו לפי Web application exploits.
  3. עבור Sensitive data detection, בחרו ב-Configured ruleset: <SCOPE> כדי לערוך את היקף ערכת הכללים.
    החליטו אם להחיל את ערכת הכללים המנוהלת על כל הבקשות הנכנסות (היקף גלובלי) או על תת קבוצה.
  4. אם בחרתם ב-Custom filter expression, הגדירו את ביטוי הסינון שיקבע על אילו בקשות ערכת הכללים Cloudflare Sensitive Data Detection תחול.
  5. בחרו ב-Next, ואז בחרו ב-Save.

#הגדרה ברמת תגית

אפשר להגדיר (או לעקוף) בלוח הבקרה את ההגדרה הבאה עבור כללים שמתויגים בלפחות אחת מהתגיות שנבחרו:

  • Rule status: מגדיר את סטטוס הכלל עבור כל הכללים עם התגיות שנבחרו.

הערה

הגדרת סטטוס הכלל לתגיות מסוימות משפיעה על כל הכללים הנוכחיים והעתידיים עם התגיות שבחרתם.

אחרי שפרסתם את ערכת הכללים Cloudflare Sensitive Data Detection, בצעו את הפעולות הבאות כדי להגדיר כללים עם תגיות מסוימות בלוח הבקרה:

  1. בלוח הבקרה של Cloudflare, עברו אל דף ה-Settings של Security. מעבר אל Settings ↗

  2. (אופציונלי) סננו לפי Web application exploits.

  3. עבור Sensitive data detection, בחרו ב-Configured ruleset: <SCOPE>, ואז בחרו ב-Next.

  4. בחרו ב-Browse rules.לוח הבקרה של Cloudflare שמציג את רשימת הכללים בערכת הכללים Sensitive Data Detection.

  5. בחרו תגית אחת או יותר מתחת לשדה החיפוש כדי לסנן את הכללים עם התגיות האלה, ואז בחרו בתיבת הסימון בפינה השמאלית העליונה של הטבלה כדי לבחור את כל הכללים שמוצגים בעמוד הנוכחי.
    אם לא כל הכללים מוצגים בעמוד הנוכחי, הרחיבו את הבחירה לכל הכללים עם התגיות שנבחרו בכל העמודים על ידי בחירה ב-Select all <NUMBER> rules.דף Configure deployment שמציג כללים שנבחרו עם התגית encryption בערכת הכללים Sensitive Data Detection.

  6. עדכנו הגדרה אחת או יותר עבור הכללים שנבחרו באמצעות הכפתורים שמוצגים בפינה הימנית העליונה של הטבלה (לדוגמה, Set status).

  7. בחרו ב-Next.

  8. מופיעה תיבת שיח ששואלת אם יש להגדיר כללים חדשים עם התגיות שנבחרו לפי ערכי השדות שבחרתם.

    • בחרו ב-Include new rules אם אתם רוצים להחיל את ההגדרות שלכם על כל כלל חדש עם התגיות שנבחרו.
    • בחרו ב-Only selected rules כדי להחיל את ההגדרות שלכם על הכללים שנבחרו בלבד.

  9. בחרו ב-Save.

#הגדרה ברמת כלל

אפשר להגדיר (או לעקוף) בלוח הבקרה את ההגדרה הבאה עבור הכללים שנבחרו:

  • Rule status: מגדיר את הסטטוס (מופעל או מושבת) של כלל יחיד, או, אם בחרתם כמה כללים, עבור הכללים שנבחרו.

אחרי שפרסתם את ערכת הכללים Cloudflare Sensitive Data Detection, בצעו את הפעולות הבאות כדי להגדיר כללים בודדים של ערכת הכללים בלוח הבקרה:

  1. בלוח הבקרה של Cloudflare, עברו אל דף ה-Settings של Security. מעבר אל Settings ↗

  2. (אופציונלי) סננו לפי Web application exploits.

  3. עבור Sensitive data detection, בחרו ב-Configured ruleset: <SCOPE>, ואז בחרו ב-Next.

  4. בחרו ב-Browse rules.לוח הבקרה של Cloudflare שמציג את רשימת הכללים בערכת הכללים Sensitive Data Detection.

  5. חפשו כללים באמצעות המסננים הזמינים.

  6. ברשימת התוצאות, שנו את הערכים של כל כלל לפי הצורך, באמצעות הרשימות הנפתחות והמתגים שמוצגים. לדוגמה, שנו את הסטטוס של כלל באמצעות מתג ה-Status שליד הכלל.

    כדי להגדיר כמה כללים עם אותו ערך, בחרו בתיבות הסימון של כל הכללים שאתם רוצים להגדיר. אם לא כל הכללים מוצגים בעמוד הנוכחי, אפשר להרחיב את הבחירה לכל הכללים בכל העמודים על ידי בחירה ב-Select all <NUMBER> rules. לאחר מכן, השתמשו בכפתורים שמוצגים בפינה הימנית העליונה של הטבלה, לדוגמה Set status, כדי לעדכן שדה אחד או יותר עבור הכללים שנבחרו.דף Configure deployment שמציג כללים שנבחרו בערכת הכללים Sensitive Data Detection.

  7. בחרו ב-Next, ואז בחרו ב-Save.

#הגדרה באמצעות API

כדי לפרוס את ערכת הכללים Cloudflare Sensitive Data Detection עבור אזור נתון באמצעות ה-API, צרו כלל עם פעולת execute ב-ערכת כללי נקודת הכניסה עבור השלב http_response_firewall_managed.

#דוגמה

הדוגמה הזו פורסת את ערכת הכללים Cloudflare Sensitive Data Detection לשלב http_response_firewall_managed של אזור נתון ($ZONE_ID) על ידי יצירת כלל שמפעיל את ערכת הכללים המנוהלת. הכללים בערכת הכללים המנוהלת מופעלים עבור כל הבקשות הנכנסות.

  1. הפעילו את הפעולה Get a zone entry point ruleset כדי לקבל את ההגדרה של ערכת כללי נקודת הכניסה עבור השלב http_response_firewall_managed. תצטרכו את מזהה האזור למשימה הזו.

    Get a zone entry point ruleset

    curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/http_response_firewall_managed/entrypoint" \
    --request GET \
    --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"
    {
    "result": {
        "description": "Zone-level phase entry point (response)",
        "id": "<RULESET_ID>",
        "kind": "zone",
        "last_updated": "2024-03-16T15:40:08.202335Z",
        "name": "zone",
        "phase": "http_response_firewall_managed",
        "rules": [
            // ...
        ],
        "source": "firewall_managed",
        "version": "10"
    },
    "success": true,
    "errors": [],
    "messages": []
}

  2. אם ערכת כללי נקודת הכניסה כבר קיימת (כלומר, אם קיבלתם קוד סטטוס 200 OK ואת הגדרת ערכת הכללים), רשמו את מזהה ערכת הכללים בתגובה. לאחר מכן, הפעילו את הפעולה Create a zone ruleset rule כדי להוסיף כלל execute לערכת הכללים הקיימת, שפורס את ערכת הכללים המנוהלת Cloudflare Sensitive Data Detection (עם המזהה e22d83c647c64a3eae91b71b499d988e). כברירת מחדל, הכלל יתווסף בסוף רשימת הכללים שכבר נמצאים בערכת הכללים.

    Create a zone ruleset rule

    curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/$RULESET_ID/rules" \
    --request POST \
    --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
    --json '{
        "action": "execute",
        "action_parameters": {
                "id": "e22d83c647c64a3eae91b71b499d988e"
        },
        "expression": "true",
        "description": "Execute the Cloudflare Sensitive Data Detection managed ruleset"
    }'
    {
    "result": {
        "id": "<RULESET_ID>",
        "name": "Zone-level phase entry point (response)",
        "description": "",
        "kind": "zone",
        "version": "11",
        "rules": [
            // ... any existing rules
            {
                "id": "<RULE_ID>",
                "version": "1",
                "action": "execute",
                "action_parameters": {
                    "id": "e22d83c647c64a3eae91b71b499d988e",
                    "version": "latest"
                },
                "expression": "true",
                "description": "Execute the Cloudflare Sensitive Data Detection managed ruleset",
                "last_updated": "2024-03-18T18:08:14.003361Z",
                "ref": "<RULE_REF>",
                "enabled": true
            }
        ],
        "last_updated": "2024-03-18T18:08:14.003361Z",
        "phase": "http_response_firewall_managed"
    },
    "success": true,
    "errors": [],
    "messages": []
}

  3. אם ערכת כללי נקודת הכניסה לא קיימת (כלומר, אם קיבלתם קוד סטטוס 404 Not Found בשלב 1), צרו אותה באמצעות הפעולה Create a zone ruleset. כללו כלל יחיד במערך rules שמפעיל את ערכת הכללים המנוהלת Cloudflare Sensitive Data Detection (עם המזהה e22d83c647c64a3eae91b71b499d988e) עבור כל הבקשות הנכנסות באזור.

    Create a zone ruleset

    curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
    --request POST \
    --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
    --json '{
        "name": "My ruleset",
        "description": "Entry point ruleset for WAF managed rulesets (response)",
        "kind": "zone",
        "phase": "http_response_firewall_managed",
        "rules": [
                {
                        "action": "execute",
                        "action_parameters": {
                                "id": "e22d83c647c64a3eae91b71b499d988e"
                        },
                        "expression": "true",
                        "description": "Execute the Cloudflare Sensitive Data Detection managed ruleset"
                }
        ]
    }'

#השלבים הבאים

כדי להגדיר את ערכת הכללים המנוהלת Cloudflare Sensitive Data Detection באמצעות API, צרו עקיפות באמצעות Rulesets API. אפשר לבצע את ההגדרות הבאות:

  • השבתת כללים בודדים על ידי יצירת עקיפות כללים.

לדוגמאות ליצירת עקיפות באמצעות ה-API, ראו Override a managed ruleset.

#משאבים נוספים

למידע נוסף על עבודה עם ערכות כללים מנוהלות באמצעות API, ראו Work with managed rulesets בתיעוד של Ruleset Engine.

#סקירת דליפות שזוהו

כדי לבדוק אם יש דליפות נתונים שזוהו על ידי Cloudflare Sensitive Data Detection, אפשר לעשות את הפעולות הבאות:

  • לבדוק באופן קבוע את Security Events לאיתור אירועים שנוצרו על ידי ערכת הכללים המנוהלת.
  • להגדיר התראות WAF כדי לקבל התראה על כל עלייה חדה באירועי WAF. עבור Advanced Security Events Alert, אפשר לסנן לפי דומיין אחד או יותר בתוכניות Enterprise ולפי שירות Data Loss Protection כדי לקבל התראות ספציפיות על Sensitive Data Detection.