← Cloudflare API Shield / api-shield / management-and-monitoring

Služba pro označování koncových bodů

Služba štítků API Shield vám pomůže uspořádat koncové body a řešit zranitelnosti ve vašem API. Součástí služby štítků jsou spravované i uživatelsky definované štítky.

Managed labels vám pomáhají organizovat endpointy podle způsobu použití. Managed labels zároveň automaticky identifikují endpointy s informativními nebo bezpečnostními riziky a upozorní vás na endpointy, kterým je potřeba věnovat pozornost.

K endpointům v API Shield lze přidávat i uživatelem definované štítky, a to vytvořením štítku a jeho přiřazením k jednomu nebo více endpointům. Uživatelem definované štítky se hodí pro organizaci endpointů podle vlastníka, verze nebo typu.

Endpointy můžete filtrovat podle štítků.

Pomocí spravovaných štítků identifikujte endpointy podle způsobu použití. Cloudflare může tyto štítky v budoucí verzi přiřazovat automaticky.

cf-log-in: Tento štítek přidejte ke koncovým bodům, které přijímají přihlašovací údaje uživatele. Pokud přihlašovací jméno, heslo a vícefaktorové ověření (MFA) zpracováváte na více koncových bodech nebo v samostatných požadavcích, může se týkat i více koncových bodů.

cf-sign-up: Tento štítek přidejte ke koncovým bodům, které tvoří poslední krok při vytváření uživatelských účtů pro váš web nebo aplikaci.

cf-content: Tento štítek přidejte ke koncovým bodům, které poskytují jedinečný obsah, například podrobnosti o produktu, uživatelské recenze, ceny nebo jiné unikátní informace.

cf-purchase: Tento štítek přidejte ke koncovým bodům, které tvoří poslední krok při online nákupu zboží nebo služeb.

cf-password-reset: Tento štítek přidejte ke koncovým bodům, které se podílejí na procesu obnovení hesla uživatele. Patří sem jak počáteční žádosti o obnovení hesla, tak závěrečné odeslání nového hesla.

cf-add-cart: Tento štítek přidejte ke koncovým bodům, které přidávají položky do nákupního košíku uživatele nebo ověřují dostupnost položek.

cf-add-payment: Tento štítek přidejte ke koncovým bodům, které přijímají údaje o platební kartě nebo bankovním účtu, u nichž mohou podvodníci postupně zkoušet čísla účtů a hledat platné kombinace platebních údajů.

cf-check-value: Tento štítek přidejte ke koncovým bodům, které ověřují zůstatek věrnostních bodů, herní měny nebo jiných produktů uchovávajících hodnotu, které lze získávat, převádět a směňovat za hotovost nebo fyzické zboží.

cf-add-post: Tento štítek přidejte ke koncovým bodům, které zveřejňují příspěvky v diskusním fóru nebo recenze produktů či obchodníků.

cf-account-update: Tento štítek přidejte ke koncovým bodům, které se podílejí na aktualizaci uživatelského účtu nebo profilu.

cf-llm: Služby, které (částečně) využívají velký jazykový model (LLM).

cf-mcp: Tento štítek přidejte ke koncovým bodům, které implementují Model Context Protocol (MCP) pro přístup AI nástrojů k datům.

cf-rss-feed: Tento štítek přidejte ke koncovým bodům, které očekávají provoz od RSS klientů.

cf-web-page: Tento štítek přidejte ke koncovým bodům, které vracejí stránky HTML.

cf-contains-ads: Tento štítek přidejte ke koncovým bodům, které vracejí webové stránky obsahující reklamy.

Cloudflare každých 24 hodin automaticky spouští kontrolu rizik u vašich uložených koncových bodů. Pokud kontrola na koncových bodech odhalí bezpečnostní rizika, přiřadí k nim API Shield tyto popisky. Při zjištění rizik se zároveň vygeneruje odpovídající Security Center Insight.

cf-risk-missing-auth: Automaticky se přidá, pokud všem úspěšným požadavkům chybí identifikátor relace. Další informace najdete v Authentication Posture s dalšími informacemi.

cf-risk-mixed-auth: Automaticky se přidá, pokud některé úspěšné požadavky obsahují identifikátor relace a jiným chybí. Další informace najdete v Authentication Posture s dalšími informacemi.

cf-risk-sensitive: Automaticky se přidá ke koncovým bodům, když odpovědi HTTP odpovídají funkci WAF pro Sensitive Data Detection ruleset.

cf-risk-error-anomaly: Automaticky se přidá, pokud u koncového bodu za posledních 24 hodin došlo k nárůstu chybových odpovědí.

cf-risk-latency-anomaly: Automaticky se přidá, pokud u koncového bodu za posledních 24 hodin došlo k nárůstu latence odpovědí.

cf-risk-size-anomaly: Automaticky se přidá, pokud u koncového bodu za posledních 24 hodin došlo k prudkému nárůstu velikosti těla odpovědi.

cf-risk-bola-enumeration: Automaticky se přidá, pokud koncový bod vrací úspěšné odpovědi s výraznými rozdíly v počtu unikátních prvků požadovaných různými uživatelskými relacemi.

cf-risk-bola-pollution: Automaticky se přidá, pokud koncový bod vrací úspěšné odpovědi, u nichž se parametry vyskytují na více místech požadavku, než odpovídá schématu API.

cf-risk-zombie: Automaticky se přidá, pokud uložený koncový bod nepřijal provoz po dobu 32 dnů.

Způsob, jakým budete řešit rizika u svých endpointů, závisí na jejich štítku (štítcích). Následující kroky vám poskytnou obecná doporučení, jak u nich postupovat.

Odpovídající operaci a spravované štítky jednotlivých požadavků můžete dotazovat pomocí GraphQL Analytics API. webAssetsOperationId a webAssetsLabelsManaged pole jsou k dispozici v httpRequestsAdaptive a httpRequestsAdaptiveGroups datové sady. Použijte introspekce , abyste prozkoumali celé schéma a dostupné operátory filtrů.

webAssetsLabelsManaged vrátí nejvýše 10 štítků na požadavek.

Následující dotaz vrátí počet požadavků podle ID operace a sady spravovaných štítků, filtrovaný na požadavky, u kterých shodná operace nese cf-log-in spravovaný štítek.

query GetAdaptiveGroups($start: DateTime!, $end: DateTime!) {
	viewer {
		zones(filter: { zoneTag: $zoneTag }) {
			httpRequestsAdaptiveGroups(
				filter: {
					datetime_geq: $start
					datetime_leq: $end
					requestSource: "eyeball"
					webAssetsLabelsManaged_hasany: ["cf-log-in"]
				}
				limit: 25
				orderBy: [count_DESC]
			) {
				count
				dimensions {
					webAssetsOperationId
					webAssetsLabelsManaged
				}
			}
		}
	}
}

Nahraďte cf-log-in s libovolným spravovaný štítek nebo štítek rizika. Můžete také vynechat webAssetsLabelsManaged_hasany filtr a použijte webAssetsOperationId jako jedinou dimenzi pro seskupení provozu podle shodné operace bez ohledu na label.

Data Web Assets pro jednotlivé požadavky můžete exportovat do vlastního úložiště nebo Systém SIEM dle vlastního výběru pomocí Logpush. WebAssetsOperationID a WebAssetsLabelsManaged pole jsou k dispozici v Datová sada HTTP requests.

Uživatelsky definovaný štítek můžete alternativně vytvořit také přes Security > Webová aktiva.

Označování koncových bodů je dostupné všem zákazníkům.