← Cloudflare API Shield / api-shield / security
Authentication Posture
Authentication Posture odhaluje koncové body API s chybějícím nebo nekonzistentním ověřováním a upozorňuje vás na možné chyby v konfiguraci.
Člen bezpečnostního týmu může například očekávat, že jeho endpointy API /api/v1/users a /api/v1/orders vyžadují autentizaci. Chyby v autentizačních zásadách API na origin serveru ale mohou vytvořit zranitelnosti nedostatečné autentizace: umožní neautentizovaný přístup k chráněným zdrojům. Authentication Posture zobrazuje stav autentizace úspěšných požadavků na vaše API endpointy a upozorňuje na možné chyby konfigurace.
Uvažujme typickou e-commerce aplikaci. Uživatelé mohou procházet položky a ceny bez přihlášení. Pro získání podrobností objednávky přes GET /api/v1/orders/{order_id}, se uživatelé musí přihlásit a u všech požadavků odesílat hlavičku HTTP Authorization. Cloudflare vás upozorní pomocí Security Center Insights a Štítky koncových bodů pokud úspěšné požadavky dosáhnou tohoto endpointu nebo jakéhokoli jiného endpointu bez ověření, když identifikátory relace jsou nakonfigurována.
Proces
Po nakonfigurování identifikátory relace, API Shield nepřetržitě prohledává váš provoz a hledá úspěšné požadavky bez ověření a jednou denně podle toho označuje vaše koncové body. Metodiku označování najdete v tabulce níže.
| Popis | Kódy odpovědí 2xx | Kódy odpovědí 4xx, 5xx |
|---|---|---|
| Pokud všem požadavkům chybí ověření, Cloudflare použije štítek: | cf-missing-auth |
Bez úspěšných odpovědí nebude přidán žádný štítek. |
| Pokud ověření chybí jen některým požadavkům, Cloudflare použije štítek: | cf-mixed-auth |
Bez úspěšných odpovědí nebude přidán žádný štítek. |
Prozkoumejte podrobnosti ověřování endpointu
-
V dashboardu Cloudflare přejděte na Webová aktiva stránce.
Přejděte na Webová aktiva ↗ -
Přejděte na Endpointy kartě.
-
Filtrujte endpointy podle
cf-risk-missing-authnebocf-risk-mixed-authštítků. -
Vyberte koncový bod a zobrazte si podrobnosti o jeho stavu ověřování na stránce s podrobnostmi koncového bodu.
-
Zvolte zobrazení za posledních 24 hodin nebo za 7 dní a sledujte případné změny v ověřování v čase.
Hlavní widget ověřování zobrazuje, kolik úspěšných požadavků za posledních sedm dní obsahovalo identifikátory relace a jaké identifikátory byly v provozu obsaženy.
Graf ověřování v čase podrobně ukazuje, jak klienti v průběhu času úspěšně komunikovali s vaším API a jaké identifikátory přitom používali. Výrazný nárůst neověřeného provozu může signalizovat bezpečnostní incident. Stejně tak může být důvodem k obavám jakýkoli úspěšný neověřený provoz na endpointu, u kterého se očekává 100% ověření.
Spolupracujte se svým vývojovým týmem a zjistěte, které zásady ověřování je potřeba u vašeho API opravit, aby se zastavil neověřený provoz.
Zastavit neověřený provoz pomocí Cloudflare
Chcete-li blokovat neautentizované požadavky, vytvořte vlastní pravidlo pomocí cf.api_gateway.auth_id_present pole. Toto pole se vyhodnotí jako true , když jsou v požadavku přítomny nakonfigurované identifikátory relace API Shield. Můžete se shodovat i na jejich nepřítomnosti a tím zjišťovat neautentizovaný provoz. Přidáním shody hostitele a cesty pravidlo omezíte na konkrétní endpointy.
Omezení
Authentication Posture funguje pouze tehdy, pokud zákazníci v API Shield správně nastaví identifikátory relací. Identifikátory relací musí jednoznačně identifikovat ověřené uživatele vašeho API. Pokud si nejste jistí, jaký identifikátor relace vaše API používá, poraďte se s vývojářským týmem.
Dostupnost
Authentication Posture je k dispozici všem zákazníkům s tarifem Enterprise, kteří mají předplacené API Shield.