← Client-side security / client-side-security / best-practices

Zpracování upozornění na prostředek na straně klienta

Pokud obdržíte upozornění na prostředky na straně klienta, někdy je potřeba provést ruční šetření a potvrdit tak povahu skriptu. Pokyny uvedené na této stránce použijte jako výchozí bod pro své šetření.

1. Zjistěte, co upozornění spustilo

Nejprve identifikujte detekční systém která upozornění spustila. Upozornění obsahuje odkaz, který vás přesměruje přímo na řídicí panel Cloudflare k příslušnému prostředku, jenž je třeba zkontrolovat. Případně postupujte takto:

V dashboardu Cloudflare přejděte na Webová aktiva stránce.
Přejděte na Webová aktiva ↗
Vyberte Zdroje na straně klienta kartě.
Vyberte Skripty nebo Připojení a vyhledejte zdroj uvedený v upozornění, které jste obdrželi.
Vyberte Podrobnosti vedle prostředku, který jste identifikovali. Níže uvedený ukázkový snímek obrazovky zobrazuje škodlivý skript.

Stránka s podrobnostmi upřesní, který detekční systém upozornění spustil. Zkontrolujte hodnoty následujících polí:

Škodlivý kód
Škodlivá URL adresa
Škodlivá doména

Různé detekční mechanismy mohou skript označit za škodlivý současně, což zvyšuje pravděpodobnost, že se nejedná o falešně pozitivní detekci.

2. Najděte stránku, na které byl prostředek detekován

Pokud jste obdrželi upozornění na potenciálně škodlivý skript:

Přejděte na stránku svého webu, která daný skript načítá nebo přes kterou probíhá dané připojení. Otevřete prohlížeč a přejděte na jednu z adres URL v Page URLs pole (zobrazené v dialogovém okně podrobností o skriptu).
Otevřete nástroje pro vývojáře v prohlížeči a ověřte, že se skript skutečně načítá. Zkontrolovat to můžete v nástrojích pro vývojáře, v části Síť kartě a vyhledejte název skriptu, URL adresu nebo hostitele.

Pokud jste obdrželi upozornění na potenciálně škodlivé připojení:

Přejděte na stránku svého webu, na které dochází k připojení, jež upozornění vyvolalo. Otevřete prohlížeč a přejděte na jednu z adres URL uvedených v Page URLs pole (zobrazené v dialogovém okně podrobností o připojení).
Otevřete nástroje pro vývojáře v prohlížeči a ověřte, že dané připojení skutečně probíhá. Zkontrolovat to můžete v nástrojích pro vývojáře, v části Síť kartě a vyhledejte cílového hostitele připojení.

Pokud skript nebo připojení najdete, znamená to, že se skript načítá (nebo se připojení navazuje) pro všechny návštěvníky webu. Pokračujte na krok 3.

Pokud nenajdete načítaný skript ani navazované připojení, může to znamenat některou z těchto možností:

Skript je načítán (nebo je navazováno připojení) rozšířeními prohlížeče návštěvníků.
Váš aktuální stav skript nenačte ani spojení nenaváže. Složité aplikace ale mohou skripty načítat a spojení navazovat podle stavu.
Nenacházíte se ve správné geografické lokalitě (nebo je splněna podobná podmínka).
Útočník načítá skript nebo naváže připojení pouze u určitého procenta návštěvníků nebo u návštěvníků s konkrétním prohlížečem či signaturou.

V takovém případě je kromě níže uvedených kroků nejlepším postupem:

V bezpečném virtuálním prostředí použijte online vyhledávací nástroje a vyhledejte daný prostředek. Projděte si výsledky a metadata prostředku, například údaje o registraci domény;
V případě pochybností prohledejte zdrojový kód aplikace, zda daný prostředek obsahuje, a pokud ano, ujasněte si jeho účel.

3. Zkontrolujte reputaci skriptu

Pokud Cloudflare označí doménu prostředku za „škodlivou doménu“, pravděpodobně nemá dobrou reputaci. Taková doména může být známá hostováním malwaru nebo použitím k phishingovým útokům. Obvykle stačí zkontrolovat doménu nebo hostname, abyste pochopili, proč jste upozornění obdrželi. Můžete použít nástroje, jako je Security Center Investigate ↗ platformu, která vám s tímto ověřením pomůže.

Pokud interní systémy Cloudflare klasifikovaly skript jako obsahující „škodlivý kód“, externí nástroje nemusí detekci Cloudflare potvrdit, protože použitý model strojového učení (ML) je technologie specifická pro Cloudflare.

Pokud se domníváte, že klasifikace Cloudflare je falešně pozitivní, obraťte se na tým odpovědný za váš účet, abychom mohli dále vylepšovat technologii, na které client-side security stojí.

4. (Volitelné) Analyzujte obsah skriptu

Část této analýzy můžete provést pomocí virtuálního počítače:

Otevřete adresu URL skriptu a získejte jeho zdrojový kód. Pokud je skript obfuskovaný nebo zakódovaný, může to být známka toho, že jde o škodlivý skript.
Prohledejte zdrojový kód skriptu a vyhledejte v něm hostname nebo IP adresy.
Pro každý identifikovaný hostitelský název nebo IP adresu vyhledejte informace o hrozbách pomocí platformy Cloudflare Security Center Investigate, případně vyhledejte online možné indikátory kompromitace (Indicators of Compromise).

Závěr

Pokud prostředek, který vyvolal upozornění na škodlivý prostředek:

Je aktivně přítomen ve vaší aplikaci
Načítá se ze škodlivého hostitele nebo škodlivé IP adresy, nebo obsahuje škodlivý kód
Obsahuje ve svém zdrojovém kódu škodlivé hostname nebo IP adresy, které mohou být zamlžené/zakódované

Měli byste provést další šetření, protože tyto indikátory mohou znamenat probíhající aktivní kompromitaci.