INTEGRITY Dokumentace

← Cloudflare Network Firewall / cloudflare-network-firewall / best-practices

Minimální sada pravidel

Navrhovaná minimální sada pravidel blokuje některé známé běžné vektory útoků DDoS a povoluje veškerý ostatní provoz ESP, TCP, UDP, GRE a ICMP.

Jedná se o doporučený, nikoli vyčerpávající seznam. Zkontrolujte své prostředí a podle potřeby přidejte další pravidla.

ID pravidla: 1
Popis: Jediné pravidlo, které blokuje veškerý provoz se zdrojovými porty UDP používanými při útocích nebo neplatnými pro Magic Transit ingress.
Shoda: (udp.srcport in {1900 11211 389 111 19 1194 3702 10001 20800 161 162 137 27005 520 0})
Akce: Block

ID pravidla: 2
Popis: Blokuje provoz TCP se zdrojovým portem 0 a běžné porty používané při reflexních útocích TCP SYN/ACK.
Shoda: (tcp.srcport in {21 0 3306})
Akce: Block

ID pravidla: 3
Popis: Blokuje HOPOPT (protokol 0), nebo blokuje, pokud protokol není v {ESP, TCP, UDP, GRE, ICMP}. Mějte na paměti, že se jedná pouze o příklad. Povolte protokoly relevantní pro vaše prostředí.
Shoda: (ip.proto eq "hopopt") or (not ip.proto in {"esp" "tcp" "udp" "gre" "icmp"})
Akce: Block

Doporučená pravidla jsou součástí spravovaných pravidel.

Typy provozu a portů

Níže uvedené informace popisují typ provozu, způsob použití portu a důvody pro jeho blokování.

Provoz Využití portu Důvod blokování
zdrojový port UDP 0 Vyhrazený port. Neměl by být používán aplikacemi. Neplatný jako zdrojový port legitimního provozu. Běžně se používá při útocích DDoS.
zdrojový port UDP 1900 Simple Service Discovery Protocol (SSDP). Umožňuje zařízením Universal Plug and Play odesílat a přijímat informace. Útoky SSDP DDoS ↗ zneužívají protokoly Universal Plug and Play.
zdrojový port UDP 11211 Memcached. Systém databázové cache navržený pro zrychlení webů a sítí. Útoky DDoS Memcached ↗.
zdrojový port UDP 389 Bezspojový protokol Lightweight Directory Access Protocol (CLDAP). Používá se při reflexních útocích ↗.
zdrojový port UDP 111 SunRPC Častý vektor útoku. Používá se při reflexních útocích ↗.
zdrojový port UDP 19 CHARGEN Vektor zesilovacího útoku ↗.
zdrojový port UDP 1194 OpenVPN Pokud se nejedná o autorizovanou VPN ve vašem prostředí, měla by být tato běžná VPN blokovaná.
zdrojový port UDP 3702 Web Services Dynamic Discovery Multicast discovery protocol (WS-Discovery) Zranitelné vůči zneužití pro útoky DDoS.
zdrojový port UDP 10001 Protokol zjišťování Ubiquiti UniFi Zařízení Ubiquiti byla zneužita a použita k provádění útoků DDoS na tomto portu.
zdrojový port UDP 20800 Call of Duty Běžně používané při útocích ↗.
zdrojové porty UDP 161 a 162 SNMP Zranitelné vůči zneužití pro útoky DDoS.
zdrojový port UDP 137 NetBIOS NetBIOS umožňuje sdílení souborů v sítích. Při nesprávné konfiguraci může vystavit souborové systémy riziku.
zdrojový port UDP 27005 SRCDS Používá se v zesilovací útoky ↗.
zdrojový port UDP 520 Routing Information Protocol (RIP) Interní směrovací protokol. Není vyžadován pro přístup Internet WAN.
Zdrojový port TCP 0 Vyhrazený port. Neměl by být používán aplikacemi. Běžně používané při útocích DDoS. Není platné jako zdrojový port legitimního provozu.
Zdrojový port TCP 0 FTP Běžně používané pro útoky.
Zdrojový port TCP 3306 open source databáze MYSQL Používá se jako vektor útoku při útocích DDoS.

Další běžný provoz, který je třeba zvážit

Níže je uveden běžný seznam typů provozu, u kterých byste měli zvážit blokování nebo omezení příchozího směru.

Pokud je to pro vaše prostředí relevantní, zvažte blokování na základě geolokačních dat, které blokuje provoz podle země nebo uživatele v případě, že je IP adresa koncového uživatele zaregistrována v geolokační databázi.

Pokud máte zájem účastnit se beta verze Session Initiation Protocol (SIP) Validation ↗, obraťte se na svého Implementation Managera.