← Cloudflare Security Center / security-center

Custom Indicator Feeds

Tým Cloudflare pro zpravodajství o hrozbách shromažďuje trendy útoků od komunity a automaticky chrání uživatele, například před zero-day zranitelnostmi, jako je Útok HTTP/2 Rapid Reset ↗. V některých případech však Cloudflare spolupracuje s externími subjekty, které mají vlastní feedy, jež lze sdílet s oprávněnými uživateli Cloudflare.

Cloudflare prostřednictvím Custom Indicator Feeds poskytuje kanál s informacemi o hrozbách založený na datech od různých skupin Cyber Defense Collaboration. Tyto možnosti bezpečnostního filtrování jsou dostupné oprávněným organizacím veřejného i soukromého sektoru.

Cloudflare poskytuje uživatelům Gateway některé datové kanály, aniž by bylo nutné navazovat vztah s poskytovatelem.

Data zpravodajství o hrozbách Cloudflare vznikají výměnou dat mezi poskytovateli a odběrateli.

Poskytovatel je organizace, která má sadu dat, jež chce sdílet s dalšími organizacemi Cloudflare. Poskytovatelem se může stát jakákoli organizace. Příkladem současných poskytovatelů jsou skupiny zaměřené na vládní kybernetickou obranu.

Odběratelem může být kterýkoli zákazník Cloudflare, který chce lépe zabezpečit své prostředí vytvářením pravidel založených na datových sadách poskytovatele. Odběratelé musí být autorizováni poskytovatelem. Autorizace se uděluje pomocí Udělit oprávnění ke koncovému bodu feedu indikátorů.

Pokud má vaše organizace zájem stát se poskytovatelem nebo odběratelem, obraťte se na svůj tým pro správu účtu.

Poskytovatelé mohou vytvářet a spravovat Custom Indicator Feed pomocí Koncové body API pro vlastní feedy indikátorů:

1. Pokud chcete nastavit svůj účet jako poskytovatele feedu indikátorů, obraťte se na svůj account team.

2. Vytvořte feed pomocí Vytvořit koncový bod pro nový feed indikátorů. Poznamenejte si feed_id vygenerovaný pro váš feed. Například:

   Vytvořit nový feed indikátorů

   curl "https://api.cloudflare.com/client/v4/accounts/<ACCOUNT_ID>/intel/indicator-feeds" \
   	--header 'Content-Type: application/json' \
   	--header 'X-Auth-Email: <EMAIL>' \
   	--header 'X-Auth-Key: <API_KEY>' \
   	--data '{
   	"description": "Custom indicator feed to detect threats",
   	"name": "threat_indicator_feed"
   }'

   {
   	"result": {
   		"id": 10,
   		"name": "threat_indicator_feed",
   		"description": "Custom indicator feed to detect threats",
   		"created_on": "2024-09-17T21:16:09.412Z",
   		"modified_on": "2024-09-17T21:16:09.412Z"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

3. Nahrání dat do feedu pomocí Koncový bod pro aktualizaci dat feedu indikátorů. Nahraná data indikátorů musí být ve formátu .stix2 ↗ formátovaný soubor. Tento maximální velikost nahrávaného souboru je 4.995 GiB.

   Aktualizace dat feedu indikátorů

   curl --request PUT \
   	"https://api.cloudflare.com/client/v4/accounts/<ACCOUNT_ID>/intel/indicator-feeds/<FEED_ID>/snapshot" \
   	--header 'Content-Type: multipart/form-data' \
   	--header 'X-Auth-Email: <EMAIL>' \
   	--header 'X-Auth-Key: <API_KEY>' \
   	--form 'source=@/path/to/file'

   {
   	"result": {
   		"file_id": 1,
   		"filename": "snapshot_file.unified",
   		"status": "unified"
   	},
   	"errors": [],
   	"messages": [],
   	"success": true
   }

4. (Volitelné) Ověřte stav nahrání feedu pomocí Získat koncový bod dat feedu indikátorů. Například:

   Získat data feedu indikátorů

   curl --request GET \
   	"https://api.cloudflare.com/client/v4/accounts/<ACCOUNT_ID>/intel/indicator-feeds/<FEED_ID>/data" \
   	--header 'Content-Type: application/json' \
   	--header 'X-Auth-Email: <EMAIL>' \
   	--header 'X-Auth-Key: <API_KEY>'

   {
   	"result": {
   		"id": 10,
   		"name": "threat_indicator_feed",
   		"description": "Custom indicator feed to detect threats",
   		"created_on": "2023-08-01T18:00:26.65715Z",
   		"modified_on": "2023-08-01T18:00:26.65715Z",
   		"latest_upload_status": "Complete"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

5. Udělte přístup odběratelům s Udělit oprávnění ke koncovému bodu feedu indikátorů. Do seznamu povolených odběratelů feedu můžete přidat odběratele pomocí jejich ID účtů. Například:

   Aktualizace dat feedu indikátorů

   curl --request PUT \
   	"https://api.cloudflare.com/client/v4/accounts/<ACCOUNT_ID>/intel/indicator-feeds/<FEED_ID>/snapshot" \
   	--header 'Content-Type: multipart/form-data' \
   	--header 'X-Auth-Email: <EMAIL>' \
   	--header 'X-Auth-Key: <API_KEY>' \
   	--data '{
   	"account_tag": "823f45f16fd2f7e21e1e054aga4d2859",
   	"feed_id": 10
   }'

Jakmile je účtu udělen přístup ke kanálu, bude k dispozici pro porovnávání provozu jako selektor v zásadách Gateway DNS.

1. V Cloudflare One ↗, přejděte na Zásady provozu > Zásady brány firewall. Vyberte DNS.

2. Chcete-li vytvořit novou zásadu DNS, vyberte Přidat zásadu.

3. Pojmenujte zásadu.

4. V Provoz, přidejte podmínku s Kanály indikátorů selektor. Pokud byl vašemu účtu udělen přístup k Custom Indicator Feed, Gateway tento feed uvede v Hodnota. Můžete například blokovat weby, které se objeví ve feedu:

   Selektor	Operátor	Hodnota	Akce
   Kanály indikátorů	v	Threat Intel Feed	Block

5. Vyberte Vytvořit zásadu.

Další informace o vytváření zásad Gateway najdete v Zásady DNS.