← dashboard zabezpečení aplikací / security
Security Insights
Security Insights vám poskytuje seznam zjištění, která pokrývají různé oblasti vašeho prostředí Cloudflare, jako jsou: nastavení účtu Cloudflare, konfigurace záznamů DNS, konfigurace certifikátů SSL/TLS, konfigurace Cloudflare Access a konfigurace Cloudflare WAF.
Níže jsou uvedena konkrétní zjištění, která jsou aktuálně k dispozici:
| Název zjištění | Popis |
|---|---|
| Stav integrace CASB | Zjistili jsme nefunkční integrace CASB. |
Osiřelé A záznamy |
Záznam odkazuje na adresu IPv4, kterou už možná nemáte pod kontrolou. Hrozí vám riziko převzetí subdomény. |
Osiřelé AAAA záznamy |
Záznam odkazuje na adresu IPv6, kterou už možná nemáte pod kontrolou. Hrozí vám riziko převzetí subdomény. |
Osiřelé CNAME záznamy |
Záznam odkazuje na prostředek, který nelze najít. Hrozí vám riziko převzetí subdomény. |
| Chyby záznamu DMARC | Zjistili jsme nesprávný nebo chybějící DMARC záznam. |
| Domény bez šifrování TLS | Zjistili jsme, že tato doména nemá šifrování TLS. |
| Domény podporující starší verzi TLS | Tato doména podporuje starší verze protokolu TLS. |
| Domény bez funkce 'Always Use HTTPS' | Požadavky HTTP na tuto doménu se nemusí přesměrovávat na jejich ekvivalent HTTPS. |
| Domény bez HSTS | HTTP Strict Transport Security (HSTS), je hlavička, která webu umožňuje definovat a vynucovat zásady zabezpečení v klientských webových prohlížečích. Toto vynucování zásad chrání zabezpečené weby před útoky typu downgrade, SSL stripping a cookie hijacking. |
| Vystavené servery RDP | Zjistili jsme server RDP, který je vystaven veřejnému internetu. |
| Nechte se upozornit na škodlivé skripty na straně klienta | Zjistili jsme, že nejsou nakonfigurována upozornění zabezpečení na straně klienta. Nebudete tak dostávat oznámení, když zjistíme, že ve vašem prostředí na straně klienta běží potenciálně škodlivé skripty. |
| Zjištěno zvýšení velikosti těla odpovědi na koncových bodech API | Prošetřete změny, zneužití nebo úspěšné útoky, které mohly vést k tomuto nárůstu velikosti těla odpovědi. |
| Zjištěn nárůst chyb na koncových bodech API | Prošetřete změny, zneužití nebo úspěšné útoky, které mohly vést k tomuto nárůstu chyb. |
| Zjištěno zvýšení latence na koncových bodech API | Prošetřete změny, zneužití nebo úspěšné útoky, které mohly vést k tomuto nárůstu latence odpovědi. |
| Managed Rules nejsou nasazena | Na doméně chráněné WAF nejsou nasazena žádná spravovaná pravidla. Další informace najdete v Známá omezení. |
| Přejít na nová Managed Rules | Pro optimální ochranu je nutné přejít na nový systém Managed Rules. |
| Zjištěny koncové body API se smíšenou autentizací | Ne všechny úspěšné požadavky na koncové body API obsahovaly identifikátory relace. |
| Zjištěny nové koncové body API | API Discovery rozpoznává nové API endpointy v provozu vaší zóny. |
| Nalezeny nové integrace CASB | Byly nalezeny nové integrace CASB. |
| Nadměrně oprávněné Access Policies | Zjistili jsme zásadu Access, která povoluje přístup k vaší aplikaci všem. |
| Zabezpečení na straně klienta není povoleno | Client-side security (dříve známé jako Page Shield) pomáhá splnit požadavek 6.4.3 standardu PCI DSS v4.0. |
| Chyby SPF záznamu | Zjistili jsme nesprávný nebo chybějící SPF záznam. |
| Citlivá data v odpovědi API | V odpovědích API byla zjištěna citlivá data. |
| Zapněte JavaScript Detection | Jedna nebo více vašich zón s povoleným Bot Management nemá povolenou funkci JavaScript Detection, která je klíčovou součástí naší sady nástrojů pro detekci botů. |
| Nepřiřazená místa Access | Zjistili jsme předplatné Zero Trust, které zatím není nakonfigurováno. |
| Zjištěny neověřené koncové body rozhraní API | Žádný z úspěšných požadavků na koncové body API neobsahoval identifikátory relace. |
| Nechráněné Cloudflare Tunely | Zjistili jsme aplikaci, která je obsluhována přes Cloudflare Tunnel, ale není chráněna odpovídající zásadou Access. |
Bez proxy A záznamy |
Tento záznam DNS není proxovaný přes Cloudflare. Cloudflare tento origin server nemůže chránit, protože je vystavený veřejnému internetu. |
Bez proxy AAAA záznamy |
Tento záznam DNS není proxovaný přes Cloudflare. Cloudflare tento origin server nemůže chránit, protože je vystavený veřejnému internetu. |
Bez proxy CNAME záznamy |
Tento záznam DNS není proxovaný přes Cloudflare. Cloudflare tento origin server nemůže chránit, protože je vystavený veřejnému internetu. |
| Uživatelé bez MFA | Zjistili jsme, že administrátorský uživatel Cloudflare nemá povolené vícefaktorové ověřování. |
| Zóny bez Managed Rules ve WAF | Zjistili jsme, že tato doména nemá povolena Managed Rules ve WAF. Hrozí vám riziko útoků typu zero-day a dalších běžných zranitelností. |
| Turnstile není povolen | Zjistili jsme, že na účtu není nakonfigurován žádný widget Turnstile. |
Známá omezení
Kontroly Security Insights probíhají pravidelně a k odhalení možných problémů využívají heuristické metody. V některých případech zjištění nemusí přesně odrážet vaši aktuální konfiguraci:
-
Managed Rules nejsou nasazena u zón se spravovanými pravidly na úrovni účtu: Pokud nasadíte spravovaná pravidla na úrovni účtu místo na úrovni zóny, Security Center je nemusí rozpoznat a může hlásit, že spravovaná pravidla nejsou nasazena. Pokud je vaše konfigurace na úrovni účtu správná, můžete archivovat přehled a odmítněte jej.
-
Přehledy zranitelností pro pravidla v režimu protokolování: Pokud nakonfigurujete spravované pravidlo s Log akci (například ke sledování provozu před jeho vynucením), může Security Center přesto vygenerovat přehled zranitelnosti, protože pravidlo provoz aktivně neblokuje. Toto chování je očekávané. Pokud záměrně používáte režim Log, můžete přehled archivovat.
Chcete-li z dashboardu odebrat vyřešené nebo nepřesné zjištění, archivovat přehled nebo počkejte na další automatické skenování.
Další zdroje
Další informace o dostupných operacích pro Security Insights najdete v Kontrola Security Insights.