← Dokumentace WAF / detections

Detekce uniklých přihlašovacích údajů

Uniklé přihlašovací údaje: detekce provozu kontroluje příchozí požadavky na přihlašovací údaje (uživatelská jména a hesla), které dříve unikly z úniky dat ↗.

Když zapnete detekci uniklých přihlašovacích údajů, Cloudflare skenuje příchozí HTTP požadavky na uživatelská jména a hesla. Sken kontroluje autentizační vzory z běžné webové aplikace a jakékoli vlastní umístění detekce které nakonfigurujete.

Detekované přihlašovací údaje se porovnávají s databází známých uniklých přihlašovacích údajů. Tato databáze se skládá z:

• The Have I Been Pwned (HIBP) ↗ dataset odpovídajících hesel (pouze hesla)
• Přihlašovací údaje shromážděné Cloudflare (uživatelská jména)
• Dvojice uniklých přihlašovacích údajů (uživatelské jméno a heslo)

Na základě výsledků Cloudflare naplní pole uniklých přihlašovacích údajů pro skenované požadavky. Tato pole můžete použít dvěma způsoby:

• Analýza provozu: Zkontrolujte výsledky detekce v Security Analytics dashboard, abyste zjistili, jak často se ve vašem provozu objevují uniklé přihlašovací údaje.
• Vytváření pravidel: Použijte pole v vlastní pravidla nebo pravidla rate limitingu k vystavení challenge nebo blokování požadavků obsahujících kompromitované přihlašovací údaje.

Uniklé přihlašovací údaje se ve vašem provozu mohou objevit z různých důvodů. Útočník může provádět credential stuffing ↗ útok, nebo legitimní uživatel opakovaně používá dříve uniklé heslo.

Detekce uniklých přihlašovacích údajů poskytuje managed transform které přidá Exposed-Credential-Check hlavičku požadavku k odpovídajícím požadavkům. Hodnota hlavičky udává, co uniklo — například 1 pokud uživatelské jméno i heslo tvořily uniklou dvojici, 2 pokud uniklo uživatelské jméno, nebo 4 pokud uniklo pouze heslo.

Tuto hlavičku můžete na svém origin serveru použít k varování uživatelů a výzvě k resetu hesla.

Podrobnosti o dostupných funkcích podle plánu najdete v Dostupnost na stránce detekcí provozu.

Detekce uniklých přihlašovacích údajů zahrnuje pravidla pro identifikaci přihlašovacích údajů v HTTP požadavcích u následujících známých webových aplikací:

• Drupal
• Joomla
• Ghost
• Magento
• Plone
• WordPress
• Microsoft Exchange OWA

Sken navíc zahrnuje obecná pravidla pro další běžné vzory webové autentizace.

Můžete také nakonfigurovat vlastní umístění detekce podle konkrétního autentizačního mechanismu používaného ve vašich webových aplikacích. Vlastní umístění detekce říká Cloudflare WAF, kde v HTTP požadavcích vaší webové aplikace hledat uživatelská jména a hesla.

Výchozí sken pokrývá běžné webové aplikace, ale vaše aplikace může odesílat přihlašovací údaje v jiném formátu nebo pod jiným názvem pole. Vlastní umístění detekce vám umožňují říct Cloudflaru přesně, kde má v HTTP požadavcích hledat uživatelská jména a hesla.

Například pokud JSON tělo HTTP požadavku autentizujícího uživatele vypadá takto:

{ "user": "<username>", "secret": "<password>" }

Vlastní umístění detekce byste mohli nakonfigurovat s následujícím nastavením:

• Vlastní umístění pro uživatelské jméno:
  lookup_json_string(http.request.body.raw, "user")
• Vlastní umístění pro heslo:
  lookup_json_string(http.request.body.raw, "secret")

Při zadávání vlastního umístění detekce je povinné pouze umístění pole uživatelského jména.

Následující tabulka obsahuje příklady umístění detekce pro různé typy požadavků:

Výrazy používané k určení vlastních umístění detekce mohou zahrnovat následující pole a funkce:

• Pole:
  • http.request.body.form
  • http.request.body.multipart
  • http.request.body.raw
  • http.request.headers
  • http.request.uri.args
  • http.request.uri.query
• Funkce:
  • lookup_json_string()
  • url_decode()

Pokyny ke konfiguraci vlastního umístění detekce najdete v Začínáme.

Následující pole udávají typ shody uniklých přihlašovacích údajů, kterou Cloudflare detekoval. Tato pole použijte v vlastní pravidla nebo pravidla rate limitingu k zásahu proti požadavkům obsahujícím kompromitované přihlašovací údaje.