← Dokumentace WAF / managed-rules / check-for-exposed-credentials

Přejděte na detekci unikajících přihlašovacích údajů

Tento návod popisuje obecné kroky pro upgrade Exposed Credentials Check konfiguraci na nové detekce uniklých přihlašovacích údajů.

Cloudflare doporučuje zákazníkům aktualizovat konfiguraci a přejít na novou detekci uniklých přihlašovacích údajů, která nabízí následující výhody:

Využívá rozsáhlou databázi uniklých přihlašovacích údajů obsahující více než 15 miliard hesel.
Po povolení detekce můžete zkontrolovat množství příchozích požadavků obsahujících uniklé přihlašovací údaje v Security Analytics, ještě než vytvoříte jakákoli pravidla zmírnění.
Proti požadavkům obsahujícím uniklé přihlašovací údaje můžete zasáhnout pomocí funkcí WAF, jako jsou pravidla omezení frekvence požadavků nebo vlastní pravidla.

1. Vypněte Exposed Credentials Check

Pokud jste měli nasazenou spravovanou sadu pravidel Cloudflare Exposed Credentials Check:

V dashboardu Cloudflare přejděte na Bezpečnostní pravidla stránce.
Přejděte na Bezpečnostní pravidla ↗
(Volitelné) Filtrujte podle Spravovaná pravidla.
Upravte pravidlo, které spouští sadu pravidel Cloudflare Exposed Credentials Check Ruleset, a poznamenejte si aktuální konfiguraci, zejména prováděnou akci. Poté toto pravidlo odstraňte nebo vypněte.

2. Zapněte detekci uniklých přihlašovacích údajů

V plánu Free je detekce uniklých přihlašovacích údajů ve výchozím nastavení zapnutá a není potřeba žádná akce. V placených plánech můžete detekci zapnout v Cloudflare dashboardu, přes API nebo pomocí Terraformu.

V dashboardu Cloudflare přejděte na Security Nastavení stránce.
Přejděte na Nastavení ↗
(Volitelné) Filtrujte podle Nástroje pro detekci.
Zapněte Detekce uniklých přihlašovacích údajů.

Použijte POST požadavek podobný tomuto:

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:

Zone WAF Write
Account WAF Write

Aktualizuje stav Leaked Credential Checks pro zónu.

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/leaked-credential-checks" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"enabled": true
	}'

Použijte cloudflare_leaked_credential_check prostředek pro povolení detekce uniklých přihlašovacích údajů u zóny. Například:

resource "cloudflare_leaked_credential_check" "zone_lcc_example" {
	zone_id = var.cloudflare_zone_id
	enabled = true
}

3. Nakonfigurujte akce, které se mají provést

Na základě vaší předchozí konfigurace proveďte jeden z následujících kroků:

Pokud jste používali výchozí akce v Exposed Credentials Check: Zapněte Přidání hlavičky Leaked Credentials Checks spravovaná transformace které přidává Exposed-Credential-Check hlavičku k příchozím požadavkům obsahujícím uniklé přihlašovací údaje. Přestože je název hlavičky stejný jako v Exposed Credentials Check, hodnoty hlavičky se v nové implementaci budou lišit mezi 1 a 4.
Pokud jste používali jinou akci: Vytvořte vlastní pravidlo s akcí odpovídající té, kterou jste používali. Pravidlo by mělo odpovídat User and password leaked is true (pokud používáte editor výrazů, zadejte (cf.waf.credential_check.username_and_password_leaked)).

Další zdroje

Zkontrolujte výsledky detekce uniklých přihlašovacích údajů v Security Analytics.
Viz Příklad pravidel zmírnění s příklady strategií zmírnění, které můžete použít při zjištění uniklých přihlašovacích údajů.