← Dokumentace WAF / managed-rules / reference

Cloudflare Sensitive Data Detection

Spravovaná sada pravidel Cloudflare Sensitive Data Detection pomáhá identifikovat úniky dat generované vašimi origin servery. Její pravidla běží nad tělem odpovědi a hledají vzory běžných citlivých dat, včetně:

• Osobně identifikovatelné údaje ↗ (PII) — Například čísla pasů.
• Finanční informace — Například čísla platebních karet.
• Tajemství (secrets) — Například API klíče.

Zapnutí Cloudflare Sensitive Data Detection nepřinese dodatečnou latenci, protože detekce probíhá mimo cestu odpovědi. Z tohoto důvodu se pravidla vždy nasazují s Log akci (odpověď, která již byla odeslána, nelze blokovat), což vám poskytuje přehled o citlivých datech opouštějících vaše origin servery.

Po zapnutí bude Cloudflare Sensitive Data Detection kontrolovat všechny odpovědi odesílané návštěvníkům (podle vašeho vlastního filtrovacího výrazu, pokud je definován), včetně odpovědí z cache a odpovědí zpracovaných Workers.

Detekce zpracuje textový, HTML, JSON a XML obsah v odpovědi do velikosti 1 MB.

V současnosti Cloudflare Sensitive Data Detection nepodporuje logování zachycených payloadů.

Sadu Cloudflare Sensitive Data Detection můžete konfigurovat (nebo přepsat) na několika úrovních:

• Úroveň sady pravidel
• Úroveň tagu
• Úroveň pravidla

Specifičtější konfigurace (úroveň pravidla a tagu) mají vyšší prioritu než méně specifické konfigurace (úroveň sady pravidel). Viz Přepis spravované sady pravidel v dokumentaci Ruleset Engine pro více informací.

V dashboardu Cloudflare můžete nakonfigurovat (nebo overridovat) následující nastavení Cloudflare Sensitive Data Detection:

• Rozsah: Když pro rozsah definujete vlastní filtrovací výraz, sada Cloudflare Sensitive Data Detection se uplatní pouze na podmnožinu příchozích požadavků. Ve výchozím nastavení se spravovaná sada pravidel nasazená v dashboardu uplatňuje na veškerý příchozí provoz.

Jakmile jste nasadili sadu pravidel Cloudflare Sensitive Data Detection, proveďte následující kroky pro jeho konfiguraci v dashboardu:

V dashboardu můžete nakonfigurovat (nebo přepsat) následující nastavení pro pravidla označená alespoň jedním z vybraných tagů:

• Stav pravidla: Nastaví stav pravidla pro všechna pravidla s vybranými tagy.

Jakmile jste nasadili sadu pravidel Cloudflare Sensitive Data Detection, proveďte následující kroky pro konfiguraci pravidel s konkrétními tagy v dashboardu:

V dashboardu můžete pro vybraná pravidla nakonfigurovat (nebo přepsat) následující nastavení:

• Stav pravidla: Nastaví stav (povoleno nebo zakázáno) jednoho pravidla, nebo pokud vyberete více pravidel, vybraných pravidel.

Jakmile jste nasadili sadu pravidel Cloudflare Sensitive Data Detection, proveďte následující kroky pro konfiguraci jednotlivých pravidel sady v dashboardu:

Chcete-li sadu Cloudflare Sensitive Data Detection nasadit pro danou zónu pomocí API, vytvořte pravidlo s execute akci v vstupní sada pravidel (entry point ruleset) pro http_response_firewall_managed fáze.

Tento příklad nasazuje sadu pravidel Cloudflare Sensitive Data Detection do http_response_firewall_managed fáze dané zóny ($ZONE_ID) vytvořením pravidla, které spouští spravovanou sadu pravidel. Pravidla ve spravované sadě pravidel se vykonávají pro všechny příchozí požadavky.

1. Vyvolejte Získání vstupní sady pravidel zóny operaci k získání definice entry point rulesetu pro fázi http_response_firewall_managed fázi. Budete potřebovat ID zóny pro tuto úlohu.

   Získání vstupní sady pravidel zóny

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/http_response_firewall_managed/entrypoint" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"result": {
   		"description": "Zone-level phase entry point (response)",
   		"id": "<RULESET_ID>",
   		"kind": "zone",
   		"last_updated": "2024-03-16T15:40:08.202335Z",
   		"name": "zone",
   		"phase": "http_response_firewall_managed",
   		"rules": [
   			// ...
   		],
   		"source": "firewall_managed",
   		"version": "10"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

2. Pokud entry point ruleset již existuje (tedy pokud jste obdrželi 200 OK stavový kód a definici sady pravidel), poznamenejte si ID sady pravidel z odpovědi. Poté zavolejte Vytvoření pravidla v sadě pravidel zóny operaci k přidání execute pravidlo do existujícího rulesetu, nasazující spravovanou sadu pravidel Cloudflare Sensitive Data Detection (s ID e22d83c647c64a3eae91b71b499d988e). Ve výchozím nastavení bude pravidlo přidáno na konec seznamu pravidel, která již v sadě jsou.

   Vytvoření pravidla v sadě pravidel zóny

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/$RULESET_ID/rules" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"action": "execute",
   		"action_parameters": {
   				"id": "e22d83c647c64a3eae91b71b499d988e"
   		},
   		"expression": "true",
   		"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset"
   	}'

   {
   	"result": {
   		"id": "<RULESET_ID>",
   		"name": "Zone-level phase entry point (response)",
   		"description": "",
   		"kind": "zone",
   		"version": "11",
   		"rules": [
   			// ... any existing rules
   			{
   				"id": "<RULE_ID>",
   				"version": "1",
   				"action": "execute",
   				"action_parameters": {
   					"id": "e22d83c647c64a3eae91b71b499d988e",
   					"version": "latest"
   				},
   				"expression": "true",
   				"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset",
   				"last_updated": "2024-03-18T18:08:14.003361Z",
   				"ref": "<RULE_REF>",
   				"enabled": true
   			}
   		],
   		"last_updated": "2024-03-18T18:08:14.003361Z",
   		"phase": "http_response_firewall_managed"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

3. Pokud entry point ruleset neexistuje (tedy pokud jste obdrželi 404 Not Found stavový kód v kroku 1), vytvořte jej pomocí Vytvoření sady pravidel zóny operace. Zahrňte jediné pravidlo do pole rules pole, které spouští spravovanou sadu pravidel Cloudflare Sensitive Data Detection (s ID e22d83c647c64a3eae91b71b499d988e) pro všechny příchozí požadavky v zóně.

   Vytvoření sady pravidel zóny

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "My ruleset",
   		"description": "Entry point ruleset for WAF managed rulesets (response)",
   		"kind": "zone",
   		"phase": "http_response_firewall_managed",
   		"rules": [
   				{
   						"action": "execute",
   						"action_parameters": {
   								"id": "e22d83c647c64a3eae91b71b499d988e"
   						},
   						"expression": "true",
   						"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset"
   				}
   		]
   	}'

Chcete-li spravovanou sadu pravidel Cloudflare Sensitive Data Detection nakonfigurovat přes API, vytvořte overrides pomocí Rulesets API. Můžete provést následující konfigurace:

• Zakázání jednotlivých pravidel vytvořením rule overrides.

Příklady vytváření overrides pomocí API najdete v Přepis spravované sady pravidel.

Další informace o práci se spravovanými sadami pravidel přes API viz Práce se spravovanými sadami pravidel v dokumentaci Ruleset Engine.

Úniky dat detekované funkcí Cloudflare Sensitive Data Detection můžete zkontrolovat následovně:

• Pravidelně kontrolujte Security Events pro veškeré události vygenerované spravovanou sadou pravidel.
• Nakonfigurujte Upozornění WAF abyste byli upozorněni na jakoukoli špičku WAF událostí. U Advanced Security Events Alert můžete na plánech Enterprise filtrovat podle jedné nebo více domén a podle Data Loss Protection službu pro příjem konkrétních upozornění na Sensitive Data Detection.