← Cloudflare API Shield / api-shield / management-and-monitoring

Служба маркировки конечных точек

Сервис меток в API Shield помогает упорядочить конечные точки и устранять уязвимости в API. Он поддерживает как управляемые Cloudflare метки, так и метки, заданные пользователем.

Управляемые метки помогают организовать конечные точки по сценариям использования. Кроме того, они автоматически выявляют конечные точки с информационными или связанными с безопасностью рисками, обращая внимание на точки, требующие проверки.

Пользовательские метки также можно добавлять к конечным точкам в API Shield: создайте метку и присвойте ее одной или нескольким конечным точкам. Пользовательские метки удобны для организации конечных точек по владельцу, версии или типу.

Вы можете фильтровать конечные точки по меткам.

Используйте управляемые метки, чтобы определять конечные точки по сценарию использования. В будущих версиях Cloudflare может применять такие метки автоматически.

cf-log-in: добавляйте эту метку к конечным точкам, которые принимают учётные данные пользователя. У вас может быть несколько таких конечных точек, если имя пользователя, пароль и многофакторная аутентификация (MFA) обрабатываются в разных конечных точках или запросах.

cf-sign-up: добавляйте эту метку к конечным точкам, которые представляют собой последний шаг создания учётной записи пользователя на вашем сайте или в приложении.

cf-content: добавляйте эту метку к конечным точкам, которые предоставляют уникальный контент: сведения о товаре, отзывы пользователей, цены и другую уникальную информацию.

cf-purchase: добавляйте эту метку к конечным точкам, которые представляют собой последний шаг онлайн-покупки товаров или услуг.

cf-password-reset: добавляйте эту метку к конечным точкам, участвующим в процессе сброса пароля пользователя. Сюда входят как первоначальные запросы на сброс пароля, так и финальная отправка нового пароля.

cf-add-cart: добавляйте эту метку к конечным точкам, которые добавляют товары в корзину пользователя или проверяют их наличие.

cf-add-payment: добавляйте эту метку к конечным точкам, которые принимают данные банковских карт или счетов, если злоумышленники могут перебирать номера счетов, подбирая действительные комбинации платёжной информации.

cf-check-value: добавляйте эту метку к конечным точкам, которые проверяют баланс бонусных баллов, игровой валюты или других накопительных продуктов, которые можно заработать, передать или обменять на деньги либо физические товары.

cf-add-post: добавляйте эту метку к конечным точкам, которые публикуют сообщения на форумах или отзывы о товарах и продавцах.

cf-account-update: добавляйте эту метку к конечным точкам, которые участвуют в обновлении учётной записи или профиля пользователя.

cf-llm: сервисы, которые (частично) работают на основе большой языковой модели (LLM).

cf-mcp: добавляйте эту метку к конечным точкам, реализующим Model Context Protocol (MCP) для доступа ИИ-инструментов к данным.

cf-rss-feed: добавляйте эту метку к конечным точкам, которые рассчитаны на трафик от RSS-клиентов.

cf-web-page: добавляйте эту метку к конечным точкам, которые отдают HTML-страницы.

cf-contains-ads: добавляйте эту метку к конечным точкам, которые отдают веб-страницы с рекламой.

Cloudflare автоматически выполняет сканирование рисков для сохранённых конечных точек каждые 24 часа. API Shield применяет эти метки, если сканирование выявляет риски безопасности на ваших конечных точках. При обнаружении рисков также создаётся соответствующий Security Center Insight.

cf-risk-missing-auth: добавляется автоматически, если ни один успешный запрос не содержит идентификатора сессии. См. Состояние аутентификации, где это описано подробнее.

cf-risk-mixed-auth: добавляется автоматически, если часть успешных запросов содержит идентификатор сессии, а часть нет. См. Состояние аутентификации, где это описано подробнее.

cf-risk-sensitive: добавляется автоматически к конечным точкам, если HTTP-ответы соответствуют настроенным в WAF Sensitive Data Detection набор правил.

cf-risk-error-anomaly: добавляется автоматически, если за последние 24 часа на конечной точке заметно выросло число ошибок в ответах.

cf-risk-latency-anomaly: добавляется автоматически, если за последние 24 часа на конечной точке заметно выросла задержка ответов.

cf-risk-size-anomaly: добавляется автоматически, если за последние 24 часа на конечной точке произошёл резкий рост размера тела ответа.

cf-risk-bola-enumeration: добавляется автоматически, если на конечной точке фиксируются успешные ответы с резкими различиями в числе уникальных элементов, запрашиваемых разными пользовательскими сессиями.

cf-risk-bola-pollution: добавляется автоматически, если конечная точка получает успешные ответы, в которых параметры встречаются сразу в нескольких местах запроса, хотя схема API этого не предполагает.

cf-risk-zombie: добавляется автоматически, если сохранённая конечная точка не получала трафик в течение 32 дней.

Способ устранения рисков для ваших конечных точек зависит от их меток. Следующие шаги содержат общие рекомендации по принятию мер.

Вы можете запросить сопоставленную операцию и управляемые метки для отдельных запросов с помощью GraphQL Analytics API. webAssetsOperationId и webAssetsLabelsManaged поля доступны в httpRequestsAdaptive и httpRequestsAdaptiveGroups наборы данных. Используйте интроспекция чтобы изучить полную схему и доступные операторы фильтрации.

webAssetsLabelsManaged возвращает не более 10 меток за один запрос.

Следующий запрос возвращает количество запросов по идентификатору операции и набору управляемых меток, отфильтрованных по запросам, для которых сопоставленная операция имеет cf-log-in управляемая метка.

query GetAdaptiveGroups($start: DateTime!, $end: DateTime!) {
	viewer {
		zones(filter: { zoneTag: $zoneTag }) {
			httpRequestsAdaptiveGroups(
				filter: {
					datetime_geq: $start
					datetime_leq: $end
					requestSource: "eyeball"
					webAssetsLabelsManaged_hasany: ["cf-log-in"]
				}
				limit: 25
				orderBy: [count_DESC]
			) {
				count
				dimensions {
					webAssetsOperationId
					webAssetsLabelsManaged
				}
			}
		}
	}
}

Замените cf-log-in с любым управляемая метка или метка риска. Вы также можете опустить webAssetsLabelsManaged_hasany фильтр и используйте webAssetsOperationId как единственное измерение для группировки трафика по найденной операции независимо от метки.

Вы можете экспортировать данные Web Assets по каждому запросу в свое хранилище или в Система SIEM по вашему выбору с помощью Logpush. WebAssetsOperationID и WebAssetsLabelsManaged поля доступны в Набор данных HTTP requests.

Также вы можете создать пользовательскую метку через Безопасность > Web Assets.

Маркировка конечных точек доступна всем клиентам.