INTEGRITY Документация

← Cloudflare API Shield / api-shield / security

API Discovery

Большинство команд разработчиков с трудом отслеживают свои API. Cloudflare API Discovery помогает составить карту поверхности атаки на API и разобраться в ней: это полный набор конечных точек, которые могут стать целью злоумышленников.

Процесс

Cloudflare формирует карту Конечные точки API путем группировки похожих путей запросов (нормализация пути).

Например, у вас может быть тысячи API, но многие вызовы выглядят похоже, например:

Оба пути служат похожей цели: они возвращают профили пользователей, но не идентичны друг другу. Чтобы упростить конечные точки, оба примера можно сопоставить с api.example.com/profile/*.

API Discovery выполняет этот процесс по всему вашему трафику, формируя простую карту конечных точек, которая может выглядеть так:

/api/login/{customer_identifier}
/api/auth
/api/account/{customer_identifier}
/api/password_reset
/api/logout

Аналогично, если у вас несколько поддоменов с одинаковым набором эндпоинтов, Cloudflare объединяет эти поддомены:

us-api.example.com/api/v1/users/{var1}
de-api.example.com/api/v1/users/{var1}
fr-api.example.com/api/v1/users/{var1}
jp-api.example.com/api/v1/users/{var1}

Cloudflare объединяет их в {hostVar1}.example.com/api/v1/users/{var1}.

Технические подробности см. в запись в блоге ↗.

Обнаруженные операции

Web Assets добавляет обнаруженные конечные точки API в реестр операций как операции-кандидаты. Операции-кандидаты дают контекст для сопоставления, логирования, обнаружения и применения правил еще до того, как вы проверите их вручную.

Продвигать все обнаруженные операции не обязательно. Продвижение операции перемещает её в full состояние и запустить обучение профиля. Операции со статусом Full поддерживают сохранённые профили API, результаты анализа рисков и меры защиты, которые требуют известной конечной точки API.

Чтобы подтвердить обнаруженную операцию:

  1. На панели управления Cloudflare перейдите к разделу Web Assets страницу.

    Перейдите в Web assets ↗

  2. Перейдите в Операции на вкладке.

  3. Откройте действия строки для операции-кандидата или теневой операции.

  4. Выберите Изучение профиля.

Cloudflare перемещает операцию в full состояние. После этого действие в строке изменится на Профиль изучен. Дополнительную информацию см. в Продвинуть операцию.

Обнаружение на основе машинного обучения

Эндпоинты вашего API обнаруживаются двумя способами: на основе идентификаторов сессий и на основе машинного обучения.

Чтобы получить доступ к обнаружению на основе машинного обучения:

  1. На панели управления Cloudflare перейдите к разделу Web Assets страницу.

    Перейдите в Web assets ↗

  2. Перейдите в Discovery на вкладке.

  3. Отфильтруйте результаты источника по Session Identifier или Machine Learning чтобы просмотреть результаты по каждому методу обнаружения.

Если весь API-трафик вашей зоны содержит настроенный вами идентификатор сессии, оба источника обнаружения могут выдавать одинаковые результаты из-за сходства в используемой методологии. Обнаружение на основе машинного обучения способно определять трафик API независимо от того, используется ли в вашем API идентификатор сессии.

Любые отзывы о результатах API Discovery вы можете направлять своей команде по работе с клиентами.

Требования

Для работы API Discovery нужна активная подписка API Shield как на уровне аккаунта, так и на уровне зоны. Если подписка активна на уровне аккаунта, но не назначена зоне, Discovery не будет работать для этой зоны.

Чтобы эндпоинт появился в результатах Discovery, каждый запрос должен соответствовать следующим условиям:

Подробнее см. в Требования к обнаружению.

Доступность

API Discovery доступен только клиентам плана Enterprise. Если вы клиент плана Enterprise и хотите подключить этот продукт, обратитесь к своей команде по работе с клиентами.