← Cloudflare API Shield / api-shield / security
Состояние аутентификации
Authentication Posture обнаруживает конечные точки API с отсутствующей или непоследовательной аутентификацией и предупреждает о возможных ошибках конфигурации.
Например, специалист по безопасности может ожидать, что его API-эндпоинты /api/v1/users и /api/v1/orders требуют аутентификации. Однако ошибки в политиках аутентификации API источника могут приводить к уязвимостям неполной аутентификации, что позволяет получать доступ к защищённым ресурсам без аутентификации. Authentication Posture показывает статус аутентификации успешных запросов к конечным точкам вашего API и предупреждает о возможных ошибках конфигурации.
Рассмотрим типичное приложение электронной коммерции. Пользователи могут просматривать товары и цены без входа в систему. Однако, чтобы получить сведения о заказе через GET /api/v1/orders/{order_id}, пользователи должны входить в систему и передавать HTTP-заголовок Authorization со всеми запросами. Cloudflare уведомляет вас через Security Center Insights и Метки конечных точек если успешные запросы поступают на эту или любую другую конечную точку без аутентификации, когда идентификаторы сессий настроены.
Процесс
После настройки идентификаторы сессий, API Shield непрерывно анализирует ваш трафик на предмет успешных запросов без аутентификации и ежедневно маркирует конечные точки. Методика маркировки описана в таблице ниже.
| Описание | Коды ответов 2xx | Коды ответов 4xx, 5xx |
|---|---|---|
| Если во всех запросах отсутствует аутентификация, Cloudflare применит метку: | cf-missing-auth |
Без успешных ответов метка не будет добавлена. |
| Если аутентификация отсутствует только в части запросов, Cloudflare применит метку: | cf-mixed-auth |
Без успешных ответов метка не будет добавлена. |
Изучите данные аутентификации эндпоинта
-
На панели управления Cloudflare перейдите к разделу Web Assets страницу.
Перейдите в Web assets ↗ -
Перейдите в Конечные точки на вкладке.
-
Отфильтруйте эндпоинты по
cf-risk-missing-authилиcf-risk-mixed-authметок. -
Выберите конечную точку, чтобы увидеть сведения о состоянии её аутентификации на странице сведений о конечной точке.
-
Выберите между представлением за 24 часа и за 7 дней и отметьте любые изменения аутентификации с течением времени.
Основной виджет аутентификации показывает, сколько успешных запросов за последние семь дней содержали идентификаторы сессии, и какие именно идентификаторы присутствовали в трафике.
График аутентификации во времени показывает подробную динамику того, как клиенты успешно взаимодействовали с вашим API и какие идентификаторы при этом использовались. Резкий рост неаутентифицированного трафика может свидетельствовать об инциденте безопасности. Аналогично, любой успешный неаутентифицированный трафик на эндпоинте, который должен быть аутентифицирован на 100%, может быть поводом для беспокойства.
Обсудите с командой разработки, какие политики аутентификации в вашем API нужно скорректировать, чтобы прекратить неаутентифицированный трафик.
Блокировка неаутентифицированного трафика с помощью Cloudflare
Чтобы блокировать неаутентифицированные запросы, создайте пользовательское правило с помощью cf.api_gateway.auth_id_present поле. Значение этого поля равно true когда в запросе присутствуют настроенные идентификаторы сессии API Shield. Можно также настроить условие на отсутствие, чтобы выявлять неаутентифицированный трафик. Добавьте условие по хосту и пути, чтобы ограничить действие правила конкретными конечными точками.
Ограничения
Authentication Posture работает только тогда, когда клиенты правильно настроили идентификаторы сессии в API Shield. Идентификаторы сессии должны однозначно определять аутентифицированных пользователей вашего API. Если вы не уверены, какой идентификатор сессии использует ваш API, обратитесь к своей команде разработки.
Доступность
Authentication Posture доступна всем клиентам на плане Enterprise с подпиской на API Shield.