← Client-side security / client-side-security / best-practices

Обработка оповещения о ресурсе на стороне клиента

Если вы получаете оповещение о клиентских ресурсах, иногда требуется провести дополнительное ручное исследование, чтобы подтвердить природу скрипта. Используйте рекомендации на этой странице как отправную точку для своего исследования.

1. Определите, что вызвало срабатывание оповещения

Начните с определения система обнаружения вызвавшем срабатывание оповещения. В оповещении есть ссылка, которая ведет непосредственно в панель управления Cloudflare к соответствующему ресурсу, требующему проверки. Также можно выполнить следующее:

На панели управления Cloudflare перейдите к разделу Web assets страницу.
Перейдите в Web assets ↗
Выберите Ресурсы на стороне клиента на вкладке.
Выберите Скрипты или Соединения и найдите ресурс, упомянутый в полученном вами оповещении.
Выберите Подробности рядом с обнаруженным вами ресурсом. Пример снимка экрана ниже показывает вредоносный ресурс-скрипт.

На странице сведений указывается, какая система обнаружения вызвала оповещение. Проверьте значения следующих полей:

Вредоносный код
Вредоносный URL-адрес
Вредоносный домен

Разные механизмы обнаружения могут одновременно признать скрипт вредоносным. Это снижает вероятность того, что обнаружение окажется ложным срабатыванием.

2. Найдите страницу, на которой был обнаружен ресурс

Если вы получили оповещение о потенциально вредоносном скрипте:

Перейдите на страницу своего сайта, где загружается скрипт или выполняется подключение. Откройте браузер и перейдите по одному из URL-адресов в разделе URL-адреса страниц поле (отображается в диалоговом окне сведений о скрипте).
Откройте инструменты разработчика браузера, чтобы убедиться, что скрипт действительно загружается. Проверить это можно во вкладке инструментов разработчика Сеть вкладке, выполнив поиск по имени скрипта, URL или хосту.

Если вы получили оповещение о потенциально вредоносном подключении:

Перейдите на страницу сайта, где устанавливается подключение, вызвавшее оповещение. Откройте браузер и перейдите по одному из адресов URL, указанных в URL-адреса страниц поле (отображается в диалоговом окне сведений о соединении).
Откройте инструменты разработчика браузера, чтобы убедиться, что подключение действительно выполняется. Проверить это можно во вкладке инструментов разработчика Сеть вкладке, выполнив поиск по целевому хосту подключения.

Если вы находите скрипт или подключение, это значит, что скрипт загружается (или подключение устанавливается) для всех посетителей сайта. Перейдите к шаг 3.

Если вы не находите загружаемый скрипт или устанавливаемое подключение, это может означать одно из следующего:

Скрипт загружается (или подключение устанавливается) расширениями браузера посетителей.
В текущем состоянии скрипт не загрузится и подключение не будет установлено. Сложные приложения могут загружать скрипты и устанавливать подключения в зависимости от состояния.
Вы находитесь не в том географическом местоположении (или выполняется аналогичное условие).
Злоумышленник загружает скрипт или устанавливает подключение только для части посетителей либо для посетителей с определёнными браузерами или сигнатурами.

В этом случае, помимо описанных ниже шагов, лучше всего:

В безопасной виртуальной среде выполните поиск данного ресурса с помощью онлайн-инструментов. Изучите результаты и метаданные ресурса, например сведения о регистрации домена;
Если сомневаетесь, поищите ресурс в кодовой базе приложения, и если найдёте его, выясните его назначение.

3. Проверьте репутацию скрипта

Если Cloudflare классифицирует домен ресурса как «вредоносный домен», это обычно означает, что у него не самая лучшая репутация. Такой домен может быть известен размещением вредоносного ПО либо использованием для фишинговых атак. Как правило, чтобы понять причину полученного оповещения, достаточно проверить домен или имя хоста. Для этого можно использовать такие инструменты Cloudflare, как Security Center Investigate ↗ платформу, которая поможет в этой проверке.

Если внутренние системы Cloudflare классифицировали скрипт как содержащий «вредоносный код», сторонние инструменты могут не подтвердить обнаружение, полученное от Cloudflare, поскольку используемая модель машинного обучения (ML) является технологией, специфичной для Cloudflare.

Если вы считаете, что классификация Cloudflare является ложным срабатыванием, обратитесь в свою команду по работе с аккаунтом, чтобы мы могли и дальше совершенствовать технологию, лежащую в основе client-side security.

4. (Необязательно) Проанализируйте содержимое скрипта

Часть описанного ниже анализа можно провести с помощью виртуальной машины:

Откройте URL-адрес скрипта и получите его исходный код. Если код скрипта обфусцирован или закодирован, это может указывать на то, что скрипт вредоносный.
Проверьте исходный код скрипта на наличие имён хостов или IP-адресов.
Для каждого обнаруженного хоста или IP-адреса используйте платформу Cloudflare Security Center Investigate, чтобы найти сведения об угрозах и (или) выполнить поиск в интернете на предмет возможных индикаторов компрометации.

Заключение

Если ресурс, вызвавший оповещение о вредоносном ресурсе:

Активно присутствует в вашем приложении
Загружается с вредоносного хоста или IP-адреса либо содержит вредоносный код
Содержит в исходном коде вредоносные имена хостов или IP-адреса, которые могут быть обфусцированы либо закодированы

Рекомендуется провести дополнительное расследование, поскольку эти признаки могут указывать на текущую активную компрометацию.