← Client-side security / client-side-security
Начало работы с защитой на стороне клиента
1. Включите мониторинг клиентских ресурсов
Чтобы включить мониторинг клиентских ресурсов:
-
В панели управления Cloudflare перейдите в раздел Security Настройки страницу.
Перейдите в Настройки ↗ -
(Необязательно) Отфильтруйте по Злоупотребление на стороне клиента.
-
Включите Непрерывный мониторинг скриптов.
Если у вас нет доступа к настройкам защиты на стороне клиента в панели управления Cloudflare, проверьте, есть ли у вашего пользователя одна из необходимые роли.
2. Просмотрите обнаруженные ресурсы
После включения мониторинга клиентских ресурсов может пройти некоторое время, прежде чем появится список скриптов, обнаруженных в вашем домене.
Чтобы просмотреть скрипты, обнаруженные Cloudflare:
-
На панели управления Cloudflare перейдите к разделу Web assets страницу.
Перейдите в Web assets ↗ -
Выберите Ресурсы на стороне клиента на вкладке.
-
Просмотрите список обнаруженных скриптов и проверьте, нет ли среди них неизвестных или неожиданных. В зависимости от тарифного плана и подписок, Cloudflare также:
- Информировать вас, если скрипт считается вредоносным.
- Показать сведения о каждом обнаруженном скрипте.
В зависимости от тарифного плана Cloudflare вы также можете просматривать соединения, устанавливаемые скриптами на страницах вашего домена, и проверять их на вредоносную активность.
3. (Необязательно) Настройте оповещения
После того как вы активируете мониторинг ресурсов client-side security, вы сможете настроить одно или несколько оповещений о соответствующих изменениях на стороне клиента в ваших зонах. Разделы доступные типы оповещений зависят от вашего плана Cloudflare и подписок.
Чтобы настроить оповещение:
-
На панели управления Cloudflare перейдите к разделу Уведомления страницу.
Перейдите в Уведомления ↗ -
Выберите Add и затем выберите Client-side security (formerly Page Shield) в Продукт в раскрывающемся списке.
-
Выберите тип оповещения.
-
Введите название и описание уведомления.
-
(Необязательно) Если вы являетесь клиентом с Client-Side Security Advanced, вы можете определите зоны, для которых нужно фильтровать оповещения в Правила этих зон. Для этого параметра необходимо определить правила безопасности контента в выбранных зонах.
-
Выберите один или несколько адресатов уведомлений (уведомления по электронной почте, webhooks и подключённые сервисы уведомлений).
-
Выберите Создание.
Сведения о том, как обрабатывать оповещения, см. в Обработка оповещения о ресурсе на стороне клиента.
4. (Необязательно) Определите правила безопасности контента
Правила безопасности содержимого (ранее называвшиеся политиками) определяют разрешённые ресурсы на ваших веб-сайтах. Создавайте правила безопасности контента, чтобы реализовать модель безопасности на основе разрешённых ресурсов1.
4.1. Создайте правило безопасности контента с действием Log
При создании правила безопасности контента с Log действие, Cloudflare регистрирует все ресурсы, не охваченные правилом, не блокируя при этом ни одного ресурса. Используйте это действие, чтобы проверить новое правило перед его развертыванием.
-
На панели управления Cloudflare перейдите к разделу Правила безопасности страницу.
Перейдите в Правила безопасности ↗ -
Выберите Создание > Правила безопасности содержимого.
-
Введите описательное название правила в Описание.
-
В разделе Если входящие запросы соответствуют, определяют область действия правила безопасности контента (или политики). Вы можете использовать Expression Builder (указав одно или несколько значений для Поле, Оператор, а также Значение) или вручную введите выражение с помощью Expression Editor. Дополнительные сведения см. Редактирование выражений в дашборде.
-
В разделе Разрешить эти директивы, выберите нужный Директивы CSP для правила безопасности контента, установив один или несколько флажков.
-
Чтобы вручную указать разрешённый источник, выберите Add source.
-
Чтобы обновить отображаемые источники на основе обнаруженных ресурсов, выберите Обновить рекомендации.
-
-
В разделе Затем выберите действие, выберите Log.
-
Чтобы сохранить и развернуть правило, выберите Развернуть.
4.2. Просмотрите нарушения правила
Ресурсы, не охваченные созданным вами правилом контентной безопасности, будут отмечены как нарушения правил. Через некоторое время просмотрите список нарушений правила, чтобы убедиться в его корректности.
Чтобы просмотреть сведения о нарушении правил:
-
На панели управления Cloudflare перейдите к разделу Правила безопасности страницу.
Перейдите в Правила безопасности ↗ -
(Необязательно) Отфильтруйте по Правила безопасности содержимого.
Отображаемая информация включает следующее:
- Мини-график рядом с названием правила, показывающий количество нарушений за последние семь дней.
- Для правил безопасности контента с зафиксированными нарушениями доступен раскрывающийся блок сведений по каждому правилу: в нём указаны основные ресурсы, фигурирующие в событиях нарушений, и спарклайн для каждого такого ресурса.
При необходимости обновите правило.
4.3. Измените действие правила на Allow
После того как вы убедитесь, что ваше правило контентной безопасности настроено верно, измените действие правила с Log к Allow.
Когда вы используете Allow действие, Cloudflare начинает блокировать любые ресурсы, явно не разрешенные правилом.
Сноски
-
Позитивная модель безопасности определяет, что разрешено, и отклоняет всё остальное. Негативная модель безопасности, напротив, определяет, что будет отклонено, а всё остальное принимает. ↩