← Client-side security / client-side-security / how-it-works

Обнаружение вредоносных скриптов и подключений

Cloudflare использует три взаимодополняющих механизма, чтобы определить, является ли скрипт или инициированное им подключение вредоносным. Каждый механизм проверяет данные на разных уровнях: код скрипта, URL-адрес, на котором он размещён, или домен, с которого он обслуживается:

• Обнаружение вредоносных скриптов : анализирует фактический код JavaScript на предмет вредоносного поведения.
• Проверки вредоносных URL-адресов : сверяет URL скриптов с источниками информации об угрозах.
• Проверки вредоносных доменов : сверяет домены скриптов с источниками информации об угрозах.

Любые обновления фидов аналитики угроз запускают повторную проверку ранее обнаруженных скриптов и соединений, поэтому панели мониторинга клиентских ресурсов всегда отражают актуальную категоризацию.

Cloudflare анализирует код JavaScript скриптов, загружаемых у посетителей вашего сайта. В этом анализе используется машинное обучение, включая LLM на базе Workers AI, чтобы снизить долю ложных срабатываний и точнее выявлять реальные угрозы, такие как Атаки типа Magecart ↗, когда внедренный код похищает данные платежных карт из форм оформления заказа.

Анализ присваивает каждой версии скрипта показатель целостности JS от 1 до 99. Чем ниже показатель, тем выше риск: значение 1 означает, что скрипт точно вредоносный, а 99 означает, что скрипт точно безопасный.

Cloudflare классифицирует скрипт как вредоносный, если его оценка опускается ниже порогового значения, которое в настоящее время равно 10. Скрипты с оценкой ниже этого порога отображаются как вредоносные на панелях мониторинга.

Помимо показателя целостности, Cloudflare также будет предоставлять отдельные оценки для разных типов обнаружения вредоносного кода (оценки от 1 до 99):

• Magecart
• Криптомайнинг
• Вредоносное ПО

Вы можете настроить Malicious Script Alerts чтобы получать уведомление, как только Cloudflare обнаружит в вашем домене код JavaScript, классифицированный как вредоносный.

Cloudflare ищет URL-адреса ваших зависимостей JavaScript в источниках аналитики угроз, чтобы определить, следует ли классифицировать какой-либо из этих скриптов как вредоносный.

На панелях управления мониторингом ресурсов на стороне клиента вредоносные скрипты отображаются в начале списка скриптов.

Вы можете настроить Malicious URL Alerts чтобы получать уведомление, как только Cloudflare обнаружит в вашем домене скрипт с вредоносного URL.

В зависимости от текущей конфигурации Cloudflare может также искать вредоносные URL-адреса среди адресов исходящих соединений, устанавливаемых скриптами на вашем домене. Чтобы включить эту проверку, необходимо разрешить мониторингу ресурсов использовать полные URL-адреса исходящих соединений вместо только имени хоста на странице настроек.

Cloudflare ищет домены ваших клиентских зависимостей JavaScript в источниках данных об угрозах, чтобы определить, не обслуживается ли какой-либо из этих скриптов с известного вредоносного домена.

Домен, ранее помеченный как вредоносный, позже может быть помечен как безопасный, если после дополнительного анализа он будет признан безопасным.

Cloudflare также проверяет целевые домены подключений, инициируемых скриптами на страницах вашего домена, используя тот же подход, что описан для скриптов.

Вы можете настроить Malicious Domain Alerts чтобы получать уведомление, как только Cloudflare обнаружит в вашем домене вредоносный скрипт, загруженный с известного вредоносного домена.

Скрипты и подключения, считающиеся вредоносными, классифицируются на основе данных из источников информации об угрозах. Ниже перечислены текущие категории:

• Угрозы безопасности
• Command-and-Control (C2) & Botnet
• Криптомайнинг
• Шпионское ПО
• Фишинг
• Вредоносное ПО
• Домен DGA (Domain Generation Algorithm)
• Тайпсквоттинг и имперсонация

Каждый скрипт или соединение, признанные вредоносными, могут относиться сразу к нескольким категориям.