← Cloudflare Security Center / security-center

Cloudforce One

Cloudforce One представляет собой платформу Cloudflare для анализа угроз (Threat Intelligence Platform, TIP). Она собирает и сопоставляет данные об угрозах на основе телеметрии Cloudflare, а затем представляет их в виде визуализаций, автоматических правил и аналитики, проверенной экспертами.

Центр обеспечения безопасности (SOC ↗) команды используют Cloudforce One для расследования угроз, отслеживания злоумышленников и принятия мер: например, применения правил брандмауэра или экспорта индикаторов.

Доступ к Cloudforce One

Чтобы получить доступ к Cloudforce One:

На панели управления Cloudflare перейдите к разделу Аналитика угроз страницу.
Перейдите в Аналитика угроз ↗

Cloudforce One также можно использовать через REST API.

Страница Threat Intelligence содержит четыре раздела:

Threat Events : Просмотр и анализ данных об угрозах, собранных в сети Cloudflare.
Приоритетные разведывательные потребности (PIR) : Определение тем анализа, которые важны для вашей организации. PIR помогают выявлять пробелы в охвате угроз.
Запросы информации (RFI) : Отправка конкретных запросов команде аналитиков Cloudforce One.
Отчеты : Чтение последних отчётов об угрозах, опубликованных Cloudforce One.

Анализ событий угроз

События угроз отражают телеметрию Cloudflare и активность злоумышленников, зафиксированную в сети Cloudflare. Используйте события угроз для расследования угроз, направленных против вашей организации или отрасли.

Чтобы получить доступ к событиям угроз, перейдите в Аналитика угроз странице панели управления Cloudflare.

Перейдите в Аналитика угроз ↗

События угроз также доступны через API.

Клиенты Cloudforce One имеют доступ к следующим наборам данных:

Advanced Persistent Threats (APTs): набор данных по умолчанию
DDoS ↗ атаки
Киберпреступность
Скомпрометированные устройства
Резидентные прокси
WAF атаки

Определение злоумышленника

Панель управления Cloudflare предоставляет визуализации, включающие:

Диаграммы Санки : Диаграммы потоков, которые визуализируют распределение атак между источниками и целями. Используйте их, чтобы проследить путь атаки от исходной инфраструктуры до цели.
Распределение по отраслям : Определение того, направлены ли кампании на ваш конкретный сектор (например, финансы или розничную торговлю).

Поиск индикаторов

Ищите определённые индикаторы в глобальных наборах данных, включая:

IP-адреса и домены
Хеши файлов
JA3 fingerprints : TLS-отпечатки клиентов, используемые для профилирования конкретных SSL/TLS-клиентов на разных ресурсах назначения
Threat insights: свяжите события с конкретными кампаниями или именами злоумышленников (например, APT28).

Создавайте правила WAF и получайте уведомления

Сохранённые представления : Сохранение пользовательских фильтров для повторяющихся расследований событий угроз.
Автоматические правила : Создание правил безопасности на основе данных об угрозах и их отправка в ваш Cloudflare WAF или брандмауэр.
STIX2 ↗ экспорты : Экспорт данных об угрозах в формате STIX2 для интеграции со сторонними SIEM ↗ (Security Information and Event Management) или платформы SOAR (Security Orchestration, Automation, and Response).

Используйте Cloudy для анализа событий угроз

С помощью Cloudy, ИИ-агента Cloudflare, можно получить анализ и сводку по событиям угроз.

Чтобы проанализировать события угроз с помощью Cloudy:

На панели управления Cloudflare перейдите к разделу Аналитика угроз страницу.
Перейдите в Аналитика угроз ↗
Перейдите в Threat Events > Анализ с помощью Cloudy.

Cloudy покажет вам основные события угроз, проанализирует их и подготовит сводку. Вы также можете получить анализ на основе Злоумышленник, Индикатор, и другие. Например, вы можете ввести «Дай сводку по событиям угроз для ABC Attacker». После этого Cloudy сформирует сводку событий угроз для ABC Attacker.

Отправка RFI

Чтобы отправить RFI (Request for Information):

На панели управления Cloudflare перейдите к разделу Threat Intelligence страницу.
Перейдите в Аналитика угроз ↗
Выберите Запросы информации.
Выберите New Request.
Заполните обязательные поля, затем выберите Save.

Список типов RFI

При отправке запроса Request for Information доступны следующие типы запросов:

Binary Analysis - IOCs: проведите анализ вредоносного ПО высокого уровня, чтобы получить индикаторы компрометации (IOC) ↗ например callback-домен (домен, с которым взаимодействует вредоносное ПО) или IP-адрес.
Binary Analysis - Report: подробный анализ образца вредоносного ПО. Отчёт включает оценку атрибуции (определение вероятного злоумышленника) и извлечённую конфигурацию образца для дальнейшего анализа. Используйте этот тип, если вы расследуете инцидент или разрабатываете логику обнаружения в системе Endpoint Detection and Response (EDR ↗) инструмент или сетевой датчик.
DDoS Attack: подтвердите, является ли DDoS-атака ↗ происходит в отношении конкретного сайта. В ответе указываются доступные индикаторы и возможная атрибуция.
Indicator Analysis - IOCs: выполняйте DNS-запросы, переходы по origin-серверам и переходы по аккаунтам, чтобы получить такие индикаторы, как DNS-резолюции, IP-адреса origin-серверов и поддомены. Анализ может включать паттерны регистрации аккаунтов и виктимологию (определение того, кто стал целью атаки).
Indicator Analysis - Report: подробный анализ индикаторов, представленный в формальном структурированном формате. Помимо перечисления IOCs ↗, отчёт объясняет, как индикаторы компрометации (IOC) действуют в рамках цепочки атаки, и связывает их с конкретными кампаниями, злоумышленниками и их тактиками, техниками и процедурами (TTP).
Passive DNS Resolution: найдите историческое соответствие между IP-адресом и доменом, к которому он резолвился в указанный период времени.
Strategic Threat Research: анализ более широких долгосрочных тенденций среди злоумышленников и отраслей. Этот тип дополняется данными разведки на основе открытых источников (OSINT) и предназначен для информирования руководства и планирования, а не для получения индикаторов, готовых к немедленному использованию.
Threat Detection Signature - IOCs: разработайте правило обнаружения: например, YARA ↗ правило, которое идентифицирует образец, поведение или наблюдаемый сетевой объект (например, IP-адрес, домен, хеш файла или атрибут HTTP-запроса).
Threat Detection Signature - Report: подробный анализ, исследующий оповещение об обнаружении угрозы. Используйте этот тип, когда нужно расставить приоритеты в реагировании или атрибутировать активность конкретному злоумышленнику.
Traffic Analysis - IOCs: проанализируйте HTTP-телеметрию для рассматриваемых индикаторов компрометации (IOC). Ответ содержит соответствующий очищенный трафик, который может включать страну жертвы и, в некоторых случаях, номера автономных систем (ASN) жертвы. Также выявляются вредоносные файлы, полезные нагрузки и нетипичные пути файлов или паттерны запросов.
Traffic Analysis - Report: анализ HTTP-телеметрии для выявления паттернов, аномалий и индикаторов вредоносного поведения. Отчёт даёт контекст для наблюдаемого сетевого поведения и сопоставляет его с известными TTP конкретных групп злоумышленников.
Уязвимость: расследование с целью атрибуции эксплуатации уязвимости конкретному злоумышленнику или выявления IP-адресов, доменов или групп злоумышленников, эксплуатирующих определённую уязвимость. Ответ может включать соответствующий очищенный от конфиденциальных данных трафик, демонстрирующий эксплуатацию, а также определение стран и отраслей жертв.

После того как вы выберете Save, на панели управления отобразится обзор общей информации, включающий:

Статус: когда вы отправляете RFI, статус Open. После того как команда принимает RFI, статус меняется на Accept. Когда команда берёт на себя обязательство ответить на ваш RFI, статус меняется на Complete.
Приоритет: приоритет запроса.
Тип запроса: выберите один из типов запроса, например DDoS Attack, Passive DNS Resolution и другие.
Запросить содержимое: содержимое запроса.

Responses раздел позволяет добавлять уточняющие вопросы и комментарии.

Чтобы просмотреть свой RFI, выберите Запросы Cloudforce One на боковой панели, найдите нужный RFI, затем выберите Просмотр. Здесь же можно отредактировать существующий RFI, выбрав Изменить.

Чтобы удалить RFI, его статус должен быть Open. Перейдите к RFI, который нужно удалить, и выберите Удалить. Во всплывающем окне выберите Удалить чтобы подтвердить удаление. После того как Cloudflare примет запрос RFI и начнёт его обработку, удалить RFI будет уже нельзя.

Загрузка и скачивание вложений

Вы также можете загружать и скачивать вложения.

В разделе Вложения, выберите файл, который нужно загрузить, затем выберите Save.

Чтобы скачать вложение, выберите Скачать по вложению.

Повышение уровня защищённости или восстановление после инцидента

Используйте Cloudforce One, чтобы улучшить уровень защищённости или восстановиться после произошедшего инцидента.

В Панель управления Cloudflare ↗, перейдите в Безопасность приложений > Incident Response.
Выбрать сервис: выберите одну из служб.
Укажите детали запроса:

Заполните необходимую информацию для выбранной службы. Выберите Далее.
Проверьте свой запрос, затем выберите Отправить.
После отправки запроса с вами свяжется команда Cloudforce One.

Запросить помощь при активной атаке

Чтобы остановить активную кибератаку, запросите помощь через панель управления Cloudflare.

На панели управления Cloudflare перейдите к разделу Главная страница аккаунта страницу и выберите свой аккаунт.

Перейдите в Главная страница аккаунта ↗

В верхней панели выберите Поддержка > Получить справку > Under attack.
В разделе Запросите помощь, чтобы остановить активные кибератаки, выберите Запросить помощь.
Панель управления покажет всплывающее окно, в котором нужно будет ввести и подтвердить номер телефона.
После того как вы указали номер телефона, выберите Подтверждение номера и запрос помощи. Запрос помощи через панель управления направит уведомление специалисту по реагированию на инциденты, и вам перезвонят в кратчайшие сроки. Рекомендуем дождаться обратного звонка и использовать телефонную линию только в том случае, если команда не связалась с вами в течение 10 минут.