← Cloudflare Security Center / security-center

Custom Indicator Feeds

Команда Cloudflare threat intelligence собирает данные об атаках из открытых источников и автоматически защищает пользователей, например от уязвимостей нулевого дня, таких как Атака HTTP/2 Rapid Reset ↗. Однако в некоторых случаях Cloudflare сотрудничает с внешними организациями, у которых есть собственные ленты, доступные для передачи соответствующим критериям пользователям Cloudflare.

С помощью пользовательских индикаторных фидов Cloudflare предоставляет фид данных о киберугрозах, сформированный на основе сведений от различных групп сотрудничества в области киберзащиты. Эти возможности фильтрации доступны государственным и частным организациям, отвечающим критериям участия.

Cloudflare предоставляет пользователям Gateway некоторые фиды без необходимости устанавливать отношения с поставщиком.

Данные Cloudflare threat intelligence формируются в результате обмена данными между поставщиками и подписчиками.

Провайдером является организация, у которой есть набор данных, которыми она заинтересована поделиться с другими организациями Cloudflare. Провайдером может стать любая организация. Примеры существующих провайдеров: группы государственной киберзащиты.

Подписчиком может стать любой клиент Cloudflare, который хочет дополнительно защитить свою среду, создавая правила на основе наборов данных провайдера. Подписчики должны быть авторизованы провайдером. Авторизация предоставляется с помощью Предоставить разрешение для конечной точки фида индикаторов.

Если ваша организация хочет стать поставщиком или подписчиком, обратитесь в свою команду по работе с клиентами.

Поставщики могут создавать собственный фид индикаторов и управлять им с помощью Конечные точки API пользовательских фидов индикаторов:

1. Чтобы настроить аккаунт в качестве поставщика фида индикаторов, обратитесь в вашу команду по работе с аккаунтом.

2. Создайте фид с помощью Создать новую конечную точку фида индикаторов. Запишите feed_id созданный для вашего фида. Например:

   Создать новый фид индикаторов

   curl "https://api.cloudflare.com/client/v4/accounts/<ACCOUNT_ID>/intel/indicator-feeds" \
   	--header 'Content-Type: application/json' \
   	--header 'X-Auth-Email: <EMAIL>' \
   	--header 'X-Auth-Key: <API_KEY>' \
   	--data '{
   	"description": "Custom indicator feed to detect threats",
   	"name": "threat_indicator_feed"
   }'

   {
   	"result": {
   		"id": 10,
   		"name": "threat_indicator_feed",
   		"description": "Custom indicator feed to detect threats",
   		"created_on": "2024-09-17T21:16:09.412Z",
   		"modified_on": "2024-09-17T21:16:09.412Z"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

3. Загрузите данные в фид с помощью Конечная точка обновления данных индикаторного фида. Загружаемые данные индикаторов должны быть в формате .stix2 ↗ файл этого формата. Этот максимальный размер загружаемого файла составляет 4.995 GiB.

   Обновление данных индикаторного фида

   curl --request PUT \
   	"https://api.cloudflare.com/client/v4/accounts/<ACCOUNT_ID>/intel/indicator-feeds/<FEED_ID>/snapshot" \
   	--header 'Content-Type: multipart/form-data' \
   	--header 'X-Auth-Email: <EMAIL>' \
   	--header 'X-Auth-Key: <API_KEY>' \
   	--form 'source=@/path/to/file'

   {
   	"result": {
   		"file_id": 1,
   		"filename": "snapshot_file.unified",
   		"status": "unified"
   	},
   	"errors": [],
   	"messages": [],
   	"success": true
   }

4. (Необязательно) Проверьте статус загрузки вашей ленты с помощью Конечная точка получения данных фида индикаторов. Например:

   Получить данные фида индикаторов

   curl --request GET \
   	"https://api.cloudflare.com/client/v4/accounts/<ACCOUNT_ID>/intel/indicator-feeds/<FEED_ID>/data" \
   	--header 'Content-Type: application/json' \
   	--header 'X-Auth-Email: <EMAIL>' \
   	--header 'X-Auth-Key: <API_KEY>'

   {
   	"result": {
   		"id": 10,
   		"name": "threat_indicator_feed",
   		"description": "Custom indicator feed to detect threats",
   		"created_on": "2023-08-01T18:00:26.65715Z",
   		"modified_on": "2023-08-01T18:00:26.65715Z",
   		"latest_upload_status": "Complete"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

5. Предоставьте доступ подписчикам с Предоставить разрешение для конечной точки фида индикаторов. Вы можете добавлять подписчиков в список разрешённых подписчиков ленты, используя их идентификаторы аккаунта. Например:

   Обновление данных индикаторного фида

   curl --request PUT \
   	"https://api.cloudflare.com/client/v4/accounts/<ACCOUNT_ID>/intel/indicator-feeds/<FEED_ID>/snapshot" \
   	--header 'Content-Type: multipart/form-data' \
   	--header 'X-Auth-Email: <EMAIL>' \
   	--header 'X-Auth-Key: <API_KEY>' \
   	--data '{
   	"account_tag": "823f45f16fd2f7e21e1e054aga4d2859",
   	"feed_id": 10
   }'

После того как аккаунту предоставлен доступ к фиду, он становится доступен для сопоставления с трафиком как селектор в политиках Gateway DNS.

1. В Cloudflare One ↗, перейдите в Политики трафика > Политики Firewall. Выберите DNS.

2. Чтобы создать новую политику DNS, выберите Добавление политики.

3. Назовите политику.

4. В Трафик, добавьте условие с помощью Каналы индикаторов переключатель. Если вашему аккаунту предоставлен доступ к пользовательскому индикаторному фиду, Gateway отобразит этот фид в Значение. Например, вы можете блокировать сайты, которые появляются в ленте:

   Селектор	Оператор	Значение	Действие
   Каналы индикаторов	in	Threat Intel Feed	Block

5. Выберите Создать политику.

Дополнительные сведения о создании политик Gateway см. в разделе Политики DNS.