← Документация WAF / analytics

Security Analytics

Security Analytics отображает информацию обо всех входящих HTTP-запросах вашего домена, включая запросы, не обработанные продуктами безопасности Cloudflare. Это даёт видимость полного профиля трафика, а не только запросов, вызвавших срабатывание правила безопасности.

По умолчанию Security Analytics показывает запросы конечных пользователей (запросы непосредственно к вашему сайту, в отличие от запросов, генерируемых продуктами Cloudflare). Запросы, генерируемые Cloudflare Workers подзапросы не учитываются.

Используйте дашборд Security Analytics, чтобы:

• Просматривайте распределение трафика для вашего домена.
• Понять, какой трафик митигирован продуктами безопасности Cloudflare, а также откуда обслуживается необработанный трафик (глобальная сеть Cloudflare или исходный сервер ↗).
• Анализируйте подозрительный трафик и создавайте адаптированные пользовательские правила WAF на основе применённых фильтров.
• Просматривайте оценки безопасности Cloudflare (attack score, оценка ботов (bot score), вредоносные загрузки и утёкшие учётные данные результатов) с реальными данными вашего трафика.
• Подбор подходящего лимита частоты для входящего трафика.
• Анализ подозрительного трафика (новый дашборд безопасности only).

Security Analytics показывает весь трафик независимо от того, воздействовал ли на него Cloudflare. Если вам нужны запросы, на которые продукты безопасности Cloudflare воздействовали или которые они пометили, см. Security Events.

Аналитика уровня зоны/домена включена во все планы, однако срок хранения, окно запроса, отображаемая статистика и варианты фильтров зависят от плана. Аналитика уровня аккаунта доступна только клиентам с доменными планами Business и Enterprise.

Чтобы использовать Security Analytics:

Настройте область аналитики, вручную вводя условия фильтрации. Вы также можете выбрать Filter или Исключить для фильтрации по значению поля. Эти кнопки появляются при наведении курсора на легенду данных аналитики.

Чтобы добавить фильтр вручную:

При вводе значений фильтров учитывайте следующее:

• Не заключайте значения в кавычки.
• Не вводите AS при вводе номеров ASN. Например, введите 1423 вместо AS1423.
• Подстановочные знаки не поддерживаются.

Выберите анализируемый временной интервал в Previous 24 hours выпадающем списке.

Чтобы создать пользовательское правило с выражением на основе фильтров, применённых в Security Analytics, выберите Create custom security rule над основной диаграммой.

новый дашборд безопасности и старая панель управления имеют ряд различий, включая порядок разделов на странице Security Analytics.

Раздел подозрительной активности показывает информацию о подозрительных запросах, выявленных включёнными вами обнаружениями Cloudflare. Поддерживаемые обнаружения включают:

• Захват учётных записей (account takeover)
• Проверка утёкших учётных данных (только при утёкшей паре «пользователь и пароль»)
• Вредоносные загрузки
• WAF attack score
• AI Security for Apps

Каждая подозрительная активность классифицируется по степени серьёзности — от критической до низкой. Для дальнейшего расследования используйте фильтры.

Основной график отображает следующие данные за выбранный интервал в зависимости от выбранной вкладки:

• Анализ трафика: трафик, обработанный платформой безопасности Cloudflare, обслуженный Cloudflare и обслуженный исходным сервером, согласно следующей классификации:

  • Митигировано WAF: Запросы, заблокированные или получившие челлендж продуктами безопасности приложений Cloudflare, такими как WAF и защита от HTTP DDoS. Запросы с Log, Skip, или Allow действия не учитываются как обработанные (mitigated).
  • Served by Cloudflare: Запросы, обслуженные глобальной сетью Cloudflare, например кешированный контент и перенаправления.
  • Отдано источником: Запросы, обслуженные вашим исходным сервером.

• Анализ атак: WAF attack score анализ входящих запросов, классифицируя их как Clean, Вероятно безвредный, Likely attack, или Атака.

• Анализ ботов: Оценка бота анализ входящих запросов, классифицируя их как Автоматизированный, Likely automated, Вероятно человек, или Верифицированный бот.

• Анализ частоты запросов: показывает данные о частоте запросов для трафика по выбранным фильтрам и периоду. Используйте эту вкладку, чтобы подобрать подходящий лимит частоты для входящего трафика, соответствующего применённым фильтрам.

• Анализ Cloudy (бета): Получайте инсайты о безопасности вашего приложения, задавая вопросы к данным на естественном языке. Дополнительную информацию см. в наша запись в блоге ↗.

Этот раздел представляет основную статистику входящих запросов с выделением значимых свойств, обычно используемых при анализе безопасности.

Вы можете отфильтровать или исключить некоторые из топ-значений, выбрав Filter или Исключить рядом с каждым значением.

Чтобы отобразить дополнительную топ-статистику, выберите More top statistics.

Инсайты показывают статистику по часто используемым фильтрам при анализе безопасности, не применяя эти фильтры к отображаемым данным немедленно.

Если вы видите высокое значение в одном или нескольких инсайтах, это может означать наличие набора подозрительных запросов, которые стоит расследовать. Кроме того, эти инсайты — хорошая отправная точка для применения первого набора фильтров к дашборду.

Чтобы применить фильтры инсайта к данным, отображаемым в дашборде Security Analytics, выберите Filter рядом с инсайтом.

Анализ атак, Анализ ботов, Вредоносные загрузки и Обнаружение злоупотребления аккаунтами (разделы) показывают статистику по оценкам безопасности Cloudflare для входящих запросов за выбранный интервал:

• Анализ атак: использует Оценки атак WAF (attack score) для классификации запросов по вероятности того, что запрос вредоносный.
• Анализ ботов: использует bot score для классификации запросов по вероятности того, что они исходят от автоматизированного трафика.
• Вредоносные загрузки: использует Сканирование содержимого WAF для обнаружения потенциально вредоносного контента, загружаемого в запросах.
• Обнаружение злоупотребления аккаунтами: использует обнаружение утёкших учётных данных для выявления попыток входа с учётными данными, скомпрометированными в утечках данных. Все планы включают доступ к Проверка утёкших учётных данных в этом разделе. Дополнительную информацию о том, что делать при утёкших учётных данных, см. в Примеры правил блокировки.

Вы можете изучать разные сегменты трафика по текущей метрике (attack score, bot score или сканирование содержимого). Чтобы применить фильтры по оценке для разных сегментов, используйте кнопки под графиком трафика. Например, выберите Likely attack в разделе Анализ атак, чтобы отфильтровать запросы, которые, вероятно, являются атакой (запросы со значениями WAF attack score от 21 до 50).

Кроме того, с помощью ползунка под графиком можно фильтровать входящие запросы по текущей метрике. Это позволяет выделять группы трафика за пределами предопределённых сегментов.

Security Analytics показывает журналы запросов за выбранный период с учётом применённых фильтров, а также подробную информацию и анализ безопасности этих запросов.

По умолчанию Security Analytics использует сэмплированные журналы (подмножество трафика, а не каждый отдельный запрос). Сэмплирование позволяет Cloudflare возвращать результаты за секунды даже при больших объёмах запросов. Если у вас есть подписка на Log Explorer, у вас также может быть доступ к необработанные логи.

Этот раздел содержит подробную информацию журналов по отдельным (сэмплированные) запросов за выбранный период времени.

Отображаемая информация включает:

• Действие реагирования, применённое к запросу
• Статус кеша
• Код состояния, возвращённый сервером-источником в Cloudflare (при промахе кэша)
• Код состояния, возвращённый Cloudflare клиенту
• Оценки безопасности для запроса (атака, бот, сканирование загружаемого содержимого)
• Свойства запроса

При форензик-анализе иногда выбирают очень короткий интервал и применяют несколько фильтров, чтобы выделить конкретный набор запросов. В такой ситуации, чтобы лучше понять входящие запросы в конкретный момент времени, нужен полный список запросов, а не только выборка.

По умолчанию Security Analytics показывает сэмплированные журналы с учётом применённых фильтров. При определённых условиях вы можете переключиться на Raw logs. Это представление показывает все журналы запросов за выбранный период и по выбранным фильтрам, а не сэмплированные журналы. В настоящее время оно доступно только тогда, когда количество сэмплированных журналов на странице Security Analytics меньше 100.

Чтобы переключиться с выборочных логов на сырые, выберите Переключиться на необработанные журналы в разделе Sampled logs. Этот вариант доступен, только когда число (сэмплированных) записей журнала за выбранный период меньше 100.

Чтобы переключиться с сырых логов обратно на выборочные, выберите Вернуться к сэмплированным журналам.

Вы можете переключиться на Log Explorer , чтобы углубить анализ, применяя те же фильтры, что и в Security Analytics. Сырые логи в Security Analytics основаны на том же источнике данных, что и Log Explorer.

Панель Security Analytics использует сэмплированные данные, кроме показа необработанных логов.

Если вы запрашиваете данные Security Analytics через GraphQL Analytics API основными базовыми наборами данных являются httpRequestsAdaptiveGroups и httpRequestsAdaptive. Дополнительную информацию см. в Наборы данных (таблицы).

Срок хранения данных (глубина истории) и максимальное окно запроса у датасетов, обеспечивающих Security Analytics, отличаются от датасета, на котором работает Security Events.

В следующих таблицах показаны лимиты для каждого плана Cloudflare: