← Документация WAF / detections

Обнаружение утёкших учётных данных

Утёкшие учётные данные: обнаружение трафика проверяет входящие запросы на наличие учётных данных (имён пользователей и паролей), ранее утёкших из утечек данных ↗.

Когда вы включаете обнаружение утёкших учётных данных, Cloudflare сканирует входящие HTTP-запросы на имена пользователей и пароли. Сканирование проверяет паттерны аутентификации из распространённые веб-приложения и любые пользовательские расположения обнаружения которые вы настроите.

Обнаруженные учётные данные сравниваются с базой известных утёкших учётных данных. Эта база состоит из:

• Have I Been Pwned (HIBP) ↗ — датасет совпавших паролей (только пароли)
• Учётные данные, собранные Cloudflare (имена пользователей)
• Пары утёкших учётных данных (имя пользователя и пароль)

На основе результатов Cloudflare заполняет поля утёкших учётных данных для просканированных запросов. Эти поля можно использовать двумя способами:

• Анализ трафика: просматривайте результаты обнаружения в Security Analytics (дашборд), чтобы понять, как часто утёкшие учётные данные появляются в вашем трафике.
• Создание правил: используйте поля в пользовательские правила или правила rate limiting , чтобы выдавать челлендж или блокировать запросы, содержащие скомпрометированные учётные данные.

Утёкшие учётные данные могут появляться в вашем трафике по разным причинам. Атакующий может проводить credential stuffing ↗ (атака), либо легитимный пользователь может повторно использовать ранее утёкший пароль.

Обнаружение утёкших учётных данных предоставляет управляемое преобразование (managed transform), которое добавляет Exposed-Credential-Check к соответствующим запросам. Значение заголовка указывает, что именно утекло — например, 1 если имя пользователя и пароль составляли утёкшую пару, 2, если утекло имя пользователя, или 4, если утёк только пароль.

Вы можете использовать этот заголовок на исходном сервере, чтобы предупреждать пользователей и предлагать им сбросить пароль.

Подробности о функциях, доступных в каждом плане, см. в Доступность на странице обнаружений трафика.

Обнаружение утёкших учётных данных включает правила выявления учётных данных в HTTP-запросах для следующих известных веб-приложений:

• Drupal
• Joomla
• Ghost
• Magento
• Plone
• WordPress
• Microsoft Exchange OWA

Кроме того, сканирование включает общие правила для других распространённых схем веб-аутентификации.

Вы также можете настроить пользовательские расположения обнаружения чтобы учесть конкретный механизм аутентификации, используемый в ваших веб-приложениях. Пользовательское расположение обнаружения (custom detection location) сообщает Cloudflare WAF, где искать имена пользователей и пароли в HTTP-запросах вашего веб-приложения.

Сканирование по умолчанию охватывает распространённые веб-приложения, но ваше приложение может передавать учётные данные в другом формате или с другими именами полей. Пользовательские расположения обнаружения позволяют указать Cloudflare, где именно искать имена пользователей и пароли в HTTP-запросах.

Например, если JSON-тело HTTP-запроса, аутентифицирующего пользователя, выглядит следующим образом:

{ "user": "<username>", "secret": "<password>" }

Вы могли бы настроить пользовательское расположение обнаружения со следующими настройками:

• Пользовательское расположение имени пользователя:
  lookup_json_string(http.request.body.raw, "user")
• Пользовательское расположение для пароля:
  lookup_json_string(http.request.body.raw, "secret")

При указании пользовательского расположения обнаружения обязательно только расположение поля имени пользователя.

В следующей таблице приведены примеры расположений обнаружения для разных типов запросов:

Выражения для задания пользовательских расположений обнаружения могут включать следующие поля и функции:

• Поля:
  • http.request.body.form
  • http.request.body.multipart
  • http.request.body.raw
  • http.request.headers
  • http.request.uri.args
  • http.request.uri.query
• Функции:
  • lookup_json_string()
  • url_decode()

Инструкции по настройке пользовательского расположения для обнаружения см. в Начало работы.

Следующие поля указывают тип совпадения по утёкшим учётным данным, обнаруженного Cloudflare. Используйте эти поля в пользовательские правила или правила rate limiting , чтобы реагировать на запросы со скомпрометированными учётными данными.