6 ноября Cloudflare One получила предопределённое поведение риска для обнаружения fast flux. После включения такие обнаружения учитываются в пользовательской оценке риска. На Mentoring.digital объясняем назначение нового сигнала и его ограничения.
Что обнаруживает новый механизм
Fast flux называют технику DNS, при которой IP-адреса, возвращаемые для домена, быстро меняются. Злоумышленники могут использовать её, чтобы затруднить отслеживание и отключение вредоносной инфраструктуры.
UEBA анализирует поведение пользователей и сущностей. Новый сигнал помогает команде безопасности выделить потенциально рискованную активность для дальнейшего расследования.
Где включается сигнал и кому он доступен
Настройка находится в Cloudflare Zero Trust в разделе Risk score, затем Risk behaviors. Обнаружение fast flux доступно на тарифах Enterprise. В анонсе речь идёт о добавлении поведения риска, а не об универсальном включении функции для всех клиентов.
После активации обнаружения вносят вклад в оценку риска пользователя. Это не означает, что каждый такой сигнал сам по себе доказывает заражение устройства или компрометацию учётной записи.
Как использовать результат в работе
Редакционная рекомендация: заранее определите, кто разбирает сигнал и какие дополнительные сведения нужны. Полезны время события, связанный пользователь, домен и контекст активности. Сопоставляйте их с разрешёнными сценариями своей инфраструктуры.
Не превращайте один индикатор в готовое обвинение пользователя. На учебном примере можно разобрать путь от DNS-наблюдения до проверяемой гипотезы вместе с ментором по DevOps и сетевой инфраструктуре.
