Cloudflare Domains

In ogni TLD configurato in Cloudflare ci sono alcune impostazioni generali e servizi che possono essere configurati. In questa pagina andremo a analizzare le impostazioni relative alla sicurezza di ciascuna sezione:

Overview

• Fai un'idea di quanto sono utilizzati i servizi dell'account

• Trova anche il zone ID e il account ID

Analytics

• In Security controlla se ci sono Rate limiting

DNS

• Controlla i dati interessanti (sensibili?) nei record DNS

• Controlla i sottodomini che potrebbero contenere info sensibili solo in base al nome (come admin173865324.domin.com)

• Controlla le pagine web che non sono proxied

• Controlla le pagine web proxificate che possono essere accessibili direttamente tramite CNAME o indirizzo IP

• Controlla che DNSSEC sia abilitato

• Controlla che CNAME Flattening sia utilizzato in tutti i CNAME

• Questo potrebbe essere utile per nascondere le vulnerabilità di takeover dei sottodomini e migliorare i tempi di caricamento

• Controlla che i domini non siano vulnerabili a spoofing

Email

TODO

Spectrum

TODO

SSL/TLS

Overview

• La criptazione SSL/TLS dovrebbe essere Full o Full (Strict). Qualsiasi altra opzione invierà traffico in chiaro a un certo punto.

• Il SSL/TLS Recommender dovrebbe essere abilitato

Edge Certificates

• Always Use HTTPS dovrebbe essere abilitato

• HTTP Strict Transport Security (HSTS) dovrebbe essere abilitato

• La versione minima di TLS dovrebbe essere 1.2

• TLS 1.3 dovrebbe essere abilitato

• Automatic HTTPS Rewrites dovrebbe essere abilitato

• Certificate Transparency Monitoring dovrebbe essere abilitato

Security

• Nella sezione WAF è interessante controllare che le regole di Firewall e rate limiting siano utilizzate per prevenire abusi.

• L'azione Bypass disabiliterà le funzionalità di sicurezza di Cloudflare per una richiesta. Non dovrebbe essere utilizzata.

• Nella sezione Page Shield è consigliato controllare che sia abilitato se viene utilizzata una pagina

• Nella sezione API Shield è consigliato controllare che sia abilitato se qualche API è esposta in Cloudflare

• Nella sezione DDoS è consigliato abilitare le protezioni DDoS

• Nella sezione Settings:

• Controlla che il Security Level sia medio o superiore

• Controlla che il Challenge Passage sia di massimo 1 ora

• Controlla che il Browser Integrity Check sia abilitato

• Controlla che il Privacy Pass Support sia abilitato

CloudFlare DDoS Protection

• Se puoi, abilita Bot Fight Mode o Super Bot Fight Mode. Se stai proteggendo qualche API accessibile programmaticamente (da una pagina front end JS, ad esempio). Potresti non essere in grado di abilitare questo senza interrompere quell'accesso.

• In WAF: Puoi creare limiti di rate per percorso URL o per bot verificati (regole di rate limiting), o per bloccare l'accesso in base a IP, Cookie, referrer...). Quindi potresti bloccare richieste che non provengono da una pagina web o non hanno un cookie.

• Se l'attacco proviene da un bot verificato, almeno aggiungi un limite di rate ai bot.

• Se l'attacco è a un percorso specifico, come meccanismo di prevenzione, aggiungi un limite di rate in questo percorso.

• Puoi anche whitelistare indirizzi IP, intervalli IP, paesi o ASN dagli Strumenti in WAF.

• Controlla se le regole gestite potrebbero anche aiutare a prevenire sfruttamenti di vulnerabilità.

• Nella sezione Strumenti puoi bloccare o dare una sfida a IP specifici e user agents.

• In DDoS potresti sovrascrivere alcune regole per renderle più restrittive.

• Impostazioni: Imposta il Security Level su Alto e su Under Attack se sei sotto attacco e che il Browser Integrity Check è abilitato.

• In Cloudflare Domains -> Analytics -> Security -> Controlla se il rate limit è abilitato

• In Cloudflare Domains -> Security -> Events -> Controlla per Eventi malevoli rilevati

Access

Speed

Non sono riuscito a trovare alcuna opzione relativa alla sicurezza

Caching

• Nella sezione Configuration considera di abilitare lo Strumento di Scansione CSAM

Workers Routes

Dovresti aver già controllato cloudflare workers

Rules

TODO

Network

• Se HTTP/2 è abilitato, HTTP/2 to Origin dovrebbe essere abilitato

• HTTP/3 (with QUIC) dovrebbe essere abilitato

• Se la privacy dei tuoi utenti è importante, assicurati che Onion Routing sia abilitato

Traffic

TODO

Custom Pages

• È facoltativo configurare pagine personalizzate quando viene attivato un errore relativo alla sicurezza (come un blocco, rate limiting o sono in modalità sotto attacco)

Apps

TODO

Scrape Shield

• Controlla che l'Offuscamento degli Indirizzi Email sia abilitato

• Controlla che le Esclusioni lato Server siano abilitate

Zaraz

TODO

Web3

TODO