Cloudflare Security

Cloudflare 계정에는 구성할 수 있는 일반 설정 및 서비스가 있습니다. 이 페이지에서는 각 섹션의 보안 관련 설정을 분석할 것입니다:

웹사이트

각 항목을 검토하세요:

도메인 등록

• **도메인 전송**에서 어떤 도메인도 전송할 수 없는지 확인하세요.

각 항목을 검토하세요:

분석

구성 보안 검토를 위한 확인할 사항을 찾을 수 없었습니다.

페이지

각 Cloudflare 페이지에서:

• **빌드 로그**에서 민감한 정보를 확인하세요.

• 페이지에 할당된 Github 리포지토리에서 민감한 정보를 확인하세요.

• 워크플로우 명령 주입 또는 pull_request_target 손상을 통한 잠재적인 github 리포지토리 손상을 확인하세요. 자세한 내용은 Github 보안 페이지를 참조하세요.

• /fuctions 디렉토리(있는 경우)에서 취약한 함수를 확인하고, _redirects 파일(있는 경우)에서 리디렉션을 확인하고, _headers 파일(있는 경우)에서 잘못 구성된 헤더를 확인하세요.

• 코드에 접근할 수 있는 경우 블랙박스 또는 화이트박스를 통해 웹 페이지의 취약점을 확인하세요.

• 각 페이지의 세부정보 /<page_id>/pages/view/blocklist/settings/functions에서 **환경 변수**에 민감한 정보가 있는지 확인하세요.

• 세부정보 페이지에서 빌드 명령 및 루트 디렉토리를 확인하여 페이지를 손상시킬 수 있는 잠재적 주입을 확인하세요.

워커

각 Cloudflare 워커에서 확인하세요:

• 트리거: 워커를 트리거하는 것은 무엇인가요? 사용자가 데이터를 전송할 수 있나요? 이 데이터는 워커에 의해 사용될 수 있나요?

• **설정**에서 민감한 정보를 포함하는 **변수**를 확인하세요.

• 워커의 코드를 확인하고 취약점을 검색하세요(특히 사용자가 입력을 관리할 수 있는 곳에서).

• 제어할 수 있는 페이지를 반환하는 SSRF를 확인하세요.

• SVG 이미지 내에서 JS를 실행하는 XSS를 확인하세요.

• 워커가 내부 서비스와 상호작용할 수 있습니다. 예를 들어, 워커는 입력에서 얻은 정보를 저장하는 R2 버킷과 상호작용할 수 있습니다. 이 경우, 워커가 R2 버킷에 대해 어떤 기능을 가지고 있는지, 그리고 사용자의 입력으로부터 어떻게 남용될 수 있는지 확인해야 합니다.

R2

각 R2 버킷에서 확인하세요:

• CORS 정책을 구성하세요.

스트림

TODO

이미지

TODO

보안 센터

• 가능하다면 보안 통찰력 스캔과 인프라 스캔을 실행하세요. 이들은 보안 측면에서 흥미로운 정보를 강조할 것입니다.

• 보안 잘못 구성된 정보와 흥미로운 정보를 확인하세요.

턴스타일

TODO

제로 트러스트

대량 리디렉션

• 표현식 및 리디렉션에 대한 요구 사항이 합리적인지 확인하세요.

• 또한 흥미로운 정보를 포함하는 민감한 숨겨진 엔드포인트를 확인하세요.

알림

• 알림을 확인하세요. 이러한 알림은 보안을 위해 권장됩니다:

• 사용 기반 청구

• HTTP DDoS 공격 경고

• Layer 3/4 DDoS 공격 경고

• 고급 HTTP DDoS 공격 경고

• 고급 Layer 3/4 DDoS 공격 경고

• 흐름 기반 모니터링: 볼륨 공격

• 라우트 누수 감지 경고

• mTLS 인증서 만료 경고

• SaaS 맞춤 호스트 이름에 대한 SSL 경고

• 유니버설 SSL 경고

• 스크립트 모니터 새 코드 변경 감지 경고

• 스크립트 모니터 새 도메인 경고

• 스크립트 모니터 새 악성 도메인 경고

• 스크립트 모니터 새 악성 스크립트 경고

• 스크립트 모니터 새 악성 URL 경고

• 스크립트 모니터 새 스크립트 경고

• 스크립트 모니터 새 스크립트가 최대 URL 길이를 초과하는 경고

• 고급 보안 이벤트 경고

• 보안 이벤트 경고

• 모든 대상을 확인하세요. 웹훅 URL에 민감한 정보(기본 http 인증)가 있을 수 있습니다. 웹훅 URL이 HTTPS를 사용하는지 확인하세요.

• 추가 확인으로, Cloudflare 알림을 제3자에게 가장해보세요. 아마도 위험한 것을 주입할 수 있을 것입니다.

계정 관리

• **청구 -> 결제 정보**에서 신용 카드의 마지막 4자리, 만료 시간 및 청구 주소를 확인할 수 있습니다.

• **청구 -> 구독**에서 계정에서 사용 중인 요금제 유형을 확인할 수 있습니다.

• **회원**에서 계정의 모든 회원과 그들의 역할을 확인할 수 있습니다. 요금제 유형이 엔터프라이즈가 아닌 경우, 두 가지 역할만 존재합니다: 관리자 및 슈퍼 관리자. 그러나 사용 중인 요금제가 엔터프라이즈인 경우, 더 많은 역할을 사용하여 최소 권한 원칙을 따를 수 있습니다.

• 따라서 가능할 때마다 엔터프라이즈 요금제를 사용하는 것이 권장됩니다.

• 회원에서 2FA가 활성화된 회원을 확인할 수 있습니다. 모든 사용자는 이를 활성화해야 합니다.

DDoS 조사

이 부분을 확인하세요.