IP 를 바꿔 가며 오는 매크로같은 상대를 무엇으로 알아보나

도메인 › Security › Security rules › Create rule › Rate limiting rules

IP를 하나씩 막아도 새 IP는 처음 보는 상대가 됩니다.

IP 한도를 무작정 낮추면 매크로보다 정상 사용자가 먼저 걸립니다.

쿠키, 헤더, JA4로 세려면 Enterprise Advanced Rate Limiting?이, JA4는 Bot Management도 필요합니다.

값 하나만 믿으면 그 빈틈이 우회로가 됩니다.

1. Security Analytics?에서 대상 경로의 한산한 시간대 요청 속도를 보고, 한도를 그보다 높게 잡습니다.
2. Log로 배포합니다. Log가 없는 플랜은 Managed Challenge?로 시작합니다.
3. Events 탭에서 Service를 Rate limiting으로 걸러 걸린 상대를 확인합니다.
4. 이상이 없으면 Block으로 바꾸고 계속 지켜봅니다.

카운터 갱신에 몇 초가 걸려 한도를 조금 넘는 요청이 오리진에 닿기도 합니다.

사무실 공유기나 통신사 CGNAT? 뒤의 여러 사람은 같은 IP로 들어옵니다.

• Business 이상은 «IP with NAT support»(cf.unique_visitor_id)로 같은 IP 뒤 방문자를 쿠키 _cfuvid로 나눠 셉니다.
• 쿠키를 지우거나 안 받는 방문자는 한 묶음이라 큰 NAT에서는 한도에 걸릴 수 있습니다.
• 로그인, 결제 같은 중요 경로는 경로나 헤더 기준을 함께 겁니다.

IP와 IP with NAT support는 한 룰에 같이 고를 수 없습니다.

• ASN?은 관찰하고 범위를 좁히는 데 쓰고, 차단은 지문, 세션, 탐지 ID와 함께 겁니다.
• 막기 전에 같은 조건으로 Security Analytics에서 정상 요청 비율을 셉니다.

• JA3/JA4 기준은 Bot Management도 있어야 합니다.
• custom counting expression(셈 조건 따로 두기)은 Business 이상이며, 401, 403이 난 로그인 시도만 셀 때 씁니다.

쿠키 값은 요청이 바꿀 수 있습니다. 문서는 값이 여럿인 요청을 막는 룰과 무거운 작업 전 오리진 검증을 권합니다.

(http.request.uri.path eq "/api/reserve" and cf.bot_management.ja4 in {"(확인한 JA4 값)"})
and not cf.bot_management.verified_bot

• cf.bot_management.ja4는 Bot Management를 켠 Enterprise에서 씁니다.
• 같은 브라우저 사용자와 겹칠 수 있어 경로를 꼭 함께 겁니다.
• 평문 HTTP나 TLS 세션을 재사용한 연결은 JA4가 비기도 합니다.

JA4 하나로만 막지 않습니다(전문가 탭 함정).

(any(cf.bot_management.detection_ids[*] in {50331648 50331649})
  and not cf.bot_management.verified_bot)

도메인 › Security › Security rules › Create rule › Custom rules › 필드 Bot Detection IDs

• 문서는 Managed Challenge를 권하며, 챌린지를 걸 때는 API 경로를 뺍니다.
• 지문이 영구히 찍히지 않고, 의심 행동을 이어 갈 때만 걸립니다.

Enterprise Bot Management 전용입니다.

기준 쿠키나 헤더가 없는 요청은 «값 없음» 카운터 하나로 세며, 빈 문자열 값과도 따로 셉니다.

• 로그인 전 화면처럼 쿠키 없는 사람이 많으면 이 카운터가 금방 차 정상 사용자가 걸립니다.
• 쿠키 없는 요청은 IP 기준 같은 다른 룰로 셉니다.
• 값이 있을 때만 세려면 셈 조건에 아래를 넣습니다(x-session은 기준 헤더 이름).

and len(http.request.headers["x-session"]) > 0

• 모든 룰에 데이터센터 ID(cf.colo.id)가 숨은 기준으로 들어가며, API로 만들 때는 직접 넣습니다.
• 같은 지역에 묶인 데이터센터끼리는 카운터를 함께 씁니다.

cf.colo.id는 예고 없이 바뀌기도 해 조건식에 쓰지 않습니다.

• 세션 식별자?로 묶은 사용자마다 최근 엔드포인트 10개(지금 것과 이전 9개)를 기억합니다.
• 요청 사이가 10분을 넘으면 새 흐름입니다.
• 긍정 모델은 정한 순서를 벗어난 흐름을, 부정 모델은 알려진 악성 순서를 막습니다.
• 대상 엔드포인트는 Endpoint Management에 있어야 합니다.

IP를 바꿔도 같은 세션이면 한 흐름입니다.

Enterprise 전용 비공개 베타라 계정 팀에 신청합니다.

• 풀이마다 만들어 며칠 안에 만료되고, 쿠키나 저장소 없이 동작합니다.
• 값은 Siteverify API 응답의 metadata.ephemeral_id입니다. WAF? 룰 필드가 아니라 같은 ID로 몰리는 요청은 우리 서버가 세어 막습니다.
• 계정 안에서만 쓰여 개인 식별에는 못 씁니다.

Enterprise Bot Management의 Enterprise Turnstile 애드온이나 별도 Enterprise Turnstile이 있어야 하며, 계정 팀이 켜 줍니다.

도메인 › Security › Analytics › Traffic(대상 경로 필터) › Request rate analysis 탭

1. 기간(1분, 5분, 1시간)을 고르고 가로선을 옮기며 몇 명이 걸릴지 봅니다.
2. 공격 기간으로 다시 재서 그때만 걸리는지 확인합니다.
3. 화면에서 룰을 만들면 필터, 기준, 한도가 채워져 열리니 Log로 배포합니다.

Enterprise가 아니면 예상 트래픽으로 한도를 잡고 이벤트를 보며 고칩니다.

JA4는 최신 브라우저 지문 종류를 줄인 값이라 많은 사용자가 같은 값을 냅니다. 묶는 신호는 네 층이며, 아래일수록 좁게 묶지만 쓸 곳이 줄어듭니다.

• 한 층만 믿지 말고, 지문은 경로, 탐지 ID, 세션과 겹쳐 겁니다.
• 막기 전에 같은 JA4를 Security Analytics에서 봇 점수 높은(사람 쪽) 요청과 견줍니다.
• JA4 Signals Intelligence(지난 1시간 IP 수 순위 등)는 분석 화면과 Workers에서만 보이고 룰 조건식에는 못 씁니다.