Edge Threat Radar (Cloudflare)

Conecte a sua conta Cloudflare para que o Edge Threat Radar correlacione tráfego adversário com a sua postura. Somente leitura por padrão; um único escopo Edit para a lista de bloqueio opcional, condicionada a aprovação.

A integração com a Cloudflare alimenta o Edge Threat Radar. A WASViking^® lê os sinais de WAF, Firewall e Bot da sua conta Cloudflare pela API GraphQL e os correlaciona com os seus achados abertos, amplificando o Risk Score quando o tráfego adversário coincide com uma exposição real.

O que esta integração faz

• Coleta eventos de WAF, Firewall e Bot da Cloudflare a cada 5 minutos.
• Correlaciona os eventos com Findings abertos e amplifica o Risk Score.
• Enriquece os IPs com AbuseIPDB e ThreatFox.
• Alimenta o dashboard do Edge Threat Radar, o assistente de IA com escopo restrito aos eventos de borda e os alertas multicanal.
• Opcionalmente, mantém uma lista de bloqueio dinâmica de IPs gerenciada pela WASViking na sua conta Cloudflare, com uma salvaguarda importante: nenhum IP é bloqueado automaticamente. Cada bloqueio depende da aprovação explícita do cliente, por evento.

Postura de acesso

• Somente leitura por padrão. Nenhum tráfego é interceptado, nenhuma regra é enviada, nenhum DNS é alterado.
• Uma exceção: a lista de bloqueio dinâmica, opcional, precisa de um escopo Edit em Account Filter Lists. Ele é usado somente para gravar os IPs que o cliente aprovou explicitamente.
• Revogável a qualquer momento pelo lado da Cloudflare (exclua o token de API).

Pré-requisitos

Passo 1: Ative os recursos necessários da Cloudflare

Estes três recursos precisam estar ligados no nível da zona. Se algum estiver desligado, os eventos que a WASViking lê virão vazios.

1.1 WAF

Cloudflare Dashboard → selecione o seu domínio → Security → WAF.

• O WAF deve estar Enabled (ativado).
• Em Managed Rules, ative:
• Cloudflare Managed Rules
• OWASP Core Rule Set

1.2 Firewall Rules

Security → WAF → Firewall Rules.

• Confirme que existe pelo menos uma regra ativa. Se não houver nenhuma, crie uma regra mínima, apenas de log. Conjuntos de regras vazios produzem fluxos de eventos vazios.

1.3 Bot Protection

Security → Bot traffic → Settings.

Ative a melhor opção disponível no seu plano:

Passo 2: Crie o token de API

A WASViking lê os dados pela API da Cloudflare (GraphQL). Crie um Custom Token dedicado, somente leitura, exceto pela lista de bloqueio opcional.

2.1 Crie o token

• Cloudflare → My Profile → API Tokens → Create Token.
• Selecione Create Custom Token.

2.2 Permissões de conta

O Edit em Account Filter Lists é o único escopo que não é de leitura. A WASViking o usa exclusivamente para executar bloqueios de IP aprovados pelo cliente. Cada bloqueio é precedido por uma notificação por e-mail com os detalhes do evento e uma etapa explícita de aprovação. Nenhum IP é adicionado sem isso.

2.3 Permissões de zona

DNS (Read) permite que a WASViking leia os registros DNS da zona como uma fonte adicional de descoberta de subdomínios. Isso revela hosts ocultos atrás de um certificado wildcard, que os logs públicos de certificados não conseguem enumerar, e alimenta o Certificate Monitoring. O acesso permanece estritamente somente leitura: nenhum registro DNS é criado ou alterado. Se esse escopo estiver ausente, a descoberta simplesmente recorre às fontes públicas e o restante da integração não é afetado.

Não conceda nenhum escopo Edit de que você não precise. O menor privilégio prevalece.

2.4 Defina o escopo do token

Em Resources:

• Include → Specific Account → a sua conta.
• Include → Specific Zones → somente os domínios que você quer monitorar.

2.5 Crie e salve o token

• Clique em Continue to summary → Create Token.
• Copie o token imediatamente. A Cloudflare não o exibe de novo.

Passo 3: Crie as listas na Cloudflare

Crie estas listas na Cloudflare antes de configurar o portal. O botão Load Lists (carregar listas) do portal (Passo 4) só consegue exibir listas que já existem na sua conta Cloudflare, por isso este passo vem primeiro.

As duas são Account Filter Lists, criadas em Cloudflare → Security → Settings → IP Lists.

3.1 Lista de permissão da infraestrutura (recomendada)

Cloudflare → Security → Settings → IP Lists → Create List.

Adicione todos os IPs ou blocos CIDR que pertencem à sua própria infraestrutura: faixas do escritório, saída da VPN, monitoramento, runners de CI, sistemas de parceiros. Clique em Create. Você pode continuar adicionando entradas a qualquer momento; a WASViking relê a lista a cada consulta, então uma origem sabidamente legítima sinalizada como falso positivo pode ser liberada simplesmente ao ser adicionada aqui.

3.2 Lista de bloqueio dinâmica (obrigatória)

Crie esta lista mesmo que ela comece vazia. O Edge Threat Radar escreve nela sempre que você aprova, a partir do portal, o bloqueio de um IP de risco, portanto ela precisa existir para que esse fluxo funcione.

Cloudflare → Security → Settings → IP Lists → Create List.

Clique em Create. A lista aparece com kind = ip e 0 records. Ela permanece vazia até você aprovar o seu primeiro bloqueio no portal. A regra de segurança que de fato aplica esta lista é criada depois, no Passo 5.

A nova lista em Manage account → Configurations → Lists.

Passo 4: Configure no lado da WASViking

No portal, vá em Settings → System Settings → Edge Threat Radar. O card Cloudflare Edge Settings lista as zonas já conectadas a esta organização, cada uma com o seu Zone ID, a janela de lookback, o status e a última execução.

Settings → System Settings → Edge Threat Radar.

4.1 Adicione uma zona

Clique em + Add Cloudflare Zone. A caixa de diálogo Cloudflare Edge Configuration é aberta.

Preencha primeiro o Zone ID, o Account ID e o API Token, e confira se estão corretos. Os menus suspensos Custom List e Infrastructure IP List são preenchidos por Load Lists, que lê a sua conta Cloudflare usando exatamente esses três valores. Se algum deles estiver errado ou ausente, os menus aparecem vazios, você não consegue selecionar as listas e a integração não vai monitorar como esperado.

Preencha os campos:

Se os valores estiverem corretos e Load Lists ainda assim não retornar nada, falta ao API Token o escopo Account Filter Lists (Passo 2.2).

A caixa de diálogo Cloudflare Edge Configuration aberta a partir de + Add Cloudflare Zone.

4.2 Salve e confirme

Clique em Save. A zona volta para a lista. Assim que a primeira consulta for bem-sucedida, a linha dela mostra Active com um selo success e um horário em Last run, e o dashboard Edge Threat Radar começa a ser preenchido em poucos minutos. Para alterar qualquer campo depois, use Edit na linha da zona.

O que a WASViking coleta

Por evento da Cloudflare:

• IP de origem.
• País e ASN.
• Tipo de ataque.
• Regra de WAF acionada.
• URL atacada.
• Pontuação de bot.
• Ação aplicada pela Cloudflare (challenge, block, log).
• Data e hora.

Cada evento é enriquecido com a reputação do AbuseIPDB e do ThreatFox, correlacionado com Findings abertos e exibido no dashboard do Edge Threat Radar.

Passo 5: Aplique os bloqueios com uma regra de segurança

Esta regra é o que faz a Cloudflare agir sobre wasviking_edge_blocklist. Sem ela, os IPs que você aprova no portal são adicionados à lista, mas nunca são de fato bloqueados na borda.

Este passo vem depois do Passo 3.2 de propósito. A condição da regra escolhe a lista em um seletor, então wasviking_edge_blocklist já precisa existir; se ela não tiver sido criada antes, não vai aparecer ali.

5.1 Crie a regra de segurança

Cloudflare → Security → Security Rules → Create rule → Custom rules.

Configure:

Adicione uma exclusão para os IPs de saída do scanner da WASViking, para que os testes de segurança nunca sejam barrados por esta regra. Com as linhas not ... is in adicionadas, a expressão fica assim:

(ip.src in $wasviking_edge_blocklist
  and not ip.src in {SCANNER_IP_1}
  and not ip.src in {SCANNER_IP_2}
  and not ip.src in {SCANNER_IP_3})

Substitua os placeholders pelos IPs de saída atuais do scanner da WASViking.

Condição: IP Source Address is in list wasviking_edge_blocklist.

Clique em Deploy.

5.2 Evite que IPs confiáveis sejam bloqueados

A sua própria infraestrutura já está protegida se você definiu a Infrastructure IP List da zona como wasviking_whitelist (Passos 3.1 e 4.1): a WASViking trata esses endereços como confiáveis e nunca os adiciona à lista de bloqueio.

A regra de segurança acima também mantém um pequeno conjunto de IPs de saída do scanner da WASViking fora do bloqueio, por meio da cláusula not ip.src in {...}. Mantenha essa cláusula no lugar para que os testes de segurança nunca sejam bloqueados pela sua própria regra.

5.3 Fluxo de aprovação (como os bloqueios realmente acontecem)

Edge event detected
        │
        ▼
WASViking risk amplification
        │
        ▼
Notification email to the operator (event details + approve link)
        │
        ▼
Operator approves in the portal
        │
        ▼
WASViking writes the IP to wasviking_edge_blocklist
        │
        ▼
Cloudflare custom rule blocks the IP at the edge

Nenhum IP chega à lista de bloqueio sem a etapa do operador. A decisão de aprovar / rejeitar fica registrada na trilha de auditoria dos dois lados.

Seus primeiros resultados

Depois que a zona é salva e ativada, a primeira consulta roda em poucos minutos e o dashboard Edge Threat Radar (Dashboard → Edge Intelligence) começa a ser preenchido: um mapa global de ataques, a distribuição por classificação e uma lista ordenada dos principais atacantes com país, pontuação de risco, volume de requisições e horário da última ocorrência. A partir daqui, você pode abrir qualquer IP para ver a inteligência completa e aprovar um bloqueio quando for o caso.

Dashboard → Edge Intelligence, preenchido poucos minutos após a configuração.

Notas de operação

• Cadência. A WASViking consulta a cada 5 minutos por zona.
• Carga retroativa. Na primeira conexão, a WASViking busca as últimas 24 horas de eventos como baseline inicial.
• Cota. O módulo Edge é medido por domínio monitorado. Consulte a aba Usage.
• Múltiplas zonas. Um token pode abranger várias zonas. Adicione ou remova Zone IDs na WASViking sem reemitir o token.

Problemas comuns

Como revogar a integração

• Revogação branda: no portal da WASViking, abra Settings → System Settings → Edge Threat Radar, use Edit na zona e desligue Enable this configuration for Edge Intel ingestion. As leituras param; a configuração é mantida para que você possa reativá-la depois.
• Revogação definitiva: exclua o token de API na Cloudflare. A WASViking mostra um erro na consulta seguinte e para de tentar. Nenhum dado é retido além da janela de retenção de eventos configurada.

Postura de conformidade

• Alinhada ao princípio do menor privilégio.
• Escopos somente de leitura por padrão; um único Edit opcional, condicionado à aprovação explícita do cliente por evento.
• Compatível com os requisitos de monitoramento e auditoria de ISO 27001, LGPD, GDPR, NIST e OWASP Top 10.

Onde isto se encaixa na plataforma

• A capacidade está documentada em Edge Threat Radar.
• A lógica de amplificação de risco está documentada em Findings e Risk Score.
• O roteamento de alertas está documentado em Slack e Teams e Webhooks.