Cloudflare تتيح Threat Signals مجاناً لتحويل تقارير RSS الأمنية إلى قواعد WAF قابلة للتنفيذ
وسّعت Cloudflare الوصول المجاني إلى منصة Threat Events لكل حساباتها، وقدمت Threat Signals التي تتابع تقارير التهديدات المفتوحة عبر RSS، وتستخرج منها مؤشرات الاختراق وسياقها، ثم تربطها مباشرة بسياسات WAF. يحصل كل حساب على موجز RSS واحد ومجموعة بيانات خاصة محفوظة لمدة تصل إلى 30 يوماً.
أبرز النقاط
- Threat Signals متاحة الآن لجميع حسابات Cloudflare دون تكلفة، مع دعم موجز RSS واحد لكل حساب.
- الخدمة تلخص تقارير التهديدات المفتوحة وتستخرج مؤشرات الاختراق وتربطها بالسياق والمصدر الأصلي.
- المؤشرات المستخرجة تُخزن كأحداث خاصة بالحساب ويمكن استخدامها لإنشاء قواعد WAF.
- يحصل كل حساب على تخزين لبيانات موجز RSS لمدة تصل إلى 30 يوماً والوصول إلى Threat Events Platform.
- تقتصر الوسوم التلقائية على كتالوج الوسوم الموجود لدى العميل، مع توضيح ما إذا كان الوسم آلياً أو أضافه محلل.
تريد Cloudflare تقليل الفجوة بين قراءة تقرير أمني وبين اتخاذ إجراء دفاعي فعلي. ولهذا أتاحت Threat Signals لجميع حساباتها مجاناً، كأداة تحوّل تقارير التهديدات المنشورة علناً إلى معلومات منظمة يمكن البحث فيها واستخدامها ضمن سياسات جدار حماية تطبيقات الويب (WAF).
الفكرة ليست في العثور على التقارير فقط. فباحثو الأمن ينشرون باستمرار تفاصيل عن ثغرات، وحملات تصيد، وبرمجيات خبيثة، وبنية تحتية ضارة. لكن تحويل هذه النصوص إلى بيانات مفيدة لفريق الأمن يتطلب عادة قراءة التقرير، وتلخيصه، واستخراج المؤشرات، وتوحيد صيغها، وتصنيفها، ثم حفظ صلتها بالمصدر الأصلي. وهي خطوات قد تضيع خلالها معلومة مهمة: لماذا اعتُبر عنوان IP أو نطاق معين خطراً أصلاً؟
من تقرير غير منظم إلى مؤشر قابل للاستخدام
تعمل Threat Signals عبر موجزات RSS التي يختارها المستخدم. بعد إضافة موجز وتحديد اسمه وفئته ودورية التحقق منه، تراقب الخدمة المواد الجديدة وتستخرج نص المقالة بصيغة قابلة للمعالجة.
بعد ذلك تستخدم ما تسميه Cloudflare «مهارات وكيلية» (agentic skills): تعليمات تفصيلية تحاكي جزءاً محدداً من عمل محلل التهديدات بصورة متسقة. تتولى هذه المهارات تلخيص التقرير، وإبراز سياقه، واستخراج مؤشرات الاختراق (IOCs)، مثل النطاقات أو عناوين IP أو غيرها من القيم المرتبطة بنشاط ضار، ثم توحيد صيغها وإضافة الوسوم المناسبة.
الناتج يُحفظ داخل مجموعة بيانات خاصة بالحساب، على هيئة Threat Events. ولا تُفصل المؤشرات عن التقرير الذي جاءت منه؛ إذ يبقى الرابط بين الحدث والمؤشرات والوسوم والمصدر الأصلي متاحاً للمحلل عند التحقيق لاحقاً.
ما الذي يمكن للحسابات المجانية استخدامه؟
يتضمن التوسع الجديد لكل حساب Cloudflare:
- الوصول عبر لوحة التحكم وAPI إلى Threat Signals، مع إمكانية اختيار موجز RSS واحد.
- مجموعة بيانات خاصة مبنية على محتوى ذلك الموجز، ومحفوظة لمدة تصل إلى 30 يوماً.
- الوصول عبر لوحة التحكم وAPI إلى Threat Events Platform للتحقيق في الأحداث والمؤشرات والوسوم المرتبطة ببيانات الحساب.
تدعم الخدمة RSS 2.0 وAtom وRSS 1.0/RDF. ويمكن استخدام المؤشرات المستخرجة لاحقاً لإنشاء قواعد WAF، ما يتيح حماية التطبيقات والبنية من مؤشرات ظهرت في تقارير يتابعها الفريق.
أما عملاء المؤسسات من فئات Essentials وAdvantage وElite، فيمكنهم توسيع الاستخدام بعدد أكبر من موجزات RSS، والوصول إلى بيانات التهديدات الخاصة بـCloudforce One، وإنشاء مهارات وكيلية مخصصة، وزيادة التخزين، وإنشاء قواعد WAF مخصصة اعتماداً على أحداث مفتوحة المصدر أو خاصة.
لماذا يهم السياق بقدر أهمية المؤشر؟
استخراج عنوان IP من صفحة أو منشور ليس مهمة معقدة بحد ذاتها، لكن الاعتماد على هذا العنوان في قرار حظر يحتاج إلى تفسير. Cloudflare تشير إلى أن ربط المؤشر بالتقرير الذي استُخرج منه كان من أكثر ما عاد إليه المحللون خلال الاختبارات، لأنه يوضح سبب أهمية المؤشر ويساعد على تقييمه خلال الاستجابة للحادثة.
كما أن الوسوم التلقائية لا تُنشأ في قاموس منفصل تقترحه الأداة، بل تُقيّد بكتالوج الوسوم الموجود في حساب العميل. وتحتفظ المنصة أيضاً بمعلومة توضح إن كان الوسم أضيف تلقائياً أو بواسطة محلل، لتسهيل مراجعة المخرجات وبناء الثقة بها.
الخدمة متاحة الآن من لوحة Cloudflare ضمن: Application Security → Threat Intelligence → Threat Signals، أو عبر API.
لماذا يهم؟
فرق الأمن لا تحتاج فقط إلى قائمة نطاقات أو عناوين IP للحظر، بل إلى معرفة مصدرها وسبب خطورتها. Threat Signals تجعل تقارير التهديدات التي يتابعها الفريق أقرب إلى مسار دفاع عملي داخل WAF، مع إبقاء السياق متصلاً بالمؤشرات بدلاً من فقدانه عند إدخالها في منصة استخبارات التهديدات.