Cloudflare正式推出Page Shield，可防禦惡意腳本攻擊提升網頁安全

Cloudflare推出Page Shield正式版本，供網路管理員能夠掌握網頁應用程式正在執行的腳本，並且在腳本被入侵或是執行洩露用戶資料等惡意行為時收到通知，用戶只需要在Cloudflare防火牆頁籤中，透過滑鼠點擊啟用Page Shield，不需要額外繁瑣的配置。

官方提到，平均而言，任何網頁應用程式都會從八個第三方主機載入腳本，這些腳本可能來自Google等大型企業，也有可能是來自小公司，所提供的隨插即用功能強化模組，像是聊天系統、日期選擇器或是結帳平台等，而這些第三方都可能成為供應鏈攻擊的目標。由於複雜的腳本來源，使得攻擊面變得很大難以監控，Cloudflare還指出，每月有50％的應用程式，會從新的第三方主機載入腳本，這使得攻擊面更加複雜。

而Page Shield能在可見性、偵測、緩解和預防各方面著手，使得網路管理員有能力阻擋惡意腳本攻擊，Page Shield將Cloudflare所提供的網路服務當作反向代理，從瀏覽器接收有關載入JavaScript檔案和模組的資訊，並且透過分析這些JavaScript檔案，在發現惡意行為時通知用戶。

使用者在啟用Page Shield之後，該服務會利用內容安全策略（Content Security Policy，CSP）中的唯讀指令，來從瀏覽器收集資料，因此Page Shield能夠提供用戶應用程式執行的所有腳本列表，報告的資訊涵蓋載入腳本的頁面、違反CSP的指令、JavaScript檔案的連結等。CSP是一個電腦安全標準，可用來防禦跨站指令碼、點擊劫持等程式碼注入攻擊，阻擋惡意內容在受信任的網頁環境中運作。

Page Shield會對JavaScript檔案進行一系列惡意行為掃描，系統會標記來自有疑慮來源的腳本，當有特定URL被確定為惡意來源，Page Shield會下載惡意檔案，並且在分類器中執行，經過去混淆工程、標準化和解碼等程序，確認真正惡意的攻擊腳本。

除了用戶可以藉由HTTP回應標頭實作CSP之外，Page Shield之後將會提供進一步的預防和緩解功能，供用戶以觀察到的腳本作為基礎，利用儀表板或是API快速生成CSP來進行阻擋，或是利用Cloudflare的代理，從HTTP回應主體中移除惡意腳本。