Cloudflare の脅威指標をリアルタイムの WAF ルールへ変換

Cloudflare の Threat Events は、セキュリティ分析担当者にグローバルな脅威の状況を見渡すための窓を提供します。このプラットフォームは、Cloudflare が毎日処理する膨大なトラフィックを垣間見せるものであり、リアルタイムでどの IP アドレスが特定の業界を攻撃しているか、あるいはどの脅威アクターが世界的に注目されているかを把握できます。しかし、その可視性を能動的な対策へと転換するには、従来は手動かつ反応的なプロセスが必要でした。 セキュリティチームは繰り返し直面する課題に直面しています：特定の IP アドレスが Tycoon 2FA や RaccoonO365 といった特定の脅威アクターに関連していること、あるいは他の地域で自社の業界を標的にしたことが確認されていることは分かっているものの、これらの高リスク IP を WAF（Web Application Firewall）内で自動的にブロックするには、手動でルールを設定するしかなかったのです。 私たちは、Cloudflare の広範な脅威インテリジェンスを直接あなたの WAF エンジンに統合する新しい連携を発表できることを嬉しく思います。これにより、生きたインテリジェンスデータを用いて予防的なルールを作成できるようになりました。つまり、既知の悪意あるアクターがインフラストラクチャに触れようとする前に、アプリケーションを保護するためにより多くの文脈情報を追加して防御を強化することが可能になります。 リクエストの初期段階で専門的なフィールドにデータを埋め込むことで、WAF は以下の基準に基づいてトラフィックをスクリーニングできるようになりました： 特定の脅威アクター名と一致させることで、誰が攻撃しているのか 業界や国別のフィルターを通じて、彼らが誰を標的にしているか（過去にその IP が誰を標的にしたか） 攻撃タイプ（DDoS、WAF、サイバー犯罪など）と最終検出された時間枠に基づいてフィルタリングされる、強化された脅威コンテキストを用いた攻撃のタイプ 常時検知 この新機能は、最近導入した攻撃シグネチャ検出（Attack Signature Detection）と同じ常時検知フレームワークを基盤としています。これは事前設定ルールを必要とせず、リアルタイムで一般的な攻撃パターンを識別するシステムです。検知と緩和を分離することで、脅威インテリジェンスが常にバックグラウンドで稼働し、アクションを起こす前に HTTP リクエスト分析に洞察に富む脅威メタデータを付加します。 「常時」モデルの主な利点は、従来の「ログ vs ブロック」のトレードオフを排除することです。つまり、ログモードでは可視性が得られるが、ブロックモードでは保護が得られるという二者択一をなくすことです。ルールがリクエストをブロックした場合、他のシグネチャがどのように評価したかについての可視性を失うためです。これは、防御を強化する手がかりとなる洞察でした。 Cloudforce One サブスクリプションをお持ちの場合、これらのインサイトは自動的に分析ダッシュボードに表示されます。どの脅威アクターがサイトを攻撃しているか、またそれらの IP アドレスが通常どの業界を標的にしているかを確認でき、「スイッチを切り替えて」ブロックする前にトラフィックパターンを検証できます。 これらの検出は実質的な遅延なしで実行されるため、パフォーマンスを驚異的に高速に保ちながら、堅牢なセキュリティポリシーを構築するために必要な高信頼性のデータを提供します。今回の初期リリースでは IP ベースのマッチングに焦点を当てていますが、すでに JA3 ファインガープリントやドメインベースのマッチングへと機能を拡張する計画を進めています。これにより、攻撃者が IP をローテーションしても、ペイロード内で使用する固有のソフトウェアシグネチャや悪意のある宛先リンクを識別することで、悪意あるトラフィックをブロックすることが可能になります。 新しい WAF フィールド これを実現するために、以下の特定のシグナルを直接 WAF エンジンに公開しました: フィールド 説明 cf.intel.ip.attacker_names 既知の脅威グループの名前（例：CRAVENFLEA）。 cf.intel.ip.target_industries この IP が標的とする業界（例：暗号通貨、自動車）。 cf.intel.ip.attacker_countries 脅威イベントの発信国。 cf.intel.ip.target_countries 脅威イベントが標的とする国。 cf.intel.ip.datasets データを提供するソースフィード（例：ddos, waf）。 例示ルール式 1 つの IP アドレスが複数の脅威アクターや標的業界と同時に関連付けられる可能性があるため、これらのフィールドは配列として表現されます。任意の値が条件に一致するかどうかを確認するために、any() 関数と [*] ワイルドカードを使用します： あなたの地域を対象とする既知の DDoS パーティシパントをブロックする：any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos") 金融セクターを対象とする特定の脅威アクターから保護する：any(cf.intel.ip.target_industries[*] == "Banking & Financial Services") and any(cf.intel.ip.attacker_names[*] == "BLACKBASTA") 特定のリスクの高い発信国に対する広範な保護：any(cf.intel.ip.attacker_countries[*] == "IR") ワークフローで脅威イベントデータを使用する方法 UI を駆使したアプローチを好むか、Infrastructure as Code（コードとしてのインフラストラクチャ）を好むかにかかわらず、これらのフィールドは既存のワークフローに統合されています。 WAF ルールビルダー（API & Terraform） Infrastructure as Code を好むチームにとって、新しい cf.intel フィールドは、WAF カスタムルールおよびレート制限用の WAF ルールビルダーに完全に統合されています。今日使用しているのと同じ構文を使用して複雑な式を記述できます。これらは標準的な WAF フィールドであるため、Cloudflare API および Terraform を介して完全にサポートされており、選択したドメイン全体、あるいはアカウント全体にわたって脅威ブロックを自動化することが可能です。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/1YQOp7XzNrFIHE1HSNhz6b/06d1565243b2902df5a5b294e3e80709/BLOG-3272_image3.png) 脅威イベントインジケーターに基づいてユーザーが関連する設定を選択できるように、WAF ルールビルダーに追加された新しいフィールド。 セキュリティ分析における可視性 導入は戦いの半分です。これらの脅威インテリジェンスフィールドによってトリガーされたすべての一致は、セキュリティ分析にログ記録されます。トラフィックを詳細に確認することで、どのルールがトリガーされ、どの特定の指標が一致したかを正確に見ることができます。これらの拡張されたログにより、ルールがトリガーされた際の監査や事後分析が迅速に行えます。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/eXh1MgDAROkPZpXwvAaXl/0f124fe79995f213b63f6152e9dd8050/BLOG-3272_image1.png) セキュリティ分析には、完全なコンテキストとともに脅威イベントの一致が表面化し、カスタムセキュリティルールをワンクリックで作成するオプションがあります。 脅威イベントダッシュボードからのワンクリックルール すでに脅威インテリジェンスダッシュボードを使用してトレンド調査を行っている場合、IP リストをコピーして貼り付ける必要はありません。特定のフィルターに基づいて保存済みビューを作成できます。例えば、「過去 7 日間に金融セクターへの攻撃が観測された IP」などです。ワンクリックでこれらのフィルターを直接 WAF（Web Application Firewall）ルールとしてエクスポートできます。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/2AOxzgPOUpk5gRrL3VfEB/5160a9fe57808483770fdb1e9979e312/BLOG-3272_-2.png) 保存済みビューにより、ユーザーは保存済みビュー設定に一致する WAF ルールを容易に作成できるようになりました。 ネットワーク全体でのグローバルインテリジェンス 可視性と使いやすさは、基盤となるエンジンが高速である場合にのみ実現可能です。数百万もの脅威インジケーターを処理しながらもトラフィックの速度を落とさないためにはどうすればよいのでしょうか？ これらの脅威インテリジェンスデータセットは高パフォーマンスな形式に圧縮され、世界中のすべての Cloudflare データセンターへ配布されます。リクエストがネットワークに到達すると、Cloudflare WAF はこれらのローカルデータセットに対して O(1) の定数時間検索を実行します。これにより、10 個のインジケーターをチェックする場合でも 1,000 万個の場合でも、レイテンシのオーバーヘッドは実質的にゼロ（マイクロ秒単位で測定）に保たれます。 IP アドレスは複数の脅威ベクトルに関連付けられる可能性があるため、当社のエンジンは最初の一致点で停止しません。その IP に紐づくすべてのシグナルセットを同時に評価します。これにより、「攻撃者 = RU」かつ「対象業界 = 銀行」というルールが、これらの属性の交差を単一のパスで評価することで正しくトリガーされ、計算複雑性を増やすことなく多ベクトルアクターに対する最大限のカバレッジを提供します。 始めたいですか？ この機能は、現在、有効な Cloudforce One サブスクリプションを保有するすべての顧客で利用可能です： Cloudforce One Essentials を利用すると、脅威イベントのデフォルトデータセットにアクセスし、インジケーターを検索して脅威ハンティング調査を行うことができます。 Cloudforce One Advantage を利用すると、情報要求を通じて当社の脅威インテリジェンスアナリストによるカスタムインサイトへのアクセスが可能になります。 Cloudforce One Elite は、最も包括的なパッケージであり、ブランド保護機能、大量のリクエストによる情報取得、およびすべての脅威イベントデータセットへのアクセスが含まれています。 グローバルなインサイトをローカル防御に変換する準備はできましたか？最初の脅威インテリジェンスルールを構築するには、Threat Events または Cloudflare ダッシュボードの WAF セクションへお進みください。または、Cloudforce One へのサブスクリプションについて詳しく知りたい場合は、担当アカウントチームまでお問い合わせください。

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト