Cloudflareの脅威インテリジェンスプラットフォームの進化：実用的でスケーラブル、ETL不要

保存された設定とリアルタイム通知により、当社のテレメトリがお客様のカスタムフィルターに一致した瞬間に通知を受け取り、エッジの速度で対応できます。効果的な脅威ハンティングには、特定の技術的属性でグローバルテレメトリをフィルタリングする能力が必要です。このプラットフォームは、IPアドレス、ファイルハッシュ、ドメイン、JA3フィンガープリントを含むデータセット全体での高カーディナリティ検索をサポートし、通常数秒で結果を返します。 手動検索を超えるために、これらのクエリパラメータを保存された設定として永続化できます。これらの設定はリアルタイム通知エンジンのトリガーとして機能します。新しい受信テレメトリが定義されたフィルターに一致すると、プラットフォームは設定されたエンドポイントにアラートをプッシュします。プルベースの検索からプッシュベースのアラートへのこの移行により、セキュリティスタックがグローバルネットワークに取り込まれた瞬間に一致に対して応答できるようになります。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/27O9rmFhi0p71TPxRvu0Di/a5472f838c3f64d2d3cdab4b1f08ad86/BLOG-2921_3.png) 自動化されたルールとSTIX2エクスポート 脅威インテリジェンスは、攻撃対象領域が減少した場合にのみ「実用的」となります。当社はTIPを構築し、生のテレメトリとセキュリティポリシーの適用との間の変換を自動的に処理します。 サードパーティまたは社内のSIEM（Security Information and Event Management）またはSOAR（Security Orchestration, Automation and Response）プラットフォームを使用する組織にとって、相互運用性は必要条件です。しかし、異なる内部データスキーマをSTIX2（Structured Threat Information eXpression）標準にマッピングすることは、従来は高遅延のETL（Extract, Transform, Load）タスクでした。当社はこの変換をエッジに移行しました。 ユーザーがSTIX2エクスポートを要求すると、Workerが内部のSQLiteレコードをSTIX2 JSONスキーマに動的にマッピングします。これは、まず生のIPアドレス、ファイルハッシュ、ドメイン名を標準化されたSTIXサイバー観測可能オブジェクトに変換することを意味します。次に、プラットフォームの内部マッピングを使用して関係オブジェクトを定義し、インジケーターオブジェクトを脅威アクターまたはマルウェアオブジェクトにリンクさせ、調査のコンテキストを保持します。最後に、変更および作成されたタイムスタンプをUTCで自動的に管理し、下流ツールが脅威の進化を追跡できるようにします。 ファイアウォールAPIによる即時保護 エクスポートを超えて、このプラットフォームは発見と防御の間のループを閉じることを可能にします。サンキーダイアグラムまたは特定のアクターキャンペーンで悪意のあるパターンを特定した場合、ワンクリックでセキュリティルールを生成できます。 内部では、TIPはCloudflare Firewall Rules APIと直接対話します。調査のフィルタリングされた属性（例えば、特定のJA3フィンガープリントと既知の悪意のあるASNのリストの組み合わせ）を取り込み、数秒でグローバルネットワーク全体に展開されるワイヤプロトコルルールにコンパイルします。 人間参加型インテリジェンス 自動化がテレメトリの大部分を処理する一方で、最も複雑な脅威には人間の直観が必要です。当社はRequests for Information（RFI）ポータルをプラットフォームに直接統合し、ユーザーがCloudforce Oneアナリストに詳細調査を依頼できるようにしました。 技術的な観点から、RFIシステムは単なるチケットポータルではありません。データエンリッチメントパイプラインです。購読者が「トークン」を使用してリクエストを開始すると、ワークフローは一連のイベントをトリガーします： RFI WorkerはシャーディングされたSQLiteストレージからクエリに関連する特定のThreat Event IDを取得し、アナリストに関連テレメトリをパッケージ化します Cloudforce OneアナリストはTIPの内部バージョンを使用してリバースエンジニアリングを実行したり、グローバルデータセット間でピボットしたりします 調査が完了すると、調査結果（新しいIOC、アクター帰属、キャンペーンノート）がグローバルインテリジェンスフィードに書き戻されます これにより、「人間」の洞察が単にPDFレポートに留まらないようになります。代わりに、結果のメタデータは関連する場合に脅威イベントとしてエッジにプッシュバックされ、既に設定したWAFまたはファイアウォールルールで使用できます。当社は静的な「レポート」モデルから動的な「インテル・アズ・コード」モデルに移行し、人間の分析がリアルタイムでプラットフォームの自動検出ロジックを直接改善します。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/2vh9cYdhF27UvDpKQH73rf/c743be430d1c1a7feb2fa9eb603320b2/BLOG-2921_4.png) データ管理からアクティブハンティングへ ETLパイプラインの管理からアクティブな脅威ハンティングへの移行は、単なる新しいインターフェースではなく、コンピューティングがどこで行われるかに関するものです。ストレージ、集約、可視化レイヤーをCloudflareグローバルネットワークに移行することで、通常SOCを遅くする「データ重力」を排除しました。防御者は、「このIPは既知のキャンペーンに関連していますか？」と尋ねる前に、ログが中央リポジトリに同期されるのを待つ必要がなくなりました。答えは現在、トラフィックがフィルタリングされている同じ環境で、エッジで利用可能です。 このインテリジェンスがチームの規模や特定の要件に関係なくアクセス可能であることを確保するために、当社はCloudforce Oneアクセスを3つの機能レベルに構造化しました： Cloudforce One Essentialsは、顧客が脅威イベントのデフォルトデータセットにアクセスし、インジケーターを検索し、脅威ハンティング調査を実施できるようにします。 Cloudforce One Advantageは、顧客がRequests for Informationを介して当社の脅威インテリジェンスアナリストのカスタムインサイトにアクセスできるようにします。 Cloudforce One Eliteは、完全なパッケージであり、ブランド保護、多数のRequests for Information、およびすべての脅威イベントデータセットへのアクセスを含みます。 インターネットは速く動き、敵対者が使用するインフラストラクチャはさらに速く動きます。テレメトリと応答ロジックを1つの統合プラットフォームに集中させることで、パイプラインを構築するのをやめ、ネットワークの防御を開始できます。 [Threat Landscape Report 2026] [Explore the Threat Intelligence Platform] | [Contact Sales for a Demo]

Cloudflareの脅威インテリジェンスプラットフォームの進化：実用的でスケーラブル、ETL不要

背景や根拠まで確認しますか？

調べる

選ぶ

サイト