ログエクスプローラーにおけるマルチベクトル攻撃の調査

サイバーセキュリティの世界では、単一のデータポイントが全体像を語ることはほとんどありません。現代の攻撃者は単に正面玄関をノックするだけではなく、あなたのAPIを探り、チームの注意をそらすためにネットワークを「ノイズ」で溢れさせ、盗まれた認証情報を使用してアプリケーションやサーバーに滑り込もうと試みます。

これらのマルチベクトル攻撃を阻止するには、全体像が必要です。Cloudflare Log Explorerを使用してセキュリティフォレンジックを実施することで、CloudflareのアプリケーションサービスとCloudflare One製品ポートフォリオの全表面をカバーする14の新しいデータセットの統合を通じて、360度の可視性を得ることができます。アプリケーション層のHTTPリクエスト、ネットワーク層のDDoSおよびファイアウォールログ、Zero Trust Accessイベントからのテレメトリを相関させることで、セキュリティアナリストは平均検出時間（MTTD）を大幅に短縮し、洗練された多層的な攻撃を効果的に暴き出すことができます。

Log Explorerがセキュリティチームに迅速で深いフォレンジックのための究極の状況をどのように提供するかについて、さらに学ぶために読み進めてください。

あなたのスタック全体のフライトレコーダー

現代のデジタル環境では、複数の攻撃ベクトルを使用する敵から防御するために、深く相関したテレメトリが必要です。生ログはアプリケーションの「フライトレコーダー」として機能し、すべての単一のインタラクション、攻撃試行、パフォーマンスのボトルネックを捕捉します。そして、Cloudflareがユーザーとサーバーの間のエッジに位置しているため、これらのイベントはすべて、リクエストがあなたのインフラストラクチャに到達する前にログに記録されます。

Cloudflare Log Explorerはこれらのログを統一されたインターフェースに集約し、迅速な調査を可能にします。

サポートされるログタイプ

ゾーンスコープのログ

焦点: ウェブサイトトラフィック、セキュリティイベント、エッジパフォーマンス。

HTTPリクエスト

最も包括的なデータセットとして、すべてのアプリケーション層トラフィックの「主要記録」として機能し、セッション活動、エクスプロイト試行、ボットパターンの再構築を可能にします。

ファイアウォールイベント

ブロックまたはチャレンジされた脅威の重要な証拠を提供し、アナリストが攻撃を遮断した特定のWAFルール、IPレピュテーション、またはカスタムフィルターを特定できるようにします。

DNSログ

権威エッジで解決されたすべてのクエリを追跡することで、キャッシュポイズニング試行、ドメインハイジャック、インフラストラクチャレベルの偵察を特定します。

NEL（ネットワークエラーロギング）レポート

クライアント側のブラウザエラーを追跡することで、調整されたレイヤー7 DDoS攻撃と正当なネットワーク接続問題を区別します。

Spectrumイベント

非ウェブアプリケーションの場合、これらのログはL4トラフィック（TCP/UDP）の可視性を提供し、SSH、RDP、またはカスタムゲームトラフィックなどのプロトコルに対する異常またはブルートフォース攻撃の特定に役立ちます。

Page Shield

JavaScript、アウトバウンド接続など、サイトのクライアント側環境への不正な変更を追跡および監査します。

Zarazイベント

サードパーティツールとトラッカーがユーザーデータとどのように相互作用しているかを調べます。これは、プライバシーコンプライアンスの監査と不正なスクリプト動作の検出に不可欠です。

アカウントスコープのログ

焦点: 内部セキュリティ、Zero Trust、管理変更、ネットワーク活動。

アクセスリクエスト

IDベースの認証イベントを追跡し、どのユーザーが特定の内部アプリケーションにアクセスしたか、およびそれらの試行が承認されたかどうかを判断します。

監査ログ

Cloudflareダッシュボード内の構成変更の痕跡を提供し、不正な管理アクションまたは変更を特定します。

CASB所見

SaaSアプリケーション（Google DriveやMicrosoft 365など）内のセキュリティ設定ミスとデータリスクを特定し、不正なデータ流出を防止します。

Magic Transit / IPSecログ

ネットワークエンジニアがネットワークレベル（L3）の監視（トンネルの健全性の確認やBGPルーティング変更の表示など）を実行するのに役立ちます。

ブラウザ分離ログ

分離されたブラウザセッション内のユーザーアクション（例: コピー＆ペースト、印刷、ファイルアップロード）を追跡し、信頼できないサイトでのデータ漏洩を防止します。

デバイスポスチャ結果

ネットワークに接続するデバイスのセキュリティ健全性とコンプライアンスステータスを詳細に説明し、侵害されたまたは非準拠のエンドポイントを特定するのに役立ちます。

DEXアプリケーションテスト

ユーザーの視点からアプリケーションパフォーマンスを監視し、セキュリティ関連の停止と標準的なパフォーマンス低下を区別するのに役立ちます。

DEXデバイスステートイベント

ユーザーデバイスの物理的状態に関するテレメトリを提供し、ハードウェアまたはOSレベルの異常と潜在的なセキュリティインシデントを相関させるのに有用です。

DNSファイアウォールログ

DNSファイアウォールを介してフィルタリングされたDNSクエリを追跡し、既知の悪意のあるドメインまたはコマンド＆コントロール（C2）サーバーとの通信を特定します。

メールセキュリティアラート

ゲートウェイで検出された悪意のあるメール活動とフィッシング試行をログに記録し、メールベースの侵入ベクトルの発生源を追跡します。

ゲートウェイDNS

ネットワーク上のユーザーによって行われたすべてのDNSクエリを監視し、シャドーIT、マルウェアコールバック、またはドメイン生成アルゴリズム（DGA）を特定します。

ゲートウェイHTTP

暗号化および非暗号化のウェブトラフィックの完全な可視性を提供し、隠されたペイロード、悪意のあるファイルダウンロード、または不正なSaaS使用を検出します。

ゲートウェイネットワーク

L3/L4ネットワークトラフィック（非HTTP）を追跡し、不正なポート使用、プロトコル異常、またはネットワーク内の横移動を特定します。

IPSecログ

暗号化されたサイト間トンネルのステータスとトラフィックを監視し、安全なネットワーク接続の完全性と可用性を確保します。

Magic IDS検出

侵入検知シグネチャとの一致を表面化させ、調査者に既知のエクスプロイトパターンまたはネットワークを通過するマルウェア動作について警告します。

ネットワークアナリティクスログ

パケットレベルのデータへの高レベルの可視性を提供し、特定のインフラストラクチャを標的とした大規模なDDoS攻撃または異常なトラフィックスパイクを特定します。

シンクホールHTTPログ

「シンクホール化された」IPアドレスに向けられたトラフィックを捕捉し、どの内部デバイスが既知のボットネットインフラストラクチャとの通信を試みているかを確認します。

WARP構成変更

エンドユーザーデバイス上のWARPクライアント設定の変更を追跡し、セキュリティエージェントが改ざんまたは無効化されていないことを確認します。

WARPトグル変更

ユーザーがセキュアな接続性を有効または無効にしたときを特にログに記録し、デバイスが保護されていない可能性があった期間を特定するのに役立ちます。

Zero Trustネットワークセッションログ

認証されたユーザーセッションの期間とステータスをログに記録し、保護された境界内でのユーザーのアクセスの完全なライフサイクルをマッピングします。

Log Explorerはあらゆる段階で悪意のある活動を特定できます

HTTPリクエスト、ファイアウォールイベント、DNSログを使用して、トラフィックがあなたの公開プロパティにどのように到達しているかを正確に確認するための詳細なアプリケーション層の可視性を得ます。アクセスリクエスト、ゲートウェイログ、監査ログを使用して内部の動きを追跡します。認証情報が侵害された場合、彼らがどこに行ったかがわかります。Magic IDSおよびネットワークアナリティクスログを使用して、プライベートネットワーク内での大規模な攻撃と「東西」の横移動を発見します。

偵察を特定する

攻撃者はスキャナーやその他のツールを使用して、侵入点、隠しディレクトリ、またはソフトウェアの脆弱性を探します。これを特定するために、Log Explorerを使用して、単一のIPから来るEdgeResponseStatusコード401、403、または404のhttp_requests、または機密性の高いパス（例: /.env、/.git、/wp-admin）へのリクエストをクエリできます。

さらに、magic_ids_detectionsログを使用して、ネットワーク層でのスキャンを特定することもできます。これらのログは、ネットワークを標的とした脅威へのパケットレベルの可視性を提供します。標準的なHTTPログとは異なり、これらのログはネットワーク層およびトランスポート層（IP、TCP、UDP）でのシグネチャベースの検出に焦点を当てています。短時間で単一のSourceIPが広範囲のDestinationPort値にわたって複数のユニークな検出をトリガーしているケースを発見するためにクエリを実行します。Magic IDSシグネチャは、NmapスキャンやSYNステルススキャンなどの活動を特にフラグ付けできます。

陽動を確認する

攻撃者が偵察を実施している間、彼らは同時にネットワークフラッドでこれを偽装しようとするかもしれません。ネットワークアナリティクスログにピボットして、大規模な攻撃が煙幕として使用されているかどうかを確認します。

接近を特定する

攻撃者が潜在的な脆弱性を特定すると、彼らは武器の作成を開始します。攻撃者は悪意のあるペイロード（例: SQLインジェクションまたは大きな/破損したファイルアップロード）を送信して脆弱性を確認します。http_requestsおよび/またはfw_eventsをレビューして、トリガーされたCloudflare検知ツールを特定します。Cloudflareはこれらのデータセットにセキュリティシグナルをログに記録し、WAFAttackScore、WAFSQLiAttackScore、FraudAttack、ContentScanJobResultsなどのフィールドを使用して悪意のあるペイロードを含むリクエストを簡単に特定できます。これらのフィールドを完全に理解するために、当社のドキュメントをレビューしてください。fw_eventsログは、action、source、ruleIDフィールドを調べることで、これらのリクエストがCloudflareの防御を通過したかどうかを判断するために使用できます。Cloudflareのマネージドルールはデフォルトでこれらのペイロードの多くをデフォルトでブロックします。アプリケーションが保護されているかどうかを知るために、アプリケーションセキュリティの概要をレビューしてください。

現在のゾーンでマネージドルールが有効になっていない場合にセキュリティ概要に表示されるマネージドルールインサイトを示しています

IDを監査する

その不審なIPはログインに成功しましたか？ClientIPを使用してaccess_requestsを検索します。機密性の高い内部アプリに対して「Decision: Allow」が表示された場合、侵害されたアカウントがあることがわかります。

流出を阻止する（データ流出）

攻撃者は、機密データ（パスワードやSSHキーなど）をDNSクエリにエンコードすることで、ファイアウォールをバイパスするためにDNSトンネリングを使用することがあります。google.comのような通常のリクエストの代わりに、ログには長いエンコードされた文字列が表示されます。以下のフィールドを調べて、ユニークで長く、エントロピーの高いサブドメインに対する異常に大量のクエリを探してください: QueryName: h3ldo293js92.example.com のような文字列を探します, QueryType: ペイロードを運ぶためにTXT、CNAME、またはNULLレコードを使用することが多いです, ClientIP: 単一の内部ホストが何千ものこのようなユニークなリクエストを生成しているかどうかを特定します。

さらに、攻撃者は機密データを非標準プロトコル内に隠したり、一般的なプロトコル（DNSやICMPなど）を異常な方法で使用して標準的なファイアウォールをバイパスしようとする可能性があります。magic_ids_detectionsログをクエリし、SignatureMessage内の「ICMPトンネリング」や「DNSトンネリング」の検出など、プロトコル異常をフラグするシグネチャを探すことで、これを発見できます。

ゼロデイ脆弱性を調査している場合でも、高度なボットネットを追跡している場合でも、必要なデータはすぐに手に入ります。

データセット間の相関

複数の同時検索間でピボットすることで、複数のデータセットにわたる悪意のあるアクティビティを調査します。Log Explorerでは、新しいタブ機能を使用して、複数のクエリを同時に操作できるようになりました。タブを切り替えて異なるデータセットをクエリしたり、クエリ結果を介したフィルタリングを使用してクエリをピボットおよび調整したりできます。

複数のCloudflareログソースにわたってデータを相関させることで、単独で見ると良性に見える洗練された多段階攻撃を検出できます。このクロスデータセット分析により、偵察からデータ流出までの完全な攻撃チェーンを確認できます。

セッションハイジャック（トークン盗難）

シナリオ: ユーザーがCloudflare Accessを介して認証しますが、その後のHTTP_requestトラフィックはボットのように見えます。

ステップ1: http_requestsで高リスクセッションを特定します。

SELECT RayID, ClientIP, ClientRequestUserAgent, BotScore

FROM http_requests

WHERE date = '2026-02-22'

AND BotScore < 20

LIMIT 100

ステップ2: RayIDをコピーし、access_requestsを検索して、その疑わしいボットアクティビティに関連付けられているユーザーアカウントを確認します。

SELECT Email, IPAddress, Allowed

FROM access_requests

WHERE date = '2026-02-22'

AND RayID = 'INSERT_RAY_ID_HERE'

フィッシング後のC2ビーコン

シナリオ: 従業員がフィッシングメール内のリンクをクリックし、その結果ワークステーションが侵害されました。このワークステーションは、既知の悪意のあるドメインに対してDNSクエリを送信し、その後直ちにIDSアラートをトリガーします。

ステップ1: 違反についてemail_security_alertsを調べてフィッシング攻撃を見つけます。

SELECT Timestamp, Threatcategories, To, Alertreason

FROM email_security_alerts

WHERE date = '2026-02-22'

AND Threatcategories LIKE 'phishing'

ステップ2: Accessログを使用して、ユーザーのメールアドレス（To）をそのIPアドレスに関連付けます。

SELECT Email, IPAddress

FROM access_requests

WHERE date = '2026-02-22'

ステップ3: gateway_dnsログで、特定の悪意のあるドメインをクエリしている内部IPを見つけます。

SELECT SrcIP, QueryName, DstIP,

FROM gateway_dns

WHERE date = '2026-02-22'

AND SrcIP = 'INSERT_IP_FROM_PREVIOUS_QUERY'

AND QueryName LIKE '%malicious_domain_name%'

ラテラルムーブメント（Access → ネットワークプロービング）

シナリオ: ユーザーがZero Trustを介してログインし、その後内部ネットワークのスキャンを試みます。

ステップ1: access_requestsで予期しない場所からの成功したログインを見つけます。

SELECT IPAddress, Email, Country

FROM access_requests

WHERE date = '2026-02-22'

AND Allowed = true

AND Country != 'US' -- あなたの本社国に置き換えてください

ステップ2: そのIPAddressがmagic_ids_detectionsでネットワークレベルのシグネチャをトリガーしているかどうかを確認します。

SELECT SignatureMessage, DestinationIP, Protocol

FROM magic_ids_detections

WHERE date = '2026-02-22'

AND SourceIP = 'INSERT_IP_ADDRESS_HERE'

より多くのデータへの扉を開く

最初から、Log Explorerは拡張性を考慮して設計されていました。すべてのデータセットスキーマは、JSONデータの構造と型を記述するために広く採用されている標準であるJSON Schemaを使用して定義されています。この設計上の決定により、HTTPリクエストやファイアウォールイベントを超えて、Cloudflareのテレメトリの全範囲に容易に拡張することができました。初期のデータセットを強化したのと同じスキーマ駆動アプローチは、自然に拡張され、Zero Trustログ、ネットワーク分析、メールセキュリティアラート、およびその間のすべてに対応できるようになりました。

さらに重要なことに、この標準化は、Cloudflareのネイティブテレメトリを超えたデータの取り込みへの扉を開きます。私たちの取り込みパイプラインはハードコードではなくスキーマ駆動であるため、JSON形式で表現できる構造化データであれば何でも受け入れる態勢が整っています。ハイブリッド環境を管理するセキュリティチームにとって、これはLog Explorerが最終的に、Cloudflareのエッジテレメトリとサードパーティソースからのログを相関させ、すべて同じSQLインターフェースを通じてクエリ可能なシングルペインオブグラスとして機能する可能性があることを意味します。今日のリリースはCloudflareの製品ポートフォリオのカバレッジを完成させることに焦点を当てていますが、カスタムスキーマで独自のデータソースを持ち込める未来に向けたアーキテクチャの基盤は築かれています。

より速いデータ、より速い対応：アーキテクチャのアップグレード

マルチベクター攻撃を効果的に調査するには、タイミングがすべてです。ログの可用性における数分の遅延でさえ、積極的な防御と反応的な被害制御の違いになる可能性があります。

そのため、私たちは速度と回復力のために取り込みを最適化しました。取り込みパスの一部で並行性を高めることで、「隣人騒音（noisy neighbor）」問題を引き起こす可能性のあるボトルネックを排除し、あるクライアントのデータ急増が別のクライアントの可視性を遅らせないようにしました。このアーキテクチャ作業により、P99取り込み遅延は約55％、P50は25％削減され、エッジでのイベントがSQLクエリで利用可能になるまでの時間が短縮されました。

image

アーキテクチャアップグレード後の取り込み遅延の低下を示すGrafanaチャート

さらなるアップデートにご注目ください

私たちはまだ始まったばかりです。カスタム定義スケジュールでこれらの検出クエリを実行する機能など、Log Explorerでの体験をさらに向上させる、さらに強力な機能を積極的に開発中です。

image

今後のLog Explorerスケジュール済みクエリ機能のデザインモックアップ

ブログを購読し、Change Logで近日公開予定のさらなるLog Explorerアップデートにご注目ください。

Log Explorerへのアクセス

Log Explorerにアクセスするには、ダッシュボードから直接セルフサービスで購入するか、契約顧客の場合はコンサルテーションのために連絡するか、アカウントマネージャーに連絡してください。さらに、Developer Documentationで詳細を読むこともできます。