推奨される最小ルールセットは、DDoS 攻撃でよく使われる一部のベクターをブロックし、その他の ESP（IPsec VPN で使う Encapsulating Security Payload）、TCP、UDP、GRE（トンネルで使う Generic Routing Encapsulation）、ICMP トラフィックを許可します。
これは推奨リストであり、網羅的なリストではありません。インフラストラクチャが使うポートとプロトコル（VPN、NTP、データベースサービスなど）を確認し、これらのルールでブロックされないようにしてください。
Rule ID: 1
説明: Magic Transit のイングレスで攻撃に使われる、または無効な UDP 送信元ポートのトラフィックを、1 つのルールですべてブロックします。
Match: (udp.srcport in {1900 11211 389 111 19 1194 3702 10001 20800 161 162 137 27005 520 0})
Action: Block
Rule ID: 2
説明: 送信元ポート 0 の TCP トラフィックと、TCP SYN/ACK リフレクション攻撃（TCP ハンドシェイクの応答を悪用して標的をフラッドする攻撃）でよく使われるポートをブロックします。
Match: (tcp.srcport in {21 0 3306})
Action: Block
Rule ID: 3
説明: ほとんどの環境で正当な用途がない HOPOPT（Hop-by-Hop Options、IP プロトコル 0）をブロックし、ESP、TCP、UDP、GRE、ICMP 以外のプロトコルもブロックします。環境で必要なプロトコルは許可してください。
Match: (ip.proto eq "hopopt") or (not ip.proto in {"esp" "tcp" "udp" "gre" "icmp"})
Action: Block
これらのルールは、手動設定なしで有効にできる マネージドルール としても提供されています。上記のルールは参照とカスタマイズ用です。
次の表は、トラフィックの種類、ポートの用途、ポートをブロックする理由をまとめています。
| トラフィック | ポートの用途 | ブロックする理由 |
|---|---|---|
UDP 送信元ポート 0 |
予約済みポートです。アプリケーションは使うべきではありません。 | 正当なトラフィックの送信元ポートとしては無効です。DDoS 攻撃でよく使われます。 |
UDP 送信元ポート 1900 |
Simple Service Discovery Protocol（SSDP）。ユニバーサルプラグアンドプレイデバイスが情報を送受信できます。 | SSDP DDoS 攻撃 ↗ は Universal Plug and Play プロトコルを悪用します。 |
UDP 送信元ポート 11211 |
Memcached。Web サイトとネットワークを高速化するデータベースキャッシュシステムです。 | Memcached DDoS 攻撃 ↗ です。 |
UDP 送信元ポート 389 |
Connection-less Lightweight Directory Access Protocol（CLDAP）。 | リフレクション攻撃で使われます ↗。 |
UDP 送信元ポート 111 |
SunRPC | 一般的な攻撃ベクターです。リフレクション攻撃で使われます ↗。 |
UDP 送信元ポート 19 |
CHARGEN | 増幅攻撃のベクターです ↗。 |
UDP 送信元ポート 1194 |
OpenVPN | 環境で許可した VPN でない限り、この一般的な VPN はブロックしてください。 |
UDP 送信元ポート 3702 |
Web Services Dynamic Discovery Multicast discovery protocol（WS-Discovery） | DDoS 攻撃への悪用に対して脆弱です。 |
UDP 送信元ポート 10001 |
Ubiquiti UniFi ディスカバリープロトコル | Ubiquiti デバイスが悪用され、このポートで DDoS 攻撃に使われました。 |
UDP 送信元ポート 20800 |
Call of Duty | 攻撃でよく使われます ↗。 |
UDP 送信元ポート 161 と 162 |
SNMP | DDoS 攻撃への悪用に対して脆弱です。 |
UDP 送信元ポート 137 |
NetBIOS | NetBIOS はネットワーク経由のファイル共有を許可します。設定を誤るとファイルシステムが露出することがあります。 |
UDP 送信元ポート 27005 |
SRCDS | 増幅攻撃で使われます ↗。 |
UDP 送信元ポート 520 |
Routing Information Protocol（RIP） | 内部ルーティングプロトコルです。インターネット WAN アクセスでは不要です。 |
TCP 送信元ポート 0 |
予約済みポートです。アプリケーションは使うべきではありません。 | DDoS 攻撃でよく使われます。正当なトラフィックの送信元ポートとしては無効です。 |
TCP 送信元ポート 21 |
FTP | 攻撃でよく使われます。 |
TCP 送信元ポート 3306 |
MYSQL オープンソースデータベース | DDoS 攻撃のベクターとして使われます。 |
次のリストは、受信をブロックまたは制限することを検討すべき一般的なトラフィックです。
- SFTP、TFTP
- SSH、Telnet
- RDP
- RCP
- SMCP
- NTP
- リフレクション攻撃の一般的なベクターです。可能であれば Cloudflare One のトラフィックポリシー、1.1.1.1 の DNS over HTTPS（DoH）、または内部 DNS サービスを検討してください。ファイアウォールルールは、DNS トラフィックの送信元と宛先だけを許可するよう制限することを検討してください。
- MS-SQL
- 一般的なベクターであり、DDoS 攻撃のベクターとしても増加しています ↗。使わない場合はブロックするか、必要な送信元 IP アドレスだけに制限することを検討してください。
- HTTP と HTTPS
- Magic Transit のプレフィックス上にサーバーだけがある場合は、外部からの TCP 送信元ポート 80 と 443 のイングレストラフィックをブロックすることを検討してください。Magic Transit のプレフィックス上にエンドポイントがある場合は、送信元ポートのトラフィックを許可できます。ただし、必要に応じてリフレクション攻撃へ対応できるよう、無効化したルールを用意しておくことを検討してください。
環境に関係する場合は、地理位置情報に基づくブロックも検討してください。エンドユーザーの IP アドレスが地理位置データベースに登録されている国またはユーザーに基づいてトラフィックをブロックします。
Session Initiation Protocol（SIP）Validation ↗ のベータに参加したい場合は、Implementation Manager に問い合わせてください。