DDoS 攻撃 を検出して緩和するため、Cloudflare の自律エッジと集中型 DDoS システムは、パス外でトラフィックサンプルを分析します。これにより、レイテンシを増やしたり性能に影響したりせず、非同期に DDoS 攻撃を検出できます。
分析するサンプルには次が含まれます。
- パケットフィールド。送信元 IP、送信元ポート、宛先 IP、宛先ポート、プロトコル、TCP フラグ、シーケンス番号、オプション、パケットレートなど。
- HTTP リクエストのメタデータ。HTTP ヘッダー、ユーザーエージェント、クエリ文字列、パス、ホスト、HTTP メソッド、HTTP バージョン、TLS 暗号バージョン、リクエストレートなど。
- HTTP レスポンスの指標。お客様の Origin サーバーが返すエラーコードと、その発生率など。
Cloudflare は動的ルールのセットで、攻撃パターン、既知の攻撃ツール、不審なパターン、プロトコル違反、Origin で大量のエラーを引き起こすリクエスト、Origin やキャッシュに過度に当たるトラフィック、そのほかの攻撃ベクトルをスキャンします。各ルールには事前定義の感度レベルと既定アクションがあり、そのトラフィックが実際に攻撃の一部であるというルールの確信度に応じて変わります。
攻撃トラフィックがルールに一致すると、Cloudflare のシステムはそのトラフィックを追跡し、リアルタイムのシグネチャを生成します。攻撃パターンにピンポイントで一致させ、正規トラフィックに影響せず攻撃を緩和します。ルールは、攻撃のさまざまなプロパティと各属性のシグナル強度に基づいて、異なるシグネチャを生成できます。たとえば攻撃が分散している（多数の送信元 IP から発信している）場合、送信元 IP フィールドは強い指標になりません。ルールは攻撃シグネチャに送信元 IP フィールドを選びません。生成したフィンガープリントは緩和ルールとして、コスト効率の良い緩和ができる Cloudflare グローバルネットワーク上の最適な場所へ伝播します。これらの緩和ルールは一時的で、攻撃終了後まもなく期限切れになります。攻撃終了は、そのルールに追加のトラフィックが一致しなくなったときです。
| アクション | 説明 |
|---|---|
| Block | 一致したリクエストはサイトへのアクセスを拒否します。 |
| Managed Challenge | リクエストの特性に応じて、Cloudflare が適切なチャレンジ種別を選びます。 |
| Interactive Challenge | リクエストを送ったクライアントは、インタラクティブチャレンジに合格する必要があります。 |
| Log | 一致したリクエストを Cloudflare Logs に記録します。 |
| Use rule defaults | 各ルールにあらかじめ定義された既定アクションを使います。 |
しきい値はルールごとに異なり、グローバルと colo ごとでも異なります。ルール内ではトラフィックをフィンガープリントし、しきい値はフィンガープリント単位です。どのルール、colo、フィンガープリントがトラフィックから生成されるかは事前に分かりにくいため、しきい値の数値自体はあまり役立ちません。
その代わり、Cloudflare の DDoS Protection システムは感度の調整を提供します。誤検知が起きた場合は、感度を下げられます。Log アクションで適切な感度レベルを探すこともできます。Log モードのまま感度を下げ、ルールが一致しなくなるまで調整できます。
- Advanced TCP Protection と Advanced DNS Protection では、即時に緩和します。
- Network-layer DDoS Protection のマネージドルールを使うエッジでの L3/4 DDoS 攻撃の検出と緩和は、平均で最大 3 秒です。
- HTTP DDoS Protection のマネージドルールを使うエッジでの HTTP DDoS 攻撃の検出と緩和は、平均で最大 3 秒です。
DDoS 保護とデータローカライゼーションの関係については、Data Localization Suite の 製品互換性 を参照してください。