Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

一般設定

最終更新 Markdown で表示Agent セットアップ

Advanced DDoS Protection システムには、Advanced TCP Protection、Advanced DNS Protection、Programmable Flow Protection が含まれます。これらのシステムは一般設定で構成するほか、それぞれ専用の設定もあります。 Advanced DDoS Protection システムは Magic Transit のお客様が利用できます。

より単純な TCP または DNS ベースの DDoS 攻撃への保護は、Network-layer DDoS Attack Protection マネージドルールセット に含まれます。

一般設定は、Advanced TCP Protection と Advanced DNS Protection の利用を有効にし、制御します。しきい値、プレフィックス、ルール、有効化で構成されます。

しきい値

しきい値は、ネットワーク固有のトラフィックに基づき、Cloudflare が設定します。感度レベルがしきい値を操作します。しきい値は Advanced TCP Protection と Advanced DNS Protection に適用されます。

Advanced DDoS Protection システムへのアクセスを得ると、監視モードのデフォルト設定が 自動プロビジョニング されます。

しきい値は、Cloudflare が監視するトラフィックプロファイルから導出した、ネットワーク個別の挙動に基づきます。しきい値を定義すると、ご利用環境における High、Medium、Low の 感度 が決まります。

必要であれば、Advanced TCP Protection と Advanced DNS Protection のしきい値を操作する感度レベルを、デフォルトから変更できます。

しきい値が設定されると、Advanced DDoS Protection システムは初期化され、監視モードで有効になります。

自動しきい値

Cloudflare の Advanced DDoS Protection システムの自動しきい値は、お客様アカウントごとに各システムの適切なトラフィックしきい値を自動計算し、DDoS 攻撃の検出と緩和を最適化します。この仕組みは Advanced TCP Protection（具体的には SYN Flood Protection と Out-of-State TCP Flood Protection）と Advanced DNS Protection に適用されます。

自動しきい値を活用するには、Advanced DDoS Protection システムへ正しくオンボードしてください。

処理

自動しきい値システムは、以下の要件を満たす新規および既存の Magic Transit アカウントについて、10 分ごとにしきい値を計算します。

  • flowtrackd アカウントが過去 7〜10 日以内に作成されている。
  • アカウントに、設定済みのグローバルしきい値（rate と burst）が少なくとも 1 つある。システムが自動プロビジョニングしたものでも、Cloudflare が手動でプロビジョニングしたものでも構いません。

これらの確認は、SYN Flood Protection、Out-of-State TCP Flood Protection、Advanced DNS Protection それぞれに対して独立して行われます。ルールが設定されている必要はありません。自動システムが最初にプロビジョニングしたアカウントには、デフォルトのしきい値があります。それ以外では、Cloudflare が設定していない場合、しきい値は未設定のことがあります。

7 日後、システムは各保護コンポーネントの rate と burst のしきい値を計算します。ただし、すぐには適用されません。Cloudflare が、自動計算システムが作った下書きしきい値を確認してから、実際のトラフィック向けしきい値を作成します。

しきい値はアカウント単位でグローバルに適用されます。しきい値計算に最低パケット毎秒（pps）の要件はありません。ただし 100 pps 未満の場合、システムは妥当な非ゼロの rate と burst をデフォルトにします。

しきい値は、直近 7 日間に観測したトラフィックの 95 パーセンタイル（P95）から導出します。

  • SYN Flood Protection: SYN および SYN-ACK トラフィックに基づきます。
  • Out-of-State TCP Flood Protection: それ以外の TCP フラグトラフィックに基づきます。
  • Advanced DNS Protection: DNS over UDP トラフィックに基づきます。

計算は通常 7 日後に自動で行われますが、保護モードを前倒しで有効にしたい場合、Cloudflare はより早い計算を強制できます。

自動しきい値計算システムは、正規トラフィックと攻撃トラフィックを区別しません。オンボード中、または 7 日間の観測期間中に攻撃を受けた場合、攻撃の規模、継続時間、正規トラフィックに対する頻度によっては、計算されたしきい値が不正確になることがあります。その場合、Cloudflare は再計算を実行する必要が高いです。将来の改善では、Cloudflare アカウントチームの支援なしで再計算できるようになります。

実装

自動プロビジョニングされたルールを有効にしてください。最初はデフォルト値で、Monitor モードで動作します。7 日後にしきい値が計算されたら、Network Analytics ダッシュボードで、どのパケットがドロップまたは許可されたかを観察し、緩和モードでルールを安全に有効にできます。Network Analytics ダッシュボードで観察した内容（たとえば Monitor モードで正規トラフィックがフラグされている）によっては、感度レベルを変更し、緩和モードを有効にする前に観察を続けることができます。対応している場合、Rules と Filters のスコープを絞り、粒度を上げることもできます。

再計算

自動しきい値は 1 回だけ計算されます。Cloudflare は手動で再計算を実行できます。初回オンボード後のプレフィックスの追加、承認、削除、委任、広告、取り下げは、計算を自動では再実行しません。トラフィック量に影響する変更を行い、Cloudflare に再計算を依頼する前に、関連システムを Monitor モードへ移すことを推奨します。将来の改善では、これらのイベントも考慮されます。

上書き

自動計算されたしきい値は上書きできます。Cloudflare が手動でのしきい値定義を支援できます。

考慮事項

攻撃を受けていてトラフィックを Cloudflare へ迂回している場合、攻撃トラフィックが含まれるため、自動しきい値計算は効果的になりにくいです。この場合、Cloudflare は引き続き手動でしきい値を設定する必要があります。迂回中に攻撃を受けていなければ、Cloudflare は利用可能なデータでしきい値計算を強制できます。ただし、観測日数や時間が少ないほど、しきい値の精度は下がります。

制限

現在、お客様は計算済みしきい値を確認できず、しきい値が設定済みかどうかも分かりません。将来の改善では、しきい値が設定されたことと、最終更新日時を示す予定です。

自動しきい値計算コンポーネントは現在 PDX でのみ動作します。そのため、Data Localization Services（DLS）を有効にしており、EU CMB など米国外にいる場合は互換性がありません。将来の改善でこの制限に対応します。

プレフィックス

Cloudflare に オンボード し、承認されたプレフィックスが、どのトラフィックをシステム経由でルーティングするかを指示します。プレフィックスは Advanced TCP Protection、Advanced DNS Protection、Programmable Flow Protection に適用されます。

Advanced TCP Protection と Advanced DNS Protection で使いたい プレフィックスを追加 します。Magic Transit にオンボード済み のプレフィックス、またはそのサブセットを登録できます。

未承認のプレフィックスは Advanced DDoS Protection システムに追加できません。プレフィックスの承認についてはアカウントチームに連絡してください。

任意で、Advanced DDoS Protection のルールをバイパスすべきトラフィックがある場合は 許可リストにプレフィックスを追加 できます。

許可リスト は送信元 IP にのみ適用されます。自身の IP やプレフィックスには適用されません。オンボード済みプレフィックスのサブセットを除外 して Advanced TCP Protection から外すこともできます。

詳細は 概念 を参照してください。

ルール

緩和を有効にするには、Advanced TCP Protection、Advanced DNS Protection、Programmable Flow Protection の ルールを作成 します。

SYN Flood Protection 用と Out-of-state TCP Protection 用に、それぞれグローバルスコープで監視モードのルールを作成できます。これらのルールは、受信するすべての パケット に適用されます。

任意で、各保護システムコンポーネント（SYN flood protection と out-of-state TCP protection）に フィルター を作成できます。

フィルターは、式に一致するすべての受信パケットに対して、Advanced TCP Protection の 実行モード（monitoring、mitigation（enabled）、または disabled）を変更します。

有効化

Advanced DDoS システムを有効にし、トラフィックのルーティングを開始します。

  1. Cloudflare ダッシュボードで L3/4 DDoS protection ページを開きます。

    DDoS Managed Rules を開く ↗

  2. Advanced Protection > General settings へ移動します。

  3. General settings で、機能のステータスを On に切り替えます。

役に立ちましたか？