Cloudflare のネットワークは大規模な DDoS 攻撃 を自動で緩和します。ただし、これらの攻撃はアプリケーションに影響を与えることがあります。
アプリケーションをより安全にするため、すべてのお客様は次の手順を実施してください。
-
DDoS 防御を最適に働かせるため、すべての DDoS マネージドルールセット を既定設定（感度レベル High と緩和アクション）にしてください。
-
WAF カスタムルール と レート制限ルール をデプロイし、許可型と拒否型を組み合わせたセキュリティモデルを適用します。既知の利用状況に基づいて、ウェブサイトへ許可するトラフィックを減らします。
-
Origin がパブリックインターネットに直接公開されていないことを確認します。つまり、Cloudflare IP アドレス からのみアクセスできるようにします。追加のセキュリティ対策として、過去に Origin サーバーが直接狙われたことがある場合は、ホスティングプロバイダーに連絡し、新しい Origin サーバー IP を依頼することをおすすめします。
-
Managed IP Lists または Bot Management がある場合は、WAF カスタムルールでの利用を検討してください。
-
キャッシュ をできるだけ有効にし、Origin サーバーへの負荷を減らします。Workers を使う場合は、必要以上のサブリクエストで Origin サーバーを過負荷にしないでください。
攻撃のランダム化に対抗するため、クエリ文字列をキャッシュキーから除外するようキャッシュ設定を更新することを Cloudflare は推奨します。クエリ文字列をキャッシュキーから除外すると、緩和されなかった攻撃リクエストは Origin へ転送されず、Cloudflare のキャッシュが受け取ります。キャッシュは、多層防御の一部として役立ちます。
すべてのお客様向け手順に加えて、Advanced DDoS Protection サービスを契約している Cloudflare Enterprise のお客様は、Adaptive DDoS Protection の有効化を検討してください。独自のトラフィックパターンに基づいて、より的確に攻撃を緩和します。
すべてのお客様向け手順に加えて、Cloudflare Magic Transit のお客様は、Advanced TCP Protection、Advanced DNS Protection、Programmable Flow Protection が有効で、設定が最適化されていることを確認してください。