Cloudflare が提供する DDoS Attack Protection マネージドルールセットは、Cloudflare にオンボードしたゾーン、Spectrum にオンボードした IP アプリケーション、Magic Transit にオンボードした IP プレフィックスで、既定で有効です。
状況によっては、DDoS ルールの既定の保護を、環境に合わせて調整する必要があります。ほかの Cloudflare 製品で追加の保護を設定したい場合もあります。
Cloudflare が提供する 1 つ以上の DDoS ルールが正規トラフィックに影響する場合、その種のトラフィックに緩和アクションを実行しないよう調整できます。誤検知への対処 の手順に従い、1 つ以上の DDoS ルールの感度レベルを下げ、正規の受信トラフィックを許可します。
DDoS 攻撃に対する追加の保護を設定するには、Network-layer DDoS Attack Protection と HTTP DDoS Attack Protection に掲載されている関連 Cloudflare 製品を参照してください。
Cloudflare の DDoS 保護システムは、DDoS 攻撃を自動で検知して緩和します。加えて、レガシーアプリケーション、インターネットサービス、不具合のあるクライアントアプリケーションからの不審な受信トラフィックを悪意のあるものとしてフラグし、緩和アクションを適用することがあります。そのトラフィックが実際には正規であれば、緩和アクションがインターネットプロパティのサービス障害や停止を引き起こすことがあります。
この状況を防ぐため、Cloudflare は次の手順で始めることを推奨します。
- すべての DDoS Attack Protection マネージドルールセット のルールセットアクションを Log に設定します。
- フラグされたトラフィックを分析します。
- 必要に応じて、個々のマネージドルールセットルールの感度またはアクションを調整します。
- ルールセットアクションを Log から既定に戻します。
次のいずれかが必要です。
- Cloudflare にオンボードしたゾーン（DNS レコードは未更新）。
- Spectrum にオンボードした IP アプリケーション。
- Magic Transit にオンボードした IP プレフィックス。
- HTTP DDoS Attack Protection マネージドルールセットの全ルールを設定 し、アクションを Log にします。
- Network-layer DDoS Attack Protection マネージドルールセットの全ルールを設定 し、アクションを Log にします。
API を使う場合は、次の手順でルールセットレベルのオーバーライドを定義し、マネージドルールセットの全ルールのアクションを log に設定します。
- HTTP DDoS Attack Protection マネージドルールセットのオーバーライドを設定する
- Network-layer DDoS Attack Protection マネージドルールセットのオーバーライドを設定する
- 分析ダッシュボード を開きます（使うダッシュボードは、利用中の Cloudflare サービスによって異なります）。
- 必要に応じて 1 つ以上のフィルターを適用し、Log モードを無効にした場合に正規トラフィックをブロックしていたルールを特定します。ルール ID を控えます。
特定したマネージドルールセットのルールをカスタマイズし、Cloudflare ダッシュボードまたは API で感度またはアクションを変更します。
Cloudflare ダッシュボードを使う場合は、次を参照してください。
API を使う場合は、次を参照してください。
API を使うときは、手順 1 で設定したルールセットオーバーライドを削除せずに、必要なルールオーバーライドを追加してください。
手順 1 の変更を元に戻し、各マネージドルールセットルールのアクションを Ruleset action で Default に戻します。
API を使う場合は、各マネージドルールセットについて、以前にルールセットレベルで設定した オーバーライドを削除 します。手順 3 で設定したルールオーバーライドは削除せず、ルールセットオーバーライドだけを削除してください。