Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

Adaptive DDoS Protection

最終更新 Markdown で表示Agent セットアップ

Adaptive DDoS Protection は、お客様固有のトラフィックパターンを学習し、それに合わせて動作します。契約している Cloudflare サービスに応じて、レイヤー 7 およびレイヤー 3/4 の高度な DDoS 攻撃に対する保護を強化します。

Adaptive DDoS Protection は、次の種類の保護を提供します。

  • Adaptive DDoS Protection for Origins: サイトの Origin エラープロファイルから逸脱したトラフィックを検出して緩和します。
  • Adaptive DDoS Protection for User-Agents: Cloudflare ネットワーク全体で観測した上位の User Agent から逸脱したトラフィックを検出して緩和します。User Agent プロファイルは、お客様のゾーンだけでなく、Cloudflare ネットワーク全体から構築します。
  • Adaptive DDoS Protection for Locations: サイトの地理的分布プロファイルから逸脱したトラフィックを検出して緩和します。プロファイルは、過去 7 日間のレートを使い、クライアントの国と地域ごとのレートから算出します。
  • Adaptive DDoS Protection for Protocols: トラフィックの IP プロトコルプロファイルから逸脱したトラフィックを検出して緩和します。プロファイルは、各プレフィックスに対するグローバルなレートとして算出します。

提供状況

Cloudflare Adaptive DDoS Protection は、次の表に従って Enterprise 顧客が利用できます。

機能 プロファイリングの軸 WAF/CDN1 Magic Transit /
Spectrum BYOIP2
HTTP Adaptive DDoS Protection
Origins 向け Origin エラー Yes —
User-Agents 向け User Agent
（Cloudflare ネットワーク全体）		 Yes —
Locations 向け クライアント IP の国と地域 Yes —
L3/4 Adaptive DDoS Protection
Protocols 向け IP プロトコル — Yes
Protocols 向け UDP 向けのクライアント IP の国と地域 — Yes

1 Enterprise プランの WAF/CDN 顧客で、Advanced DDoS Protection のサブスクリプションがある場合。


2 Enterprise プランの Magic Transit および Spectrum BYOIP 顧客。

仕組み

Adaptive DDoS Protection は、過去 7 日間の毎日の最大トラフィックレートを見て、トラフィックプロファイルを作成します。これらのプロファイルは毎日再計算され、7 日間の時間枠を維持します。Adaptive DDoS Protection は、事前定義の各次元値（プロファイリングの軸はルールごとに異なります）について観測した最大トラフィックレートを保存します。各プロファイルは 1 つの軸を使います。リクエストの送信元国、User Agent、IP プロトコルなどです。プロファイルから逸脱した受信トラフィックは、悪意のあるものである可能性があります。

外れ値を除くため、レート計算では 95 パーセンタイルのレートだけを使います（上位 5% の最高レートは捨てます）。Cloudflare がトラフィックプロファイルを構築するには、1 秒あたりのリクエスト数（rps）が一定以上必要です。HTTP Adaptive DDoS Protection のルールは、自動化された可能性の高いトラフィックを識別するため、Cloudflare の 機械学習（ML）モデル も考慮します。

Cloudflare は、これらの保護ルールのロジックを随時変更して改善する場合があります。

フラグされたトラフィックを確認する

HTTP Adaptive DDoS Protection のルールがフラグしたトラフィックを確認するには、次を実行します。

  1. Cloudflare ダッシュボードで Security Analytics ページを開きます。

    Analytics を開く ↗

  2. Events へ進みます。

  3. Service equals HTTP DDoS とルール ID でフィルターします。

L3/4 Adaptive DDoS Protection のルールがフラグしたトラフィックを確認するには、次を実行します。

  1. Cloudflare ダッシュボードで Security Analytics ページを開きます。

    Analytics を開く ↗

  2. Events へ進みます。

  3. ルール ID でフィルターします。

フラグされたトラフィックの情報は、Logpush または GraphQL API でも取得できます。

攻撃トラフィックだけを緩和し、誤検知を起こさない形で Adaptive ルールがトラフィックに合うかどうかを判断するには、Adaptive ルールが Logged したトラフィックを確認します。

Adaptive ルールが Logged したトラフィックがある場合は、ダッシュボードで、そのトラフィックが正規ユーザーの特徴か攻撃トラフィックの特徴かを判断します。インターネットプロパティはそれぞれ異なるため、正規トラフィックかどうかを判断するには、正規トラフィックの見え方を把握している必要があります。たとえば、HTTP リクエストの User Agent、送信元国、ヘッダー、クエリ文字列、L3/4 トラフィックのプロトコルとポートです。

  • ルールが攻撃トラフィックだけをフラグしていると確信できる場合は、オーバーライドを作成し、Managed Challenge または Block アクションでそのルールを有効にすることを検討してください。
  • 正規トラフィックがフラグされている場合は、ルールの感度レベルを下げて、フラグされたトラフィックを観察します。正規トラフィックがフラグされなくなるまで感度を下げ続けます。その後、緩和アクション付きでルールを有効にするオーバーライドを作成します。
  • それでも正規トラフィックがフラグされる場合は、式フィルターを使って、特定の種類のトラフィックを除外するようルールに条件を付けることもできます。

既定のルールアクションが log で、感度が high の場合、ログには内部の high しきい値を超えた、攻撃の疑いがあるパケットまたはリクエストだけが表示されます。たとえば、しきい値を medium または low に設定すると、それらのしきい値を超えたパケットだけがログに記録されます。

ルールを設定する

Adaptive DDoS Protection のルールでは、アクションと感度を調整できます。既定のアクションは Log です。緩和アクションを決める前に、どのトラフィックがフラグされるかをまず観察するには、このアクションを使います。

ルールを設定する手順は、次のページを参照してください。

利用できる設定パラメーターの詳細は、次のページを参照してください。

役に立ちましたか？