Cloudflare の HTTP DDoS Attack Protection マネージドルールセットは、Cloudflare グローバルネットワーク上のレイヤー 7（アプリケーション層）で 既知の DDoS 攻撃ベクトル に一致させる、事前設定済みルールのセットです。ルールは、既知の攻撃パターンとツール、不審なパターン、プロトコル違反、オリジンで大量のエラーを引き起こすリクエスト、オリジンやキャッシュに過度に当たるトラフィック、そのほかのアプリケーション層の攻撃ベクトルに一致します。
Cloudflare はマネージドルールセット内のルール一覧を定期的に更新します。最近および今後の変更については 変更履歴 を参照してください。
HTTP DDoS Attack Protection マネージドルールセットは常に有効です。カスタマイズできるのは動作だけです。
HTTP DDoS Attack Protection マネージドルールセットにより、Cloudflare が緩和した L7 DDoS 攻撃の可視性が高まり、進行中または過去の攻撃を把握できます。Security Events ダッシュボード（Security > Events）に、上位の HTTP DDoS マネージドルールの情報が表示されます。
正規トラフィックの急増が見込まれる場合は、正規トラフィックが攻撃と誤認されてブロックまたはチャレンジされる 誤検知 を避けるため、DDoS 保護の設定をカスタマイズすることを検討してください。
マネージドルールセット内のルールの動作は、次のパラメーターを変更して調整できます。
- 攻撃検出時に実行する アクション
- 攻撃検出メカニズムの 感度レベル
ルールの動作を調整するには、次のいずれかを行います。
利用できる設定パラメーターの詳細は マネージドルールセットのパラメーター を参照してください。
Cloudflare の HTTP DDoS Protection は、オリジンの健全性に基づいて緩和を開始することもできます。Adaptive DDoS Protection for Origins は、サイトのオリジンエラープロファイルから外れたトラフィックを検出して緩和します。ゾーンエラーを大量に引き起こすリクエストのフラッド（デフォルトの感度レベルは 1 秒あたり 1,000 エラー）は、ゾーンへの負荷を軽減するために緩和を開始できます。
| ルール ID | 説明 |
|---|---|
dd42da7baabe4e518eaf11c393596a9d |
オリジンで大量のエラーを引き起こす HTTP リクエスト。 |
Cloudflare のネットワークは大規模な DDoS 攻撃を自動で監視・緩和するように作られています。あわせて、次の一般ルールに基づき、より小規模な DDoS 攻撃の緩和にも対応します。
-
すべてのプランのゾーンでは、HTTP エラーレートが High（デフォルト）感度レベルのしきい値である 1 秒あたり 1,000 エラーを超えると、Cloudflare が緩和を適用します。感度レベルは、HTTP DDoS Attack Protection マネージドルールセットを設定して下げられます。
-
Pro、Business、Enterprise プランのゾーンでは、検出精度を高める追加チェックがあります。DDoS 緩和を適用する前に、1 秒あたりのエラー数が通常のオリジントラフィックの 5 倍以上である必要があります。
エラーレートの算出では、52x 範囲（Internal Server Error）のすべての HTTP エラーと、530 を除く 53x 範囲のすべてのエラーを対象にします。HTTP エラーレートに基づく DDoS 緩和では、特定の HTTP エラーコードを除外できません。
Cloudflare の DDoS 保護が対象とする攻撃の種類については DDoS 攻撃の対象範囲 を参照してください。
HTTP DDoS Attack Protection マネージドルールセットは、Cloudflare にオンボードした ゾーンについて、すべてのプランのお客様を保護します。お客様はゾーンレベルとアカウントレベルの両方でルールセットをカスタマイズできます。
Advanced DDoS Protection サブスクリプション付きの Enterprise プランのお客様は、カスタム 式 を使ったオーバーライドを最大 10 件（API 利用者の場合はルールを最大 10 件）作成し、受信リクエストごとに DDoS 保護をカスタマイズできます。
その他のお客様はオーバーライド（またはルール）を 1 件だけ作成でき、ルール式はカスタマイズできません。この場合、1 つ以上の設定を含む単一のオーバーライドが、すべての受信トラフィックに常に適用されます。
追加の L7 攻撃をブロックするには、Cloudflare WAF などのほかの Cloudflare 製品を使えます。