このページでは、プレフィックス広告を監視し、微調整するための提案をまとめています。
これらのルール は、7 日間のローリングウィンドウに基づきます。最後のプレフィックス広告から 7 日後に、Network Analytics でこれらの Adaptive ルールのログを確認することを推奨します。
正当なトラフィックに一致している場合は、ルールの感度を下げてから、ログを再確認してください。正当なトラフィックが誤って検出されなくなったと判断できたら、このルールに対してアクションを DDOS Dynamic または Block にした DDoS オーバーライドを作成 します。
Advanced TCP Protection と Advanced DNS Protection の両方について、Cloudflare のアカウントチームが、受信トラフィックに基づいてアカウントの手動しきい値を設定する必要があります。
すべてのプレフィックスを広告したあと、または想定トラフィックをすべて Magic Transit プレフィックスへ切り替えたあと、しきい値の設定を Cloudflare のアカウントチームに依頼してください。
そのあと、Advanced TCP と DNS の保護のモードを monitoring から mitigation に変更できます。誤検知が見つかったトラフィックフロー向けに、monitoring モードのフィルターを作成することもできます。ほかの受信トラフィックフローでは保護が有効なままになるよう、条件はできるだけ具体的にしてください。
不要なトラフィックや攻撃トラフィックを止めるために、環境に合わせて Cloudflare Network Firewall のルールセットを設定・カスタマイズすることを強く推奨します。
Cloudflare Network Firewall のルールを設定し、disabled モードのままにして、verdict = drop とルール ID を Network Analytics で使い、一致したはずのトラフィックを確認できます。ルールが意図したトラフィックをブロック／許可していると判断できたら、モードを enabled に変更します。
設定の指針と提案は、Cloudflare Network Firewall の ベストプラクティス を参照してください。
- これらのアラートを受け取る必要があるチーム／メンバー全員が、確実に受信できるようにします。
- Tunnel Health Check Alert の Sensitivity、Alert interval、対象トンネルを確認します。
- 詳細は トンネルヘルスアラートを設定する と DDoS アラート を参照してください。
- Security Information and Event Management（SIEM）向けに Logpush を有効にします。
- Cloudflare Network Firewall の 侵入検知システム（IDS） を有効にします。Logpush が必要で、Cloudflare Advanced Network Firewall のアカウントでのみ利用できます。
- Magic Transit 以外のプレフィックス上のトラフィックを可視化するために、CPE からの NetFlow または sFlow を使い Network Flow（旧 Magic Network Monitoring）を使います。