Protective DNS サービスは、DNS クエリを分析し、悪意のあるウェブサイトや有害なオンラインコンテンツへのアクセスをブロックするセキュリティサービスです。公共部門の業務で技術の重要性が増すなか、政府機関はインシデントの検知と対応を強化し、より耐障害性の高いエンタープライズネットワークを構築するために、こうしたサイバーセキュリティサービスを導入しようとしています。従来、この種のソリューションの展開は、コストのかかるオンプレミスハードウェアを必要とするレガシーシステムに依存していたため、大きな課題がありました。展開と管理が難しく、展開後もスケーラビリティと可用性の問題が残ります。
現在は、Secure Web Gateway サービスである Cloudflare Gateway のようなクラウドベースのソリューションで、これらの制約に対処できます。Cloudflare Gateway の DNS フィルタリング機能により、管理者はセキュリティを強化できます。作成しやすいポリシーと Cloudflare の 広範な脅威インテリジェンス ↗ により、政府機関はエンドユーザーが 有害なドメイン にアクセスするのを効果的に防げます。さらに、独自の脅威インテリジェンスデータをポリシーに統合する ↗ ことで、防御を強化できます。
最後に、Cloudflare Gateway は可用性、パフォーマンス、スケーラビリティの懸念を解消します。基盤は Cloudflare の 1.1.1.1 公開 DNS リゾルバー であり、世界で 最も高速 ↗ かつ広く使われている DNS リゾルバーのひとつです。
Cloudflare は柔軟な DNS 展開モデルを提供し、場所を問わずすべてのユーザーに堅牢な保護を届けます。オフィス勤務とリモートユーザーの両方に対応し、多様な運用要件に合わせられます。
IT 管理者は、公開 DNS リクエストを Cloudflare に転送します。リクエストは、設定した DNS フィルタリングポリシーに従ってフィルタリングされ、ログに記録されます。DNS フォワーダーは、機関のプライベート DNS インフラストラクチャ、またはリモート拠点に展開したルーターなど、ローカル DNS サーバーとして設定したネットワーク機器のいずれかです。
担当する政府部門や機関からのクエリを区別するため、管理者は Cloudflare ダッシュボードでロケーションを設定します。DNS ロケーションを作成すると、Gateway はそのロケーションに IPv4 / IPv6 アドレスと DNS over TLS / HTTPS（DoT / DoH）ホスト名を割り当てます。管理者は、これらの IP アドレスとホスト名を使って DNS クエリを解決します。さらに、オンプレミス DNS サーバーの公開 IP アドレスをロケーションオブジェクトに設定し、Cloudflare がクエリを対応するロケーションに正確に紐づけられるようにします。
DNS フィルタリングは、セキュリティリスク に関連するドメインを検出するポリシーで適用します。Cloudflare は 広範な脅威インテリジェンス ↗ を使って、リスクの高いドメインのリストを継続的に更新します。DNS クエリがフラグ付きドメインに一致すると、DNS ポリシーで指定したアクションが実行されます。アクションは 'Block'（Gateway が IPv4 クエリに 0.0.0.0、IPv6 クエリに :: を返す、または Cloudflare がホストする カスタムブロックページ を表示する）です。あるいは Override アクションや ブロックページ URL へのリダイレクト で、政府機関がホストするブロックページへ DNS クエリを転送できます。
Cloudflare 自身の脅威インテリジェンスは、機関または第三者から提供される脅威インテリジェンスデータとシームレスに統合できます。この構成では、機関または第三者が Cloudflare の 脅威フィードプロバイダー になります。IT 管理者は、Cloudflare のセキュリティリスクカテゴリと機関が調達したデータを組み合わせた DNS ポリシーを作成でき、統一されたより強いセキュリティ態勢を取れます（下図を参照）。さらに、対象となる公共・民間組織は 公開のカスタムインジケーターフィード を、プロバイダー関係を結ばずに利用でき、セキュリティ能力をさらに広げられます。
機関ネットワークに接続していないユーザーでは、ロケーション が提供する DNS over HTTPS（DoH）ホスト名を使って、DNS リクエストを Cloudflare にリダイレクトできます。これには 各デバイスでの設定 が必要で、既存の管理ソリューションで実施できます。ユーザー固有の認証トークン を組み合わせると、さらに強化できます。これらのトークンにより、Cloudflare は DNS クエリを個々のユーザーに紐づけ、きめ細かい可視性とユーザー固有ポリシーの適用が可能になります。
より高度な ID ベースの DNS ポリシーには、Cloudflare のデバイスエージェントを展開できます。この構成では、ユーザーは Cloudflare と連携した ID プロバイダー 経由でデバイスエージェントに認証します。エージェントは DNS only モード に設定し、デバイスからのすべての公開 DNS クエリを Cloudflare に転送します。これらのクエリにはデバイスからのユーザー ID が含まれ、ID ベースのポリシー適用が可能になります。
次のポリシーは、ID プロバイダーのグループ情報を使って、特定の Protective DNS ポリシーを適用する方法を示します。
デバイスエージェントは 主要なデスクトップおよびモバイル OS と互換性があり、管理デバイスと非管理デバイスの両方に使えます。この柔軟性により、たとえば高リスク個人の個人デバイスにも DNS セキュリティサービスを広げ、場所やデバイスを問わず一貫した保護を確保できます。管理対象の IT デバイスでは、エージェントは 管理展開ツール に対応し、展開とアップグレードが容易です。
許可するドメインとブロックするドメインをより精密に制御するには、管理者は Allowed Domain と Blocked Domain の追加ポリシーを設定できます。これらのポリシーの 優先度を Security Risks ポリシーより低く すると、特定ドメインについて Security Risks ポリシーを上書きできます。
許可ドメインとブロックドメインの管理を効率化するには、リスト を使います。リストはダッシュボードまたは API で簡単に更新でき、ポリシー調整が効率的になります。
Protective DNS サービスとして Cloudflare Gateway を採用する主な利点のひとつは、政府部門や機関に影響する既存および新たな脅威について、IT 管理者の可視性が高まることです。Cloudflare Gateway に送られたすべての DNS クエリはログに記録され、クエリに ID が紐づいている場合は、ログ上で対応するユーザーにマッピングされます。
これらのログは Cloudflare ダッシュボード から直接参照できるほか、Logpush で外部システムにエクスポートしてさらに分析できます。Cloudflare は堅牢な分析機能も提供し、IT 管理者はトレンドの検知と侵害の兆候の特定が可能です。組み込みの分析ダッシュボードは Cloudflare ダッシュボード にあり、Cloudflare の GraphQL API を使って GraphQL 対応の任意のツールでカスタムダッシュボードを作成できます。
Cloudflare Gateway は Protective DNS を超える包括的なサービス群を提供し、フル機能の Secure Web Gateway ↗ として機能します。HTTP 検査に対応し、ユーザートラフィックのより深い可視性と、脅威防御およびデータセキュリティの範囲拡大を実現します。
HTTP トラフィックを検査するとき、Cloudflare はデータセンターで HTTPS リクエストを復号、検査、再暗号化するので、干渉を防げます。Cloudflare Gateway は対象となるキャッシュコンテンツのみを保存し、すべてのキャッシュディスクは保存時に暗号化されます。さらに、Cloudflare の Data Localization Suite（DLS）の Regional Services で TLS 復号を行うサーバーの地理的リージョンを設定できます。組織は、デバイスに Cloudflare 証明書を追加するか、ユーザートラフィックの復号と検査に 独自の証明書（BYOPKI）を使うかを選べます。
Cloudflare Gateway が HTTP 検査を行うと、DNS セキュリティを超えて、ユーザーがインターネットを閲覧するときの追加の保護が有効になります。
- アンチウイルススキャン（AV）: インターネットへのファイルのダウンロードまたはアップロード時にユーザーを保護します。ファイルはリアルタイムでスキャン され、悪意のあるコンテンツを検出します。
- サンドボックス: 未確認のファイルについて、Cloudflare Gateway は 安全なサンドボックス環境で隔離して分析 できます。サンドボックスでは、ファイルの動作を監視し、既知のマルウェアパターンと比較します。悪意のあるコンテンツが検出されない場合にのみ、ファイルをユーザーに解放します。
- Remote Browser Isolation（RBI）: 隔離ポリシー を設定し、リスクのあるウェブサイトへのアクセス時にユーザーを保護できます。たとえば、ユーザーが隔離ポリシーに該当する新規ドメインを開こうとした場合、ウェブサイトのアクティブコンテンツは最寄りの Cloudflare データセンターでホストされる安全な隔離ブラウザーで実行されます。ゼロデイ攻撃とマルウェアは、ユーザーに影響する前に緩和されます。このリモートブラウジングはシームレスで透過的であり、ユーザーは使い慣れたブラウザーとワークフローを続けられます。すべてのブラウザーのタブとウィンドウは自動的に隔離され、閉じるとセッションは削除されます。
脅威防御に加え、Cloudflare Gateway は HTTP 検査時に堅牢なデータ保護ポリシーを実装できます。
- ファイルアップロード制御: 管理者は、インターネットへの ファイルアップロードを監視・制限 するポリシーを適用し、機密データの不用意な共有を防げます。
- Data Loss Prevention（DLP）: DLP ポリシー を展開し、機密情報や機密指定情報の無断共有を特定してブロックできます。詳細は 転送中のデータの保護 を参照してください。
- Remote Browser Isolation（RBI）: 脅威防御に加え、隔離ポリシー で ユーザー操作の制限（コピー / ペーストの無効化やキーボード入力の制限など）を適用し、機密情報を保護できます。詳細は 利用中のデータの保護 を参照してください。
Cloudflare Gateway を Protective DNS サービスからフル機能の Secure Web Gateway に広げる手順はシンプルです。IT 管理者は Cloudflare ダッシュボードで、既存の DNS ポリシーに加えて HTTP ポリシー を設定します。これらの HTTP ポリシーにより、Antivirus Scanning、Sandboxing、Remote Browser Isolation（RBI）、Data Loss Prevention（DLP）などの追加保護が有効になります。
ユーザーから見ると、リモートワーカーは同じデバイスエージェントを使い続けます。これらの強化保護を使うには、デバイスエージェントのモードを Traffic and DNS モード に切り替えるだけです。このモードは、デバイス管理でエージェントを展開するときにも強制できます。
オフィスおよび拠点のユーザーでは、ネットワーク機器を Cloudflare への IPsec または GRE トンネル 用に設定できます。この構成では、インターネット向けのすべてのトラフィックが Cloudflare Gateway を経由し、インターネットへ出る前にセキュリティポリシーが適用されます。あるいは Proxy Auto-Configuration ファイル（PAC） で、DNS と HTTP/S トラフィックを Cloudflare へ転送できます。
