Security Insights は、Cloudflare 環境のさまざまな領域を対象にしたインサイトの一覧を提供します。対象には、Cloudflare アカウント設定、DNS レコードの構成、SSL/TLS 証明書の構成、Cloudflare Access の構成、Cloudflare WAF の構成が含まれます。
現在利用できるインサイトは次のとおりです。
| インサイト名 | 説明 |
|---|---|
| CASB 連携の状態 | 正常でない CASB 連携を検出しています。 |
参照先のない A レコード |
レコードが、管理下にない可能性がある IPv4 アドレスを指しています。サブドメインの乗っ取りリスクがあります。 |
参照先のない AAAA レコード |
レコードが、管理下にない可能性がある IPv6 アドレスを指しています。サブドメインの乗っ取りリスクがあります。 |
参照先のない CNAME レコード |
レコードが、見つからないリソースを指しています。サブドメインの乗っ取りリスクがあります。 |
DMARC レコードのエラー |
誤った、または欠落した DMARC レコードを検出しています。 |
| TLS 暗号化がないドメイン | このドメインに TLS 暗号化がありません。 |
| 古い TLS バージョンをサポートしているドメイン | このドメインは、古いバージョンの TLS プロトコルをサポートしています。 |
| Always Use HTTPS が未設定のドメイン | このドメインへの HTTP リクエストが、対応する HTTPS へリダイレクトされないことがあります。 |
| HSTS が未設定のドメイン | HTTP Strict Transport Security（HSTS）は、Web サイトがクライアントの Web ブラウザーにセキュリティポリシーを指定し、強制できるヘッダーです。このポリシー強制により、安全な Web サイトをダウングレード攻撃、SSL ストリッピング、Cookie ハイジャックから守ります。 |
| 公開されている RDP サーバー | 公開インターネットに露出している RDP サーバーを検出しています。 |
| 悪意のあるクライアントサイドスクリプトの通知を受け取る | クライアントサイドセキュリティのアラートが設定されていません。クライアントサイド環境で実行される、悪意のある可能性があるスクリプトを検出しても、通知は届きません。 |
| API エンドポイントでレスポンスボディサイズの増加を検出 | レスポンスボディサイズの増加につながった変更、不正利用、または成功した攻撃がないか調査してください。 |
| API エンドポイントでエラーの増加を検出 | エラーの増加につながった変更、不正利用、または成功した攻撃がないか調査してください。 |
| API エンドポイントでレイテンシの増加を検出 | レスポンスレイテンシの増加につながった変更、不正利用、または成功した攻撃がないか調査してください。 |
| Managed Rules が未デプロイ | WAF で保護されているドメインに、マネージドルールがデプロイされていません。既知の制限 を参照してください。 |
| 新しい Managed Rules へアップグレード | 最適な保護を得るには、新しい Managed Rules システムへのアップグレードが必要です。 |
| 認証が混在する API エンドポイントを検出 | API エンドポイントに対する成功したリクエストのすべてが、セッション識別子を持っていたわけではありません。 |
| 新しい API エンドポイントを検出 | API Discovery が、ゾーンのトラフィック内に新しい API エンドポイントを検出しています。 |
| 新しい CASB 連携を検出 | 新しい CASB 連携が見つかりました。 |
| 過剰に許可された Access ポリシー | アプリケーションへのアクセスを全員に許可する Access ポリシーを検出しています。 |
| クライアントサイドセキュリティが未有効 | クライアントサイドセキュリティ（旧称 Page Shield）は、PCI DSS v4.0 の要件 6.4.3 への準拠に役立ちます。 |
SPF レコードのエラー |
誤った、または欠落した SPF レコードを検出しています。 |
| API レスポンス内の機密データ | API レスポンス内の機密データを検出しています。 |
| JavaScript Detection を有効にする | Bot Management を有効にしているゾーンの 1 つ以上で、ボット検出スイートの重要な要素である JavaScript Detection が有効になっていません。 |
| 未割り当ての Access シート | まだ設定されていない Zero Trust サブスクリプションを検出しています。 |
| 未認証の API エンドポイントを検出 | API エンドポイントに対する成功したリクエストのいずれも、セッション識別子を持っていませんでした。 |
| 保護されていない Cloudflare Tunnel | Cloudflare Tunnel で提供されているが、対応する Access ポリシーで保護されていないアプリケーションを検出しています。 |
プロキシされていない A レコード |
この DNS レコードは Cloudflare でプロキシされていません。オリジンが公開インターネットに露出しているため、Cloudflare はこのオリジンを保護できません。 |
プロキシされていない AAAA レコード |
この DNS レコードは Cloudflare でプロキシされていません。オリジンが公開インターネットに露出しているため、Cloudflare はこのオリジンを保護できません。 |
プロキシされていない CNAME レコード |
この DNS レコードは Cloudflare でプロキシされていません。オリジンが公開インターネットに露出しているため、Cloudflare はこのオリジンを保護できません。 |
| MFA 未設定のユーザー | Cloudflare の管理ユーザーが多要素認証を有効にしていません。 |
| WAF Managed Rules が未設定のゾーン | このドメインで WAF の Managed Rules が有効になっていません。ゼロデイ脆弱性や、その他の一般的な脆弱性のリスクがあります。 |
| Turnstile が未設定 | アカウントに Turnstile ウィジェットが設定されていません。 |
Security Insights のスキャンは定期的に実行され、ヒューリスティックで潜在的な問題を検出します。インサイトが現在の設定を正確に反映していない場合があります。
-
アカウントレベルのマネージドルールがあるゾーンでの Managed Rules が未デプロイ: マネージドルールをゾーンレベルではなくアカウントレベルでデプロイしている場合、Security Center がそれらを検出せず、マネージドルールがデプロイされていないと報告することがあります。アカウントレベルの設定が正しい場合は、インサイトをアーカイブ して非表示にできます。
-
ログモードのルールに対する脆弱性インサイト: マネージドルールに Log アクションを設定している場合（たとえば、強制する前にトラフィックを監視する場合）、ルールがトラフィックをアクティブにブロックしていないため、Security Center が脆弱性インサイトを生成することがあります。これは想定どおりの動作です。意図してログモードを使っている場合は、インサイトをアーカイブできます。
解決済み、または不正確なインサイトをダッシュボードから消すには、インサイトをアーカイブ するか、次の自動スキャンを待ってください。
Security Insights で使える操作の詳細は Security Insights を確認する を参照してください。