セキュリティイベント

Security Events では 緩和されたリクエスト を確認でき、セキュリティ設定の調整に役立ちます。Security Events を使い、Cloudflare のセキュリティ製品が処理またはフラグしたリクエストを調査し、誤検知を特定し、セキュリティルールを細かく調整します。

Cloudflare が処理しなかったリクエストを含む、すべての受信トラフィックを分析したい場合は、代わりに Security Analytics を参照してください。

ダッシュボードの主な要素は次のとおりです。

• イベントの概要: 選択した期間のトラフィックに対するセキュリティイベント数を、選択したディメンション（例: Action、Host、Country）でグループ化して表示します。
• サービス別イベント: セキュリティ機能（例: WAF、API Shield）ごとのセキュリティ関連アクティビティを一覧します。
• ソース別の上位イベント: Cloudflare のセキュリティ機能がフラグまたは処理したトラフィックの詳細（例: IP アドレス、User Agents、Paths、Countries、Hosts、ASNs）を提供します。
• サンプリングログ: セキュリティイベントを日付別にまとめ、実行したアクションと適用した Cloudflare セキュリティ製品を示します。

Security Events は、Browser Integrity Check などの機能を含む、Cloudflare のセキュリティ製品が処理またはフラグしたリクエストの情報を表示します。1 つの HTTP リクエストは、セキュリティ機能をトリガーすると 1 つ以上のセキュリティイベントを生成できます。Security Events ダッシュボードはこれらの個々のイベントを表示し、HTTP リクエストそのものは表示しません。

利用できる機能は Cloudflare プランによって異なります。

特定ゾーンの Security Events を開く手順は次のとおりです。

1. Cloudflare ダッシュボードで Analytics ページを開きます。

   Analytics を開く ↗

2. Events タブを選びます。

さらに、Enterprise 顧客はアカウントレベルのダッシュボードにアクセスできます。

複数のフィルターと除外を適用し、Security Events の範囲を絞り、レポート期間を調整できます。期間、フィルター、除外を変更すると、Sampled logs とすべてのグラフを含む、ページ全体の分析データに影響します。

フィルター条件を手動入力して分析の範囲を調整できます。または、Filter または Exclude を選び、フィールド値でフィルターします。これらのボタンは、分析データの凡例にカーソルを合わせると表示されます。

フィルターを手動で追加する手順は次のとおりです。

フィルター値を入力するときは、次を考慮してください。

• 値の周りに引用符を付けないでください。
• ASN 番号を入力するとき、AS プレフィックスを入れないでください。たとえば、AS1423 ではなく 1423 と入力します。
• ワイルドカードには対応していません。

レポート期間を調整するには、ドロップダウンから希望する期間を選びます。デフォルト値は Last 24 hours です。

利用できるレポート期間の値は Cloudflare プランによって異なります。詳細は 提供状況 を参照してください。

現在のフィルターと除外に基づく カスタムルール を作成するには、Create custom security rule を選びます。

Events summary セクションは、選択した期間のトラフィックに対するセキュリティイベント数を、選択したディメンション（例: Action、Host、Country、ASN）でグループ化して表示します。

凡例にカーソルを合わせたときに Filter または Exclude を選び、表示データをいずれかの値に合わせて調整できます。

Events by service セクションは、Cloudflare のセキュリティ機能（例: Managed rules または Rate limiting rules）ごとのアクティビティを一覧します。

凡例にカーソルを合わせたときに Filter または Exclude を選ぶか、対応するグラフバーを選び、Security Events の範囲を表示中のサービスのいずれかに調整できます。

Top events by source では、セキュリティ機能がフラグまたは処理したトラフィックの詳細（例: IP Addresses、User Agents、Paths、Countries）を確認できます。

値にカーソルを合わせたときに Filter または Exclude を選び、Security Events の範囲を一覧中のソース値のいずれかに調整できます。

Sampled logs は、選択した期間のセキュリティイベントのサブセットを、日付、実行したアクション、適用した Cloudflare セキュリティ機能とともに一覧します。大量のトラフィックでは、Cloudflare は サンプリング を使い、結果をより速く返します。つまり、すべての個々のイベントが一覧に表示されるとは限りません。

セキュリティイベントはリクエスト単位ではなく、個々のイベント単位で表示されます。たとえば、1 つのリクエストが 3 つの異なるセキュリティ機能をトリガーすると、Sampled logs には 3 つの個別イベントが表示されます。

各イベントを展開して詳細を確認し、イベントのフィールド値に基づくフィルターと除外を定義します。フィールドにカーソルを合わせたときに Filter または Exclude ボタンを選び、表示中の分析のフィルターまたは除外リストにフィールド値を追加します。イベントデータを JSON 形式でダウンロードするには、Export event JSON を選びます。

Sampled logs に表示する列を設定するには、Edit columns を選びます。必要な分析の種類に応じて柔軟に選べます。

たとえば、ボット関連の問題を診断する場合は、User agent と Country の列を表示したいことがあります。一方、DDoS 攻撃を特定しようとする場合は、IP address、ASN、Path の列を表示したいことがあります。

Sampled logs に表示されるほとんどのアクションの詳細は、Actions を参照してください。

Cloudflare のセキュリティ製品でルールを設定するときに選べるアクションに加え、次の関連アクションを持つイベントも見つかることがあります。

• Connection Close
• Force Connection Close
• AI Labyrinth Served
• AI Labyrinth Crawls

Connection Close と Force Connection Close の詳細は、HTTP DDoS Attack Protection のパラメーター を参照してください。AI Labyrinth Served と AI Labyrinth Crawls の詳細は、AI Labyrinth を参照してください。

Sampled logs に表示されることがある Managed Challenge アクションは、次のセキュリティ機能と製品で利用できます。WAF カスタムルール、レート制限ルール、Bot Fight Mode、IP Access rules、User Agent Blocking rules、ファイアウォールルール（非推奨）。

Sampled logs から最大 500 件の生イベントを JSON 形式でエクスポートできます。イベントデータをエクスポートし、SIEM システム など、別システムまたはデータベースに保存している独自データと Cloudflare データを組み合わせて分析します。エクスポートするデータは、適用したフィルターを反映します。

表示中のイベント（最大 500 件）をエクスポートするには、Sampled logs で Export を選びます。

Security Events でフィルターを追加し、レポート期間（時間ウィンドウ）を指定すると、Cloudflare ダッシュボードの URL が設定したパラメーターを反映するよう変わります。その URL をほかのユーザーと共有し、同じ情報を分析してもらえます。

たとえば、Action equals Managed Challenge のフィルターを追加し、レポート期間を Last 3 days に設定すると、URL は次のようになります。

https://dash.cloudflare.com/{account_id}/example.net/security/analytics/events?action=managed_challenge&time-window=4320

スナップショットレポートを印刷またはダウンロードするには、3 点メニュー > Print report を選びます。

Web ブラウザーの印刷インターフェイスに、PDF レポートの印刷またはダウンロードのオプションが表示されます。

生成されるレポートは、適用したすべてのフィルターを反映します。

Security Events には現在、次の制限があります。

• Security Events はパフォーマンス向上のためにサンプリングデータを使うことがあります。詳細は サンプリング を参照してください。
• Cloudflare ダッシュボードは、ページあたりのイベント数を不正確に表示することがあります。データクエリは高度に最適化されていますが、ソースデータがサンプリングされているため、ページネーションが常に動作するとは限りません。GraphQL Analytics API にはこのページネーションの問題はありません。
• トリガーされた OWASP ルール は Security Events ページの Additional logs に表示されますが、エクスポートした JSON ファイルには含まれません。

Security Events は サンプリングデータ を使うことがあります。検索がサンプリングデータを使う場合、Security Events はすべてのイベントを表示しないことがあり、フィルターは期待どおりの結果を返さないことがあります。より多くのイベントを表示するには、より小さい時間枠を選びます（時間範囲を狭めるとデータ量が減り、サンプリングが減るかなくなります）。

GraphQL Analytics API 経由で Security Events データを照会する場合、基盤データセットは firewallEventsAdaptive です。詳細は データセット（テーブル） を参照してください。

firewallEventsAdaptive データセットの照会の詳細は、GraphQL で Firewall Events を照会する を参照してください。

firewallEventsAdaptive データセットの保持とクエリウィンドウは、Security Analytics を支えるデータセットとは異なります。

次の表は、Cloudflare プランごとの異なる制限を示します。