攻撃シグネチャ検知（Attack Signature Detection）は、Cloudflare の攻撃シグネチャに対してリクエストを評価します。一致のメタデータを記録し、それ自体ではアクションを適用しません。
従来の WAF では、マネージドルールで検知と緩和を一体で行います。誤検知を減らすために、トラフィックをブロックする前に一致内容を確認したい場合があります。
Attack Signature Detection は、この 2 つの手順を分けます。一致したリクエストについて、信頼度（confidence）、カテゴリ（category）、シグネチャ Ref のメタデータを記録します。Security Rule を作成する前に、Security Analytics > Attack Analysis でこのデータを確認します。緩和は Security Rule が担当します。信頼度、カテゴリ、シグネチャ Ref の値を一致条件に使えます。ホスト名、パス、HTTP メソッドなどのプロパティと組み合わせることもできます。
シグネチャが一致しても、Cloudflare がそのリクエストをブロックしたとは限りません。適用されたアクションは、リクエストの結果とデプロイ済みのルールを確認して判断します。
Attack Signature Detection は、Cloudflare Managed Rules と同じシグネチャ定義を使います。
Attack Signature Detection は、次のリクエストライフサイクルで動作します。
- Cloudflare がリクエストを攻撃シグネチャと照合します。
- 一致したシグネチャが、信頼度、カテゴリ、Ref フィールドに値を設定します。
- 一致データは Security Analytics で利用できます。
- Security Rule はこれらのフィールドを評価し、アクションを適用できます。
Attack Signature Detection は、Managed Rules のデプロイ設定を引き継ぎません。Managed Rules のアクションやオーバーライドは、検知フィールドに基づく Security Rule を作成しません。
Attack Signature Detection のフィールドを参照するルールがない場合、検知によってリクエストレイテンシは増えません。ルールが検知フィールドを参照する場合、検知はインラインで実行されます。インライン検知のレイテンシは、Cloudflare Managed Rules の評価と同程度です。
Attack Signature Detection と Managed Rules は、同じシグネチャカタログを使います。Cloudflare は新しいシグネチャを両プロダクトへ同時に公開します。
| 項目 | Attack Signature Detection | Cloudflare Managed Rules |
|---|---|---|
| シグネチャ | Cloudflare Managed Rules と同じシグネチャを使います。 | Attack Signature Detection と同じシグネチャを使います。 |
| 主な結果 | 信頼度、カテゴリ、Ref のメタデータを設定します。 | 設定したマネージドルールセットのアクションを適用します。 |
| 緩和 | 検知フィールドを参照する Security Rule が必要です。 | Managed Rules のアクション、オーバーライド、デプロイ設定を使います。 |
| 分析 | Security Analytics > Attack Analysis にシグネチャ中心のデータを表示します。 | デプロイ済みマネージドルールセット設定が生成したイベントを表示します。 |
| 識別子 | シグネチャ Ref は、対応する Managed Rule の公開 Rule ID と一致します。 | 公開 Rule ID は、対応するシグネチャ Ref と一致します。 |
| ルールの評価順 | カスタムルールは通常のカスタムルールの順序に従います。終端アクションは以降の評価を止めます。 | 先に実行された終端アクションがリクエスト処理を止めない限り、Managed Rules は評価されます。 |
共通の Ref と Rule ID を使うと、検知結果と Managed Rules のデプロイ内容を比較できます。同等のシグネチャでも、動作は同じではありません。Attack Signature Detection はメタデータを生成し、Managed Rules は設定したアクションを適用します。
Attack Signature Detection と Managed Rules に特別な連携はありません。通常のフェーズ動作と終端アクションの動作が適用されます。Early Access 期間中、Attack Signature Detection は Managed Rules の代わりにはなりません。