緩和を適用する前に、Security Analytics > Attack Analysis で攻撃シグネチャの一致を調べます。
-
Cloudflare ダッシュボードで Security > Analytics を開きます。
Analytics を開く ↗ -
Attack Analysis を選択します。
-
調べる時間範囲とアプリケーションのスコープを選びます。
-
シグネチャ Ref、カテゴリ、または WAF Attack Score ごとに、時間経過に伴うリクエスト量をプロットします。
-
信頼度が高い一致と低い一致を比較します。
-
リクエストの結果でフィルタし、緩和済みトラフィックと未緩和トラフィックを特定します。
-
ホスト名、パス、メソッド、カテゴリ、CVE、またはシグネチャ Ref で分析範囲を絞ります。
-
Security Rule を作成または変更する前に、代表的なリクエストを確認します。
この分析で、よく見られるシグネチャと攻撃カテゴリを特定します。特定の Common Vulnerabilities and Exposures（CVE）識別子や攻撃手法も調べられます。一致結果を WAF Attack Score と突き合わせると、別のシグナルを追加できます。
リクエストの結果は、既存の保護が一致トラフィックを緩和したかどうかを示します。Cloudflare が配信したリクエストと、オリジンが配信したリクエストの切り分けにも使えます。検出だけでは、アクションは適用されません。
信頼度は、シグネチャの想定される誤検知特性を示します。リクエストが悪意あるものであることの証明ではありません。
| 信頼度 | 意味 | Managed Rules との比較 | 推奨する分析 |
|---|---|---|---|
high |
真陽性率が高く、誤検知率が低いシグネチャです。 | デフォルトの Managed Rules デプロイで有効になるシグネチャと同じものを含みます。 | 広い範囲にアクションを適用する前に、影響を受けるトラフィックと現在の緩和状況を確認します。 |
low |
正当なアプリケーショントラフィックに一致するリスクが高くなります。 | デフォルトでは無効になっている Managed Rules シグネチャを含みます。 | リクエストを確認し、影響を受けるアプリケーションの範囲に緩和を限定します。 |
正当なリッチテキスト入力が、汎用のクロスサイトスクリプティングシグネチャに一致することがあります。たとえば、コンテンツ管理やサポート用のアプリケーションは HTML を受け付けることがあります。
分析をそのホスト名、パス、メソッドに絞ります。代表的なリクエストを確認し、想定どおりのコンテンツと攻撃を区別します。そのうえで、アプリケーション全体の保護を変更するのではなく、範囲を限定したルールまたは例外を作成します。
各シグネチャ Ref は、対応する Managed Rule の公開 Rule ID と一致します。この識別子で Managed Rule を探し、検出結果を自分のデプロイと比較します。
Managed Rules が一致をブロックしたと仮定する前に、リクエストの結果と Security Events を確認します。Managed Rules の動作は、アクションとオーバーライドで決まります。
Attack Analysis は Security Analytics の適応型サンプリング を使います。サンプリングされたデータではなく、100% の保持が必要な場合は Log Explorer を使います。
過去のトラフィックを確認したあと、Security Rules で攻撃シグネチャを使う を参照してください。