- アカウントに有効な Cloudforce One サブスクリプション が必要です。アクセスについてはアカウントチームに問い合わせてください。
- ゾーンで WAF が有効である必要があります。
脅威インテリジェンスルールを作る最も速い方法は、Threat Events ダッシュボードの保存済みビューからです。対象の脅威をフィルターし、そのフィルターを WAF ルールへ直接エクスポートします。
-
Threat Events ダッシュボードで、対処したいフィルターを使った保存済みビューを作成します（例: 過去 7 日間に金融セクターを標的にした IP）。
-
保存済みビューを WAF ルールへエクスポートします。Cloudflare は、保存済みビューのフィルターに一致するカスタムルール式を生成します。
-
生成されたルールを確認します。適用前に一致を検証するため、アクションを Log に設定します。
-
ルールをデプロイします。
ルールをデプロイすると、一致は Security Analytics に表示されます。脅威イベントの詳細（脅威アクター、対象業種、国など）を、分析ビューで直接確認できます。
-
Cloudflare ダッシュボードで Analytics ページを開きます。
Analytics を開く ↗ -
脅威インテリジェンスの一致を確認します。脅威イベントの詳細を使い、ブロックまたはチャレンジするトラフィックのカテゴリを判断します。
ルールをデプロイしても一致が表示されない場合は、アカウントチームに連絡し、Cloudforce One サブスクリプションが有効かを確認してください。
一致パターンに確信が持てたら、ルールアクションを Log から Block または Managed Challenge に変更します。
ほかの例は ルールの例 を参照してください。フィールドの全一覧は 脅威インテリジェンスフィールド を参照してください。
式を直接書く場合は、ダッシュボードまたは API からルールを作成できます。
-
Cloudflare ダッシュボード ↗ にログインし、アカウントとドメインを選択します。
-
Security > Security rules を開きます。
-
Create rule > Custom rules を選択します。
-
ルール名を入力します。
-
Edit expression を選択し、脅威インテリジェンスフィールドを使った式を入力します。例:
any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos") -
適用前に一致を検証するため、アクションを Log に設定します。
-
Deploy を選択します。
脅威インテリジェンスフィールドは Cloudflare API と Terraform provider ↗ で使えます。API でカスタムルールを作成する場合は、API でカスタムルールを作成する を参照してください。
フランスを標的とする DDoS 活動に関連する IP アドレスに一致させるには、次の式を使います。
any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")適用前に一致を検証するため、アクションを log に設定します。