マネージドルール

Cloudflare は、次のような Web アプリケーションの攻撃から保護する、事前設定済みのマネージドルールセットを提供しています。

• ゼロデイ脆弱性
• Top-10 の攻撃手法
• 窃取・漏洩した認証情報の使用
• 機密データの抽出

マネージドルールセットは 定期的に更新 されます。各ルールには重大度に応じたデフォルトアクションがあります。特定のルールの動作は、複数のアクションから選んで調整できます。

マネージドルールセットのルールにはタグ（例: wordpress）が付いており、特定のグループを検索して一括設定できます。

Attack Signature Detection は、Cloudflare Managed Rules と同じシグネチャを使います。一致のメタデータを記録しますが、それ自体ではアクションを適用しません。

• Cloudflare Managed Ruleset: Cloudflare のセキュリティチームが作成したルールセットで、すべてのアプリケーションに迅速で効果的な保護を提供します。既知の攻撃手法とゼロデイ脆弱性（パッチがまだない、新たに見つかった欠陥）をカバーします。新しい脅威への対応と、誤検知（正当なリクエストを誤ってフラグ付けすること）の削減のため、頻繁に更新されます。
  ルールセット ID: ...376e9aee

• Cloudflare OWASP Core Ruleset: Open Web Application Security Project（OWASP）ModSecurity Core Rule Set の Cloudflare 実装です。このルールセットはスコアリングモデルを使います。一致した各ルールのスコアが累積の 脅威スコア に加算され、スコアが しきい値 を超えると、WAF は設定したアクションを実行します。
  ルールセット ID: ...c25d2f1f

• Cloudflare Exposed Credentials Check: エンドユーザーの認証エンドポイントに対して、自動の認証情報チェックをデプロイします。任意の認証情報ペアについて、Cloudflare WAF は窃取された認証情報の公開データベースを参照し、以前に漏洩していないかを判定します。このルールセットの代わりに 漏洩認証情報の検出 を使うことを推奨します。
  ルールセット ID: ...14069605

• Cloudflare Free Managed Ruleset: すべての Cloudflare プランで利用できます。影響が大きく、広く悪用されている脆弱性から保護します。ほとんどのアプリケーションに安全にデプロイできます。すでに Cloudflare Managed Ruleset をデプロイしている場合、このルールセットは不要です。Cloudflare Managed Ruleset の方が広いカバー範囲を含みます。
  ルールセット ID: ...dfb893ba

次のマネージドルールセットは、レスポンスフェーズで実行されます。

• Cloudflare Sensitive Data Detection: よくあるデータ損失の脅威に対処するために Cloudflare が作成しました。これらのルールは、金融情報や個人を特定できる情報など、特定の機密データのダウンロードを監視します。
  ルールセット ID: ...499d988e

デプロイできるマネージドルールセットは、Cloudflare プランによって異なります。

マネージドルールセットの動作をカスタマイズするには、次のいずれかを行います。

• 例外を作成 して、特定の条件でマネージドルールセットまたはその一部のルールの実行をスキップします。
• オーバーライドを設定 して、ルールアクションを変更するか、マネージドルールセットの 1 つ以上のルールを無効にします。オーバーライドは、マネージドルールセット全体、特定のタグ、またはマネージドルールセット内の特定のルールに影響できます。

例外はオーバーライドより優先されます。

カスタムルール、Managed Rules、Super Bot Fight Mode など、複数のアプリケーションセキュリティ機能を使っている場合は、これらの機能がどのように連携するか、どの順序で実行されるかを把握することが重要です。詳細は セキュリティ機能の相互運用性 を参照してください。

マネージドルールは、受信リクエストのボディを上限サイズまで検査します。この上限はプランによって異なります。

• Enterprise のお客様の最大ボディサイズは 128 KB です。
• その他の有料プランでは、デフォルトの上限はこれより低くなります。上限の引き上げは、アカウントチームまたは Cloudflare Support に問い合わせてください。
• Free プランのユーザーの上限は 1 MB です。

この上限を超えるリクエスト内容は完全には分析されないことがあり、マネージドルールの動作に影響します。たとえば、OWASP Core Ruleset は、リクエストに一致した個々のルールのスコアから累積の 脅威スコア を計算します。ペイロードが大きいほどルールが一致できる内容が増え、スコアが上がり、スコアしきい値 を超えやすくなります。その結果、誤検知になることがあります。

プランに含まれている場合は、カスタムルール で リクエストボディのフィールド を使い、完全には分析されていないリクエストに適切なアクションを適用できます。http.request.body.truncated フィールドはリクエストボディが切り詰められたかどうかを示し、http.request.headers.truncated はヘッダーが多すぎてすべてを含められなかったかどうかを示します。

ゾーンレベルでは、各マネージドルールセットを 1 回だけデプロイできます。アカウントレベル では、同じマネージドルールセットを複数回デプロイできるため、受信トラフィックの異なるサブセットに、同じルールセットの異なる設定を適用できます。

WAF マネージドルールは http_request_firewall_managed フェーズで動き、次のあとに実行されます。

• HTTP DDoS Attack Protection（ddos_l7 フェーズ）
• カスタムルール（http_request_firewall_custom フェーズ）
• レート制限ルール（http_ratelimit フェーズ）

つまり、これらの先行フェーズのいずれかで終端アクション（Block や Managed Challenge など）のルールが一致すると、マネージドルールはそのリクエストを評価しません。セキュリティ機能の完全な実行順は、セキュリティ機能の相互運用性 を参照してください。

WAF 例外（スキップルール）は、http_request_firewall_managed フェーズのエントリポイントルールセットにデプロイする、skip アクションのルールです。エントリポイントルールセット内でリスト順に評価されます。スキップルールがバイパスするのは、そのあとにある execute ルールだけです。スキップしたいマネージドルールセットの execute ルールより前に、例外を置いてください。詳細は WAF 例外 を参照してください。