Cloudflareの脅威指標をリアルタイムWAFルールに変換する

2026-06-08 — Alexandra Moraru、Harsh Saxena、Georgie Yoxall、Brian Seel — 5分で読めます

CloudflareのThreat Eventsは、セキュリティアナリストにグローバルな脅威状況を可視化する窓を提供します。プラットフォームはCloudflareが毎日処理する膨大なトラフィックの断片を示し、どのIPがどの業界を攻撃しているか、どの脅威アクターが世界的にトレンドになっているかをリアルタイムで確認できます。しかし、その可視性を実際の緩和策に変える作業はこれまで手動で反応的でした。セキュリティチームは、あるIPが特定の脅威アクター（例: Tycoon 2FA や RaccoonO365）に関連している、または別の地域で自分たちの業界を標的にしているのを知っていても、自分たちのWAF内でこれらの高リスクIPを自動的にブロックするには手動でルールを設定する必要がありました。

今回、Cloudflareの広範な脅威インテリジェンスをWAFエンジンに直接取り込める新しい統合を発表します。これにより、ライブインテリジェンスデータを使ってプロアクティブなルールを作成できるようになります。つまり、既知の悪意あるアクターからアプリケーションを保護するために、インフラに触れられる前にインテリジェンスを付与したルールを追加できます。

早期リクエスト段階で専用フィールドを付与することで、WAFは次の観点でトラフィックをスクリーニングできます:

• 誰が攻撃しているか: 特定の脅威アクター名にマッチ（例: BLACKBASTA）
• 誰を狙っているか: industry や country フィルタでそのIPが過去に標的にした対象を確認
• どのタイプの攻撃か: 強化された脅威コンテキストで攻撃タイプ（DDoS、WAF、cybercrime など）や最後に観測された期間でフィルタ

Always-on 検出

この新機能は、Attack Signature Detectionのために最近導入した同じ常時検出フレームワーク上に構築されています。これは事前設定されたルールを必要とせずにリアルタイムで一般的な攻撃パターンを識別するシステムです。検出と緩和を分離することで、脅威インテリジェンスが常にバックグラウンドで稼働し、HTTPリクエスト解析に洞察に富んだ脅威メタデータを付与した上で行動の選択を可能にします。

「常時オン」モデルの主な利点は、従来の「ログ対ブロック」のトレードオフを解消することです。ログモードでは可視性はありますが保護が不十分で、ブロックモードでは保護は得られるものの他のシグネチャがそのリクエストをどのように評価したかを見失います。Cloudforce Oneのサブスクリプションがあれば、これらのインサイトは分析に自動的に表示され、どの脅威アクターがサイトを攻撃しているか、どの業界をそのIPが通常標的にしているかを確認してから「スイッチを切り替えて」ブロックに移行できます。これらの検出はレイテンシにほとんど影響を与えずに実行されるため、高い信頼性のデータで堅牢なセキュリティポリシーを構築できます。

初期リリースではIPベースのマッチングに焦点を当てていますが、既にJA3フィンガープリントやドメインベースのマッチングへの拡張も検討しています。これにより、攻撃者がIPをローテーションしても、ペイロードに使われるソフトウェアのユニークな署名や悪意ある宛先リンクで識別して悪意あるトラフィックをブロックできるようになります。

新しいWAFフィールド

これを可能にするために、以下のシグナルをWAFエンジンに直接公開しました:

• cf.intel.ip.attacker_names — 既知の脅威グループ名（例: CRAVENFLEA）
• cf.intel.ip.target_industries — このIPが標的にしている業界（例: Cryptocurrency、Automotive）
• cf.intel.ip.attacker_countries — 脅威イベントの発信国
• cf.intel.ip.target_countries — 脅威イベントが標的にした国
• cf.intel.ip.datasets — データを提供するソースフィード（例: ddos、waf）

例: ルール式

単一のIPアドレスは複数の脅威アクターや標的業界に関連付けられる可能性があるため、これらのフィールドは配列として表現されます。any()関数と[*]ワイルドカードを使って、脅威プロファイル内のいずれかの値が条件に一致するかをチェックします:

• DDoSに参加していてあなたの地域を狙う既知の参加者をブロック:
  • any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")
• 金融セクターを標的とする特定の脅威アクターから保護:
  • any(cf.intel.ip.target_industries[*] == "Banking & Financial Services") and any(cf.intel.ip.attacker_names[*] == "BLACKBASTA")
• 特定の高リスク発信国に対する広域保護:
  • any(cf.intel.ip.attacker_countries[*] == "IR")

Threat Eventsデータをワークフローで使う方法

UI駆動型のアプローチでもInfrastructure as Codeでも、これらのフィールドは既存ワークフローに統合されています。

WAFルールビルダー（API & Terraform）

Infrastructure as Codeを好むチームのために、新しいcf.intelフィールドはWAFカスタムルールとレート制限のWAFルールビルダーに完全統合されています。今日使っているのと同じ構文で複雑な式を書くことができます。これらは標準的なWAFフィールドなので、Cloudflare APIやTerraform経由で完全にサポートされ、選択したドメイン全体やアカウント全体で脅威ブロックを自動化できます。

新しいフィールドがWAFルールビルダーに追加され、Threat Eventsの指標に基づいた関連設定を選択できるようになりました。

Security Analyticsでの可視化

展開は戦いの半分に過ぎません。これらの脅威インテリジェンスフィールドでトリガーされたすべての一致はSecurity Analyticsにログ記録されます。どのルールがトリガーされ、どの指標が一致したかを詳細にドリルダウンできます。これらの強化ログは、ルール発動時の監査や事後分析を迅速にします。

Threat Eventの一致はSecurity Analyticsにコンテキスト付きで表示され、ワンクリックでカスタムセキュリティルールを作成するオプションが提供されます。

Threat Eventsダッシュボードからのワンクリックルール作成

Threat Intelligence Dashboardを使って傾向を調査している場合、IPリストをコピー＆ペーストする必要はありません。たとえば「過去7日間に金融セクターを攻撃しているのが観測されたIP」のような特定のフィルタに基づくSaved Viewsを作成できます。ワンクリックで、これらのフィルタを直接WAFルールにエクスポートできます。

Saved Viewsは、保存されたビュー構成にマッチするWAFルールを簡単に作成できるようにします。

グローバルネットワーク全体でのインテリジェンス

可視性と使いやすさは、基盤となるエンジンが高速であることが前提です。何百万もの脅威インジケータをどのようにしてトラフィックを遅くせずに扱っているのでしょうか？これらの脅威インテリジェンスデータセットは高性能なフォーマットに圧縮され、Cloudflareのすべてのデータセンターに配布されます。リクエストがネットワークに到達すると、Cloudflare WAFはこれらのローカルデータセットに対してO(1)の定数時間ルックアップを実行します。これにより、チェックするインジケータが10件であろうと1,000万件であろうと、レイテンシのオーバーヘッドは事実上ゼロ（マイクロ秒単位で測定）に保たれます。

IPが複数の脅威ベクターに関連付けられる可能性があるため、エンジンは最初の一致で停止しません。IPに関連するすべてのシグナルの集合を同時に評価します。これにより「Attacker = RU」かつ「Target Industry = Banking」といったルールが、一回のパスでこれら属性の交差を評価して正しくトリガーされ、マルチベクターアクターに対して最大のカバレッジを提供しますが、計算複雑度は増加しません。

さあ始めましょう

この機能は、いずれかの有効なCloudforce Oneサブスクリプションをお持ちの顧客向けに本日より利用可能です:

• Cloudforce One Essentials: Threat Eventsのデフォルトデータセットにアクセスし、インジケータ検索や脅威ハンティング調査が可能
• Cloudforce One Advantage: 情報要求によるThreat Intelligence Analystのカスタムインサイトにアクセス可能
• Cloudforce One Elite: ブランド保護や多数の情報要求、全Threat Eventsデータセットへのアクセスを含む最も包括的なパッケージ

グローバルなインサイトをローカルな防御に変えたいですか？Threat EventsまたはCloudflare DashboardのWAFセクションに移動して、最初のThreat Intelルールを作成するか、アカウントチームに連絡してCloudforce Oneのサブスクリプションについて詳しくお問い合わせください。