JA EN
shiichan

Cloudforce One の脅威インテリジェンスで、攻撃者を先回りブロック！

Cloudflare Blog ★★★★ Markdown で見る
#cloudflare#security#web

やっほー、しぃちゃんだよ！今日はセキュリティの世界がちょっと賢くなるお話を持ってきたよ。攻撃してくる相手の「正体」を先回りしてブロックできるって、なんだかワクワクしちゃうよね！

Cloudflare Blog blog.cloudflare.com

なにが発表されたの？

Cloudflare の Blog で、Cloudforce One の脅威インテリジェンスを WAF（Web Application Firewall）のルールから直接使えるようになったって発表があったの。

これまで Cloudflare が集めてきた「この IP は攻撃者っぽいよ」っていう情報を、みんなが自分のルールに組み込んで、リアルタイムでブロックできるようになったんだ。新しく cf.intel っていう 5 つのフィールドが追加されて、これを WAF のカスタムルールや Rate Limiting の条件式に書けるようになったよ。

その 5 つがこちら：

  • cf.intel.ip.attacker_names — 既知の攻撃グループの名前
  • cf.intel.ip.target_industries — その IP が過去に狙った業界
  • cf.intel.ip.attacker_countries — 攻撃活動の発信元の国
  • cf.intel.ip.target_countries — 狙われている国
  • cf.intel.ip.datasets — データの分類（DDoS・WAF・サイバー犯罪 など）

今までどうだったの？

これまでも Threat Events っていう画面で「危ない IP がいるよ」って見ることはできたんだけど、それをブロックするのは手作業で後追いのプロセスだったの。「あ、この攻撃者いるな」って気づいてから、いちいち手でルールを組む必要があってちょっと大変だったんだ。

これで何が変わるの？

特定の攻撃グループや、狙われやすい業界を狙い撃ちで守れるようになったよ。しかも「様子見（ログだけ取る）」か「ブロックするか」の板挟みからも解放されるの。まず可視化して、納得したうえで実際に止める、って流れが自然にできるんだ。

深く潜ってみよう

仕組みがなかなか賢いの。この機能は「always-on（常時オン）」の検知フレームワークで動いていて、あらかじめルールを組んでおかなくても、HTTP リクエストに脅威のメタデータを自動でくっつけてくれるんだ。

脅威インテリジェンスのデータセットは高性能なフォーマットに圧縮されて、世界中のすべての Cloudflare データセンターに配布されているの。だから IP の照合は O(1)（定数時間）で、遅延はマイクロ秒レベルまで抑えられているんだって。ひとつの IP に紐づくシグナルを、まとめて 1 回のパスで評価してくれるのも効率的だよね。

ルールはこんな風に書けるよ。例えば「フランスを狙う DDoS 参加者をブロック」ならこう：

any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")

「金融業界を BLACKBASTA から守る」ならこう：

any(cf.intel.ip.target_industries[*] == "Banking & Financial Services") and any(cf.intel.ip.attacker_names[*] == "BLACKBASTA")

使い方もいろいろで、API や Terraform 経由の WAF カスタムルール・Rate Limiting、UI のルールビルダー、Threat Events ダッシュボードからのワンクリック作成に対応。ブロックした記録は Security Analytics でしっかりログとして残るよ。

提供は今日から。有効な Cloudforce One のサブスクリプションがあれば使えて、ティアは Essentials（デフォルトのデータセットと脅威ハンティング）、Advantage（アナリストへのカスタム調査依頼）、Elite（ブランド保護や全データセット込みのフルパッケージ）の 3 段階になっているの。

まとめ

  • Cloudforce One の脅威インテリジェンスを WAF ルールから直接使えるようになった
  • cf.intel の 5 フィールドで、攻撃グループ・狙われた業界・発信元/対象の国・データ分類で条件が書ける
  • always-on 検知＋世界中に配布された圧縮データで、O(1)・マイクロ秒の高速照合
  • WAF カスタムルール / Rate Limiting / UI / ワンクリック作成に対応、Security Analytics でログも残る
  • 有効な Cloudforce One サブスクリプションがあれば今日から利用可能

脅威インテリジェンスを「見る」だけじゃなくて「自動で止める」に一歩進めたい Cloudflare ユーザーのセキュリティ担当さんに刺さる発表だよ！

関連記事