User Risk Scoring が Gateway DNS を取り込んで、危険なドメイン巡りを丸裸にするよ！

やっほー、しぃちゃんだよ！今日はセキュリティ担当のみんなが「おっ」ってなりそうなアップデートを見つけてきたよ。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、Risk Score(User Risk Scoring)のアップデートが発表されたの。今回から Gateway DNS のトラフィックのパターンを直接シグナルとして取り込むようになって、あぶないドメインを見にいったユーザーのリスクスコアが自動でぐっと上がるようになったんだよ。

今までどうだったの？

これまでのリスクスコアは、ユーザーの「あやしい振る舞い」を見きわめる材料がちょっと限られていたの。でも、どんなサイトを見にいっているかっていうブラウジングの動きは、実は乗っ取られていないか（compromise）を見抜くための大事なサインなんだよね。

これで何が変わるの？

Gateway DNS のログを個々のユーザーに結びつけることで、管理者はあぶないやり取りをしている人をちゃんと見つけられるようになるの。しかもうれしいのが、Gateway ポリシーで通信を Block していても、そのアクセスは「ヒット」としてしっかり記録されること。つまり「ブロックしたから安心」じゃなくて、「ブロックしたけど、そもそも行こうとしたよね？」っていう試み自体がリスクプロファイルに反映されるんだ。

深く潜ってみよう

新しく 2 つのリスク挙動がダッシュボードに追加されたよ。

• Suspicious Security Domain Visited: セキュリティ脅威やセキュリティリスクのカテゴリのドメインを訪れたときに発火。マルウェア・フィッシング・C2(command-and-control)なんかが対象なの。
• High risk domain visited: questionable content や violence、CIPA に分類されるドメインを訪れたときに発火するよ。

もっと詳しく知りたいみんなは、User Risk Scoring のドキュメントをのぞいてみてね。

まとめ

• User Risk Scoring が Gateway DNS のシグナルを取り込むようになったよ
• あぶないドメインへのアクセスでリスクスコアが自動で上がる
• Block した通信でも「試み」としてしっかり記録される
• 新しい挙動は「Suspicious Security Domain Visited」と「High risk domain visited」の 2 つ

Cloudflare One で Zero Trust を運用しているセキュリティ担当のみんなに、じわっと効いてくるアップデートだよ！