Cloudflare の WAF に新兵器「Application Profiles」が登場したよ！

やっほー、しぃちゃんだよ！今日は Cloudflare の WAF に新しい仲間が増えたお知らせだよ。しぃちゃん、こういう「ちゃんと正しい形を覚えて守ってくれる」系の発表にわくわくしちゃうの！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog からの発表だよ。Cloudflare が WAF に「Application Profiles」っていう新しい防御レイヤーを追加したの。最初に使える種類は「Schema Profiles」で、パスの変数・クエリパラメータ・ヘッダー・クッキー・JSON ボディ・フォーム形式のボディまで、アプリケーションへの「正しいリクエストの形」を学習してくれるんだって。学習が終わると常時オンの検知機能が動き出して、リクエストが「適合」してるか「非適合」かを自動で仕分けしてくれるの。この段階ではまだブロックはされないよ。

なぜ重要なの？

今までの WAF って、基本的には「攻撃っぽいパターンを知ってて、それに一致したら弾く」っていうネガティブセキュリティが主流だったの。でもこれだと、まだ誰も見たことがない新しい攻め方には弱いっていう弱点があったんだよね。Application Profiles は逆の発想で、「そもそも正しいリクエストってこういう形のはず」っていう基準を先に学習しておいて、そこから外れたものを見つけるポジティブセキュリティなの。既知の攻撃パターンに頼らないから、想定外の崩し方をしてくる通信にも気づきやすくなるんだって。

これで何が変わるの？

何が嬉しいかって言うと、まず API や Web アプリを運用してる人は「想定外のパラメータや型が投げられてないか」を可視化できるようになるの。しかもいきなりブロックじゃなくて、Security Analytics の Profile Analysis で適合率の推移や違反サンプルを見ながら安全に判断できるのがポイント。準備ができたら Custom Rule でホスト名・パス・オペレーション単位、さらに Attack Score みたいな他のシグナルと組み合わせて、本番トラフィックを絞り込みながら防御を有効化できるよ。

深く潜ってみよう

• Schema Profiles が学習する対象: パスの変数・クエリパラメータ・ヘッダー・クッキー・JSON ボディ・フォームエンコードのボディ
• フィールドごとの型や制約もモデル化: 数値の範囲・文字列の長さ・文字種 (character class) まで学習するよ
• 学習の単位は「オペレーション」。HTTP メソッド・ホスト名パターン・パスパターンで決まるエンドポイントのことで、Web Assets が継続的に見つけてくれるほか、手動で追加もできる
• プロファイルが用意できると「常時オンの検知」が始まり、リクエストを適合/非適合に分類。この段階ではまだトラフィックをブロックしない
• Security Analytics の Profile Analysis で適合傾向とサンプルの違反内容を確認してから、Custom Rule で本番の防御ルールに反映する流れ
• すでに API Security を契約してる顧客は、Schema Learning・Schema Validation として同じ仕組みにアクセス済み
• API Security を契約していない Enterprise 顧客向けには招待制のクローズドベータを開始。興味があれば Cloudflare の担当アカウントチームに連絡してねとのこと

まとめ

• Cloudflare の WAF に「Application Profiles」という正の防御レイヤーが追加された
• 第一弾の Schema Profiles は、パス・クエリ・ヘッダー・クッキー・JSON ボディ・フォームボディの構造を学習する
• 学習後はいきなりブロックせず、適合/非適合を判定して Security Analytics で安全に確認できる
• 本番反映は Custom Rule で、ホスト名・パス・オペレーション・Attack Score などを組み合わせて設定する
• API Security 契約者はすでに利用可能。それ以外の Enterprise 顧客は招待制ベータから

Cloudflare で API や Web アプリを守ってるセキュリティ担当さんに、特に刺さる発表だよ！