Cloudflare WAFで実現する柔軟で強固な防御方法

前節では、WebサイトやAPIに届く通信データを検査し、アプリケーションの脆弱性を狙う攻撃を食い止める「WAF」の基本的な役割について解説しました。ここでは、Cloudflareが提供するWAF（Cloudflare WAF）には、具体的にどのような機能があり、どう活用できるのかを見ていきます。

Cloudflare WAFの役割は、単に攻撃を遮断することにとどまりません。主な機能と役割は以下の4つに整理できます。

• Managed Rules： 広く知られた攻撃に標準ルールで備える
• Custom Rules： 自社のWebサイトやAPIに合わせて個別にルールを作る
• Security Analytics / Security Events： 通信の全体像とセキュリティイベントを可視化する
• WAF Attack Score等： 機械学習や脅威情報を活用して高度な判定を行う

これらの機能は、すべて端から有効化すれば良いというものではありません。問い合わせフォーム、ログイン画面、管理画面、APIなど、入口ごとの正当な利用パターンを理解し、「何を通し、何を止め、何を観察するか」を設計することが重要です。

この節では、Cloudflare WAFの具体的な機能と、現場で成果を出すための運用アプローチについて解説します。

Managed Rulesで、標準的な攻撃に備える

Cloudflare WAFの防御の基盤となるのが、Cloudflareのセキュリティチームが作成、更新する「Managed Rules（管理型ルール）」です。

SQLインジェクションやクロスサイトスクリプティング（XSS）、既知のソフトウェア脆弱性を突く攻撃などに対して、自社でゼロからルールを記述する手間をかけず、導入した瞬間から標準的な防御を展開できます。

Cloudflare WAFでは、主に以下のような標準的なルールセットが提供されています。

• Cloudflare Free Managed Ruleset： Freeプランを含むすべてのプランで利用可能な基本的なルールセット
• Cloudflare Managed Ruleset： Cloudflareが独自に収集した最新の脅威情報に基づく高品質なルールセット（Pro以上で利用可能）
• Cloudflare OWASP Core Ruleset： Webセキュリティの国際コミュニティOWASPが定義する業界標準のルールセット

新たな脆弱性（ゼロデイ脆弱性など）が世界のどこかで発見された場合も、Cloudflare側で自動的にルールが追加、更新されるため、運用者の負担を大幅に軽減できます。

とはいえ、Managed Rulesをただ有効にするだけで安心するのは禁物です。正当なアクセスを誤って攻撃と判定してしまう「誤検知」を防ぐため、実際のトラフィックを確認しながらログモード（Log）でテストするなど、さらに調整を加えることが推奨されます。

出典： Cloudflare Docs: Managed Rules

Custom Rulesで、自社用にカスタマイズ

標準ルールだけではカバーしきれない自社独自の要件や、特定ページへの防御を強化するために用意されているのが「Custom Rules（カスタムルール）」です。

Custom Rulesでは、以下のような多様な条件を組み合わせて、通信を制御できます。検知後制御の種類には、「Block」、「Managed Challenge」、「Log」などが用意されています。

• アクセス先のURLやURIパス（例えば、「/admin/」や「/api/v1/」など）
• 送信元の国、地域やIPアドレス / ASN
• HTTPリクエストメソッドやヘッダー情報
• 送信されたパラメータやCookieの値

例えば、「問い合わせフォームへの特定の不審なパラメータを遮断する」、「特定の管理画面へのアクセスを信頼できるIPアドレスのみに制限する」といった、自社のシステム構成に応じた細やかな「関門」を作ることもできます。

また、アクセス頻度を制御するRate Limiting Rulesと組み合わせることで、攻撃のパターンだけでなく「短時間での不自然な連続アクセス」も効果的に抑制可能です。Rate Limiting Rulesについては、「Rate Limitingとログ運用」の記事で詳しく取り上げます。

出典： Cloudflare Docs: Custom Rules

出典： Cloudflare Docs: Rate Limiting Rules

Security AnalyticsとSecurity Eventsで、「入口」を可視化

WAFは、いったん設定したらそれで終わり、というものではありません。日々の通信状況を監視し、正当な利用が妨げられていないか、新たな不審アクセスが届いていないかを常に確認する、継続的な運用が不可欠です。

Cloudflareでは、ダッシュボード上に以下の2つの分析ツールを提供しています。

• Security Analytics： 攻撃の有無にかかわらず、Webサイトへ届くHTTPリクエスト全体の傾向（国別、URL別、レスポンスコード別など）を可視化
• Security Events： WAFやBot対策など、セキュリティ機能が実際に反応（BlockやChallengeなど）した通信の詳細ログを確認

これらを組み合わせることで、平常時のアクセスをSecurity Analyticsによって、ブロックされた通信をSecurity Eventsによって、比較、確認することが可能となります。誤検知の早期発見や、新たな攻撃の予兆を捉えることに役立つでしょう。

出典： Cloudflare Docs: Security Analytics

出典： Cloudflare Docs: Security Events

AI、機械学習を活用するWAF Attack Scoreによる高度な検知

一般的なルール（パターンマッチング）では判断が難しい巧妙な攻撃に対しては、AI（機械学習）を活用した機能が、非常に効果的に働きます。

WAF Attack Score

リクエストデータ全体を機械学習モデルで解析し、それが攻撃である可能性を1から99のスコアで算出します。数値が低いほど攻撃の可能性が高いと判定されます。ルールに合致しない新しい攻撃パターンを特定する際に有効です。ただし、単純にこのスコアだけを基準として遮断するかどうかを決めるのではなく、特定のURLなどの条件と組み合わせて判断することが推奨されます。

Threat Intelligence / Malicious Uploads Detection

さらに高度なセキュリティとして、Cloudflareの脅威調査チーム（Cloudforce One）が収集した最新の脅威データを判断材料にする「Threat Intelligence」や、フォームからアップロードされたファイルをスキャンしてマルウェアを検知する「Malicious Uploads Detection」なども用意されています。

これらの高度な機能は、すべてのサイトについて必須というわけではありません。ファイルアップロード機能を備えたサイトや、極めて高いセキュリティ水準が求められる環境に応じて選択的に導入することを想定したものとなっています。

出典： Cloudflare Docs: WAF Attack Score

出典： Cloudflare Docs: Threat Intelligence APIs

出典： Cloudflare Docs: Malicious Uploads Detection

最初から完璧なWAFを目指さない

Cloudflare WAFを既存のWebサイトへ導入する際、最初から完璧なルール構成を目指す必要はありません。実際の現場では、次のような段階的な４つのステップによって、WAFの精度を高めていくのが最も安全で確実です。

1. Managed Rulesを「Log（記録）モード」で導入する
2. Security Analytics / Eventsでログを確認し誤検知を調整する
3. 問題がないことを確認してから「Block（遮断）モード」へ切り替える
4. ログインやフォームなどの重要ページにCustom RulesやRate Limitingを追加する

Webサイトの機能追加や更新に伴って、正当とみなされる通信パターンも変化していきます。そのためWAFは、一度設定すれば終わり、ということはなく、サイトの成長に合わせて調整を続けていく運用が求められます。

DOMOの視点

Cloudflare WAFは、守る、見る、調整するまでがセット

DOMOとしてCloudflare WAFの導入を検討する際、最初に考えるのは「どのオプションを有効にするか」ではありません。対象となるWebサイトにおける守るべき「入口」と、日常の運用体制の整理から始めます。問い合わせフォーム、ログイン画面、管理画面、商品検索、APIなど、入口ごとに「誰が」「どのような頻度で」アクセスするのが正常な範囲と言えるのかを、まず定義するのです。

Cloudflare WAFを導入することによって得られる最大のメリットは、単に攻撃を遮断することではなく、「守る（ルール設定）」、「見る（分析）」、「調整する（チューニング）」という一連の運用サイクルを単一の画面でシンプルに回せる点にあります。

設定を放置して正当なユーザーを弾いてしまったり、逆にログを見ずに放置して攻撃を見落とす、といった事故を防ぎ、現場の担当者が安心してWeb運用を継続できる環境を整えること。これこそが、DOMOが提唱するセキュリティ運用の本質です。

まとめ

Cloudflare WAFは、標準的な攻撃対策はもちろん、自社固有のルール設定、通信の可視化までを一体で提供するWebセキュリティ機能です。以下に挙げるようなすぐれた特徴を備えています。

• Managed RulesとCustom Rulesの組み合わせ： 既知の脆弱性には管理型ルールで備え、自社独自の要件にはカスタムルールで対応
• 可視化と継続的なチューニング： Security AnalyticsやEventsで通信状況を「見る」ことができ、誤検知を防ぐ調整が可能
• 段階的な導入で安全に移行： 最初から完全なブロックを目指すのではなく、Logモードでの検証を経てスムーズに本番運用へ移行可能

自社のWebサイトのどの入口から守り始めるべきか、まずは現在のアクセス状況の可視化から始めてみましょう。

覚えておきたい用語

• Managed Rules： Cloudflareが作成・更新する管理型のWAFルール
• Custom Rules： 自社サイトに合わせて条件と対応を設定するルール
• Rate Limiting： 一定時間内のアクセス回数などを制限する仕組み
• Security Events： Cloudflareのセキュリティ機能が反応した通信を確認する機能
• Security Analytics： 正当な通信を含め、Webサイトへ届く通信を分析する機能
• WAF Attack Score： 機械学習でリクエストの攻撃可能性を評価する仕組み
• Threat Intelligence： 観測された脅威情報を防御判断に利用する仕組み
• Malicious Uploads Detection： アップロードされたファイルなどをマルウェア検査する機能
• 誤検知： 正当なアクセスを攻撃だと誤って判断すること