最強！ メッシュで防ぐCloudflareのDDoS対策

前の節で述べたように、DDoS攻撃は、攻撃に気付いてから担当者が対応するのでは間に合わないことがあります。そのためCloudflareでは、DDoS攻撃をネットワーク上で常に監視し、自動的に検知、軽減します。ここでは、CloudflareのDDoS対策がどんなものなのか、少し詳しく見ていきます。

Cloudflareは、世界中の入口で攻撃を受け止める

Cloudflareを利用しているWebサイトでは、通常の利用者も攻撃者も、まずCloudflareのネットワークへ接続することになります。

Cloudflareの2026年3月時点のネットワークは、全世界の125以上の国、335以上の都市で、約13,000のネットワークと直接接続しています。そのネットワーク容量は、500Tbpsまで拡大しています。その結果、世界のインターネット接続人口の約95％が、Cloudflareのデータセンターから、伝送時間にして約50ミリ秒以内にいるとされています。

DDoS攻撃を1台のサーバーや1か所のデータセンターだけで受け止めるのではなく、「Anycast（エニーキャスト）」と呼ばれる技術により、世界中に張り巡らされた網の目（メッシュ）のようなグローバルネットワーク全体で攻撃を分散・吸収するのがCloudflareの基本です。

しかも、それはWeb高速化に使われるネットワークそのものによって実現されています。つまり、利用者に近い場所からコンテンツを届けるネットワークが、そのまま攻撃を受け止める場所にもなっているのです。

※出典： Cloudflare Q1 2026 Investor Presentation

攻撃は自動で検知、軽減する

Cloudflareでは、「Autonomous DDoS Protection Edge」が常時動作しています。それにより、通信量、IPアドレス、ポート、通信プロトコル、HTTPヘッダー、URL、リクエスト頻度など、複数の情報から、通常とは異なる通信パターンを検知します。

Cloudflare公式Docsでは、L3/L4のDDoS攻撃について、エッジでの検知から軽減まで「3秒未満」で完了すると説明しています。実際に攻撃が来てから人が判断するのではなく、機械学習を用いた自律的（Autonomous）な防御システムを常に動かしておくことで、人間には不可能な素早い対応を可能としています。

※出典： Cloudflare Docs: How DDoS Protection Works

L3/L4とL7の両方を対象にする

CloudflareのDDoS Protectionは、L3/L4のネットワーク層だけでなく、L7のアプリケーション層を狙うL7 DDoSも対象にしています。ネットワークや通信処理そのものを狙うL3/L4 DDoSに対して、L7 DDoSは、 WebサイトやAPIへ大量のHTTPリクエストを送り付けるものです。その結果、検索、ログイン、APIなど、サーバー側でもともと負荷の高い処理が、さらに高負荷となってしまいます。

Cloudflareでは、DDoS Protectionだけでなく、WAF、Rate Limiting、Bot対策、キャッシュなども組み合わせて対応します。ひとつの機能ですべてを守るのではなく、同じ入口で複数の防御を重ねる、という考え方なのです。

※出典： Cloudflare Docs: DDoS Protection

Freeプランでも標準DDoS Protectionが使える

Cloudflareでは、標準DDoS Protectionを、Freeプランを含む全プランで提供しています。公式Docsでも、L3、L4、L7のDDoS Protectionについて、攻撃サイズや継続時間による従量制限を設けない「Unmetered（無制限の） DDoS Protection」を約束しています。つまり、どれほど巨大な攻撃を受けても追加の料金が発生しないため、コスト面でも安心な、極めて強力な保護となります。

とはいえ、すべてのプランで同じレベルの高度な機能が使えるわけではありません。Enterprise向けには「Advanced DDoS Protection」があり、「Adaptive DDoS Protection」機能なども利用できます。このAdaptive DDoS Protectionは、サイトごとに通常のトラフィックを学習し、そこから大きく外れた通信を検知する仕組みです。

ニュースサイト、EC、チケット販売などでは、正常なアクセスが急増することがあります。そのため、大量アクセスだからといって、ただちに攻撃だとは単純に判断できません。そのサイトにとって何が普通かをあらかじめ学習しておくことで、より精度の高い判断が可能となるのです。

※出典： Cloudflare Docs: Cloudflare DDoS Protection

※出典： Cloudflare Docs: Adaptive DDoS Protection

DDoS対策で忘れてはいけないオリジンIP

CloudflareのDDoS Protectionを利用していても、オリジンサーバーに直接アクセスできる状態が残っている場合には注意が必要です。通常は、ユーザーが直接オリジンサーバーにアクセスすることはなく、必ずCloudflareを通すことになります。しかし、攻撃者がCloudflareを通さずにオリジンサーバーにアクセスできてしまえば、Cloudflareの防御策が意味をなさなくなってしまうからです。

CloudflareのDDoS対策のベストプラクティスとしては、オリジンサーバーを公開インターネットへ直接露出させず、Cloudflareからの通信だけを受け付けるような構成にすることを推奨しています。DDoS Protectionを有効にするだけでなく、Cloudflareを通らない裏口を残さないことが重要なのです。

※ IPアドレスとは、インターネット上で通信先を識別する住所のような番号です

※出典： Cloudflare Docs: Proactive DDoS Defense

キャッシュもDDoS対策につながる

高速化のために有用なキャッシュも、DDoS対策に貢献します。キャッシュされた画像や、その他のページデータは、毎回オリジンサーバーへ取りに行く必要がなく、Cloudflareのエッジサーバーからユーザーに返すことで、その分だけオリジンへの通信と処理負荷を減らせるからです。高速化とセキュリティがひとつのネットワークで実現できることによって、相乗効果が生まれます。

Cloudflareとしても、DDoS対策のベストプラクティスとして、可能な範囲でキャッシュを活用することを推奨しています。

※出典： Cloudflare Docs： Proactive DDoS Defense

攻撃を止めた後は、何が起きたかを見る

自動的に攻撃を軽減できても、何が起きたのかを把握できなければ、運用に支障が生じることもあるでしょう。CloudflareではDDoS AnalyticsやSecurity Eventsなどから、攻撃対象、攻撃タイプ、攻撃元、対象URLなどを確認できるようになっています。プラン、サービスによっては、DDoSアラートも設定できます。

重要なのは、「Cloudflareが止めたから終わり」、にしないことです。どこが狙われたのか、同じ場所への攻撃が続いていないか、WAFやRate Limitingを追加すべきか、といったことを確認し、次の防御改善につなげるのです。

※出典： Cloudflare Docs: DDoS Analytics

※出典： Cloudflare Docs: DDoS Alerts

他社のDDoS対策とは何が違うのか

もちろん、DDoS対策を提供しているサービスは、Cloudflareだけではありません。他にも、「AWS Shield」、「Akamai Prolexic」、「Fastly DDoS Protection」などがあります。それら４つのサービスの特徴を簡単にまとめてみましょう。

• Cloudflare
  • CDN、WAF、Bot対策などと同一のグローバルネットワーク上で統合的に防御
• AWS Shield
  • AWS環境との統合に優れ、Advanced版では高度な検知やコスト保護を提供
• Akamai Prolexic
  • 専用のDDoS防御基盤により、オンプレミスやハイブリッド環境まで広範に保護
• Fastly DDoS Protection
  • エッジでの異常検知と、自社の配信基盤を組み合わせた防御

こうしたサービスを比較する際には、以下のような点まで考慮して判断しましょう。

• 現在どのクラウドやCDNを使っているか
• Webだけを守るのか、ネットワーク全体も守るのか
• WAFやBot対策まで同じ基盤にまとめたいか
• 専門サポートが必要か

※出典：　AWS Shield

※出典：　Akamai Prolexic

※出典：　Fastly DDoS Protection

DOMOの視点

Cloudflareを迂回させないところまでがDDoS対策

DOMOとしてCloudflareのDDoS対策を見るとき、DDoS Protectionが有効かどうかを確認するだけでは不十分と考えます。

さらに以下のような状況も併せて確認したいところです。

• Web通信のCloudflare経由の徹底
• オリジンIPの隠蔽（外部非露出）
• Cloudflare以外からのオリジンへの通信の遮断
• キャッシュの徹底的（可能なものは漏れなくキャッシュ）な活用
• ログインやAPIなど高負荷な入口の把握
• 攻撃時のログ確認、通知の運用体制

入口に強い警備員を置いても、裏口が開いたままなら意味がありません。Cloudflareを前段に置くだけでなく、Cloudflareを通らない通信経路をできるだけ残さないことが重要です。そのうえでDDoS Protection、WAF、Rate Limiting、Bot対策、キャッシュを組み合わせます。

DDoS対策は、大きな攻撃に耐える機能を買うことではありません。攻撃通信をオリジンに届けず、正当なユーザーにはサービスを使い続けてもらうための入口設計なのです。

まとめ

CloudflareのDDoS対策は、世界中に分散したネットワーク上でDDoS攻撃を自動検知、軽減する仕組みです。

標準DDoS ProtectionはFreeを含む全プランで提供され、L3、L4、L7の攻撃を対象にしています。さらに高度な環境ではAdaptive DDoS Protectionなども利用できます。

ただし、機能を有効にするだけでは十分ではありません。Cloudflareを迂回してオリジンへ直接攻撃されないようにする、キャッシュでオリジン負荷を減らす、WAFやRate Limiting、Bot対策を組み合わせる、攻撃後はログを確認する、といったことまでを、ひとつのDDoS対策として設計することが重要です。

覚えておきたい用語

• DDoS Protection： 大量通信によるサービス停止を自動検知・軽減するCloudflareの機能
• Autonomous DDoS Protection Edge： Cloudflareのネットワーク上でDDoSを自動検知・軽減する仕組み
• L3/L4 DDoS： ネットワークや通信プロトコルを狙うDDoS攻撃
• L7 DDoS： HTTPなどWebアプリケーションへの大量リクエストで負荷をかける攻撃
• Adaptive DDoS Protection： 通常の通信パターンを学習し、異常を検知する高度なDDoS対策
• オリジンIP： オリジンサーバーへ直接通信するためのIPアドレス
• DDoS Analytics： DDoS攻撃の状況を確認するCloudflareの分析機能