クライアントサイトリソースのアラート を受け取った場合、スクリプトの性質を確認するために手動調査が必要になることがあります。このページの案内を、調査の出発点として使ってください。
まず、アラートを出した 検出システム を特定します。アラート内のリンクから、Cloudflare ダッシュボードの該当リソースへ直接移動できます。または、次の手順を行います。
-
Cloudflare ダッシュボードで、Web assets ページを開きます。
Web assets を開く ↗ -
Client-side resources タブを選択します。
-
Scripts または Connections を選び、受け取ったアラートに記載されたリソースを検索します。
-
特定したリソースの横にある Details を選択します。次のスクリーンショットは、悪意があると判定されたスクリプトの例です。
詳細ページには、どの検出システムがアラートを出したかが表示されます。次のフィールドの値を確認してください。
- Malicious code
- Malicious URL
- Malicious domain
複数の検出メカニズムが同時にスクリプトを悪意ありと判定することがあります。その場合、誤検知の可能性は低くなります。
潜在的に悪意のあるスクリプトのアラートを受け取った場合:
-
スクリプトを読み込んでいる（または接続を行っている）サイトのページへ移動します。ブラウザーを開き、Page URLs フィールド（スクリプト詳細のダイアログボックスに表示）のいずれかの URL を開きます。
-
ブラウザーの開発者ツールを開き、スクリプトが読み込まれていることを確認します。開発者ツールの Network タブで、スクリプト名、URL、ホスト名を検索できます。
潜在的に悪意のある接続のアラートを受け取った場合:
-
アラートのきっかけになった接続が行われているサイトのページへ移動します。ブラウザーを開き、Page URLs フィールド（接続詳細のダイアログボックスに表示）のいずれかの URL を開きます。
-
ブラウザーの開発者ツールを開き、接続が行われていることを確認します。開発者ツールの Network タブで、接続先のホスト名を検索できます。
スクリプトまたは接続が見つかった場合、サイトの全訪問者に対してスクリプトが読み込まれている（または接続が確立されている）ことを意味します。ステップ 3 へ進みます。
スクリプトの読み込みや接続が見つからない場合、次のいずれかが考えられます。
- 訪問者のブラウザー拡張機能が、スクリプトを読み込んでいる（または接続を行っている）。
- 現在の状態では、スクリプトの読み込みや接続が行われない。複雑なアプリケーションでは、状態に応じてスクリプトの読み込みや接続を変えることがあります。
- 地理的な位置（または同様の条件）が合っていない。
- 攻撃者が、一部の訪問者、または特定のブラウザー / シグネチャの訪問者に対してだけ、スクリプトの読み込みや接続を行っている。
この場合は、後述の手順に加えて、次の対応が有効です。
- 安全な仮想環境から、オンライン検索ツールで該当リソースを調べます。検索結果と、ドメイン登録情報などのメタデータを確認します。
- 判断に迷う場合は、アプリケーションのコードベースでリソースを検索し、見つかったら目的を確認します。
Cloudflare がリソースのドメインを「malicious domain」（悪意のあるドメイン）と判定した場合、そのドメインのレピュテーションは低い可能性が高いです。マルウェアのホストやフィッシング攻撃に使われていることで知られている場合があります。通常は、ドメイン / ホスト名を確認すれば、アラートの理由を把握できます。この検証には、Cloudflare の Security Center Investigate ↗ などが使えます。
Cloudflare の内部システムがスクリプトを「malicious code」（悪意のあるコード）と分類した場合、外部ツールでは Cloudflare の検出を再現できないことがあります。使っている機械学習（ML）モデルは Cloudflare 固有の技術だからです。
Cloudflare の分類が誤検知だと考える場合は、アカウントチームに連絡してください。Client-side security の基盤技術の改善に役立てます。
次の分析の一部は、仮想マシンで行えます。
- スクリプトの URL を開き、ソースコードを取得します。難読化やエンコードがされている場合、悪意のあるスクリプトである兆候です。
- ソースコードから、ホスト名や IP アドレスを探します。
- 特定した各ホスト名または IP アドレスについて、Cloudflare の Security Center Investigate で脅威情報を調べるか、オンラインで侵害の指標（Indicators of Compromise）を検索します。
悪意のあるリソースのアラートを出したリソースが、次のいずれかに当てはまる場合:
- アプリケーション内で実際に使われている
- 悪意のあるホストまたは IP アドレスから読み込まれている、または悪意のあるコードを含む
- ソースコード（難読化 / エンコードされている場合あり）に、悪意のあるホスト名または IP アドレスがある
さらなる調査が必要です。進行中の侵害を示す兆候だからです。