Cloudflare One のリスクスコアは、組織のシステムとデータにリスクをもたらし得るユーザーの活動と行動を検出します。リスクスコアは、Cloudflare One プラットフォームにユーザーおよびエンティティ行動分析（UEBA）を追加します。
Cloudflare One は、ユーザーの活動、ポスチャ、設定の検出に基づき、Low、Medium、High のいずれかのリスクスコアを割り当てます。ユーザーのスコアは、トリガーしたリスク行動のうち最も高いレベルと等しくなります。
ユーザーのリスクスコアを表示する手順は次のとおりです。
- Cloudflare ダッシュボード ↗ で Zero Trust > Teams & Resources を開きます。
- Users を選択します。
- Risk score > Risk scoring を選択します。
- ユーザー名を選択し、リスク行動の発生があれば確認します。リスク行動の発生を選択すると、検出に関連するログを表示できます。
リスクスコアを クリア したユーザーは、別のリスク行動をトリガーするまで表に表示されません。
必要な場合は、特定ユーザーのリスクスコアをリセットできます。リセット後、そのユーザーは別のリスク行動をトリガーするまで、関連するリスク表に表示されません。
- Cloudflare ダッシュボード ↗ で Zero Trust > Teams & Resources を開きます。
- Risk score > Risk scoring を選択します。
- リスクスコアをクリアするユーザーを選択します。
- User risk overview で Reset user risk を選択します。
- Confirm を選択します。
Cloudflare One 内の制御に加え、Okta ユーザーはリスクスコアを Okta に送り、SSO レベルのポリシーを適用できます。
まず、Cloudflare One がユーザーリスクスコアを Okta に送るよう設定します。
- Okta SSO 連携 を設定します。
- Cloudflare ダッシュボード ↗ で、Zero Trust > Integrations > Identity providers を開きます。
- Your identity providers で、Okta 連携を探し、Edit を選びます。
- Send risk score to Okta をオンにします。
- Save を選びます。
- 保存すると、Cloudflare One は組織の well-known URL を表示します。この値をコピーします。
次に、リスクスコアを受け取るよう Okta を設定します。
- Okta の管理ダッシュボードで、Security > Device Integrations を開きます。
- Receive shared signals を開き、Create stream を選びます。
- 連携に名前を付けます。Set up integration with で Well-known URL を選びます。
- Well-known URL に、Cloudflare One が示した well-known URL の値を入力します。
- Create を選びます。
Okta 内でのユーザーリスクスコアの設定については、Okta のドキュメント ↗ を参照してください。
Okta 連携がオンのあいだ、Cloudflare One はスコアの上昇とリセットを含む、ユーザーリスクスコアの更新を Okta に送ります。スコア更新イベントは Access 認証ログ に表示されます。
デフォルトでは、定義済みの行動はすべて無効です。行動を有効にすると、Cloudflare One は組織内のすべてのユーザーをその行動について継続的に評価します。デフォルトの割り当てが環境に合わない場合は、定義済み行動の リスクレベルを変更 できます。
| リスク行動 | 要件 | 説明 | 評価タイミング |
|---|---|---|---|
| Impossible travel | 設定済みの Access アプリケーション | ユーザーが、その時間内には移動できない 2 つの異なる場所からログインに成功しています。一致は Access 認証ログ に表示されます。 | 認証およびセッション更新のたびに評価します。 |
| High number of DLP policies triggered | 設定済みの DLP プロファイル | ユーザーが短い時間枠で多数の DLP ポリシー一致を発生させています。一致は Gateway アクティビティログ に表示されます。 | リクエストごとにミリ秒単位で評価します。 |
| SentinelOne threat detected on machine | SentinelOne サービスプロバイダー連携 | SentinelOne が、ユーザーに対して設定済みの デバイスポスチャ属性 を 1 つ以上返します。 | サービス間 API 経由で取り込みます。頻度は、デバイスポスチャのセットアップ時に管理者が設定でき、SentinelOne の API レート制限に合わせられます。 |
| CrowdStrike Low ZTA security score | CrowdStrike 連携 | ユーザーのデバイスが、いずれかの CrowdStrike Zero Trust Assessment 属性（OS Score、Overall Score、または Sensor Config score）で 0〜50 のスコアを報告します。詳細は CrowdStrike のデバイスポスチャ属性 を参照してください。 | サービス間 API 経由で取り込みます。頻度は、デバイスポスチャのセットアップ時に管理者が設定でき、CrowdStrike の API レート制限に合わせられます。 |
| CrowdStrike Medium ZTA security score | CrowdStrike 連携 | ユーザーのデバイスが、いずれかの CrowdStrike Zero Trust Assessment 属性（OS Score、Overall Score、または Sensor Config score）で 50〜79 のスコアを報告します。詳細は CrowdStrike のデバイスポスチャ属性 を参照してください。 | サービス間 API 経由で取り込みます。頻度は、デバイスポスチャのセットアップ時に管理者が設定でき、CrowdStrike の API レート制限に合わせられます。 |
| Interaction with Malicious File | Gateway の AV スキャン または ファイルサンドボックス | ユーザーが、Gateway の AV スキャナーまたはファイルサンドボックスによって悪意ありと判定されたファイルをアップロードまたはダウンロードします。ファイルがブロックされても、リスクは上がります。 | リクエストごとにミリ秒単位で評価します。 |
| Suspicious Security Domain Visited | Gateway DNS ポリシー | ユーザーが、セキュリティリスクまたはセキュリティ脅威に分類されたドメインを訪問します。一覧は ドメインカテゴリ を参照してください。トラフィックがブロックされても、リスクは上がります。 | リクエストごとにミリ秒単位で評価します。 |
| High Risk Domain Visited | Gateway DNS ポリシー | ユーザーが、疑わしいコンテンツ、暴力、または CIPA に分類されたドメインを訪問します。一覧は ドメインカテゴリ を参照してください。トラフィックがブロックされても、リスクは上がります。 | リクエストごとにミリ秒単位で評価します。 |
リスク行動を切り替えるには、Risk score > Risk behaviors を開きます。
特定の行動を有効にすると、Cloudflare One は組織内のすべてのユーザーを、その行動の発生について継続的に監視します。
ユーザーが有効なリスク行動を行った場合、そのリスクレベルが再評価されます。Cloudflare One は、現在のリスクレベルと、トリガーした行動のリスクレベルのうち高い方に、リスクスコアを更新します。
リスク行動を無効にすると、今後の活動の監視は停止します。これまでに検出したリスク行動はログに残り、ユーザーに関連付けられたままです。
行動のリスクレベルは、いつでも変更できます。
- Cloudflare ダッシュボード ↗ で Zero Trust > Teams & Resources を開きます。
- Users を開きます。
- Risk score > Risk behaviors を選択します。
- 変更するリスク行動を選択します。
- ドロップダウンメニューで、希望するリスクレベルを選びます。
- Save を選択します。
リスクスコアを使い、Cloudflare Access で保護されたアプリケーションへのアクセスを制御できます。ユーザー行動の変化に応じてアクセス制御を変えられます。
Access ポリシーにリスクスコアの要件を追加する手順は次のとおりです。
- Cloudflare ダッシュボード ↗ で Zero Trust > Access controls > Policies を開きます。
- 新しいポリシーを作成するか、既存のポリシーを選択して編集します。
- User Risk Score セレクターを使うルールを追加します。
- Value で、リスクレベル（Low、Medium、High、または Unscored）を 1 つ以上選択します。ルールは、ユーザーの現在のリスクレベルが選択した値のいずれかと一致する場合にだけ一致します。
- ポリシーを保存します。
リスクスコアが高いユーザーが機密アプリケーションにアクセスできないようにするには、次の構成でポリシーを作成します。
| アクション | ルールタイプ | セレクター | 値 |
|---|---|---|---|
| Allow | Include | Emails ending in | @example.com |
| Exclude | ユーザーリスクスコア | 高 |
High のリスクスコアを持つユーザーはブロックされ、Low または Medium のユーザーはアプリケーションにアクセスできます。
Access ポリシーの詳細は、Access ポリシー を参照してください。