スキャンとペネトレーションテストのポリシー

お客様は、一定の制限のもと、自身の資産のアプリケーション層およびネットワーク層（Cloudflare アカウント内のゾーンなど）に対してスキャンとペネトレーションテストを実施できます。Cloudflare のポリシーに従ってください。

許可される対象

スキャンまたはテストは、次の範囲に限定してください。

*.cloudflare.com などの Cloudflare 所有の宛先は、Cloudflare の Public Bug Bounty プログラムの一環としてのみ許可されます。詳細は関連リソースを参照してください。

ゾーンでペネトレーションテストを始める前に、テスト対象の各ゾーンで次のアプリケーションセキュリティ設定を行ってください。

Cloudflare Managed Ruleset をデプロイし、Ruleset status を Enabled にして、ルールセット内のすべてのルールを有効化します。
Cloudflare OWASP Core Ruleset をデプロイし、次のルールセット設定にします。
- Paranoia Level: PL4
- Score threshold: High - 25 and higher
WAF attack score に基づくカスタムルールを作成し、攻撃とみなされるリクエスト（WAF attack score が 1〜20）をブロックします。例は WAF attack score のドキュメントを参照してください。
悪意のあるアップロード検出に基づくカスタムルールを作成し、悪意があるとみなされるコンテンツオブジェクトを含むリクエストをブロックします。この種の脅威を緩和するカスタムルールの例はルールの例を参照してください。
Bot Management のない Pro プランと Business プランでは、Super Bot Fight Mode を有効化します。
Bot Management を利用できるお客様は、Bot Management が有効であることを確認してください（対象ゾーンではデフォルトで有効です）。
テスト対象ゾーンの主要なエンドポイントを保護するため、レート制限ルールを作成します。設定例はレート制限ルールの例とレート制限のベストプラクティスを参照してください。

アカウントまたはゾーンで有効になっている、ほかの Cloudflare のセキュリティ機能、パフォーマンス機能、設定、ルールも、テスト結果に影響する場合があります。

テスト完了後は、セキュリティ体制を見直し、結果に基づいて必要な調整を行うことを推奨します。

Cloudflare の anycast ネットワークでは、共有インフラとプロキシの性質により、80 と 443 以外のポートも開いていると報告されます。これは想定どおりの動作であり、脆弱性を示すものではありません。
Netcat などのツールは、非標準の HTTP ポートを開いていると表示する場合があります。ただし、これらのポートは Cloudflare のルーティング目的でのみ開いており、そのポートでお客様のオリジンと接続できるとは限りません。
既知の誤検知: お客様の資産が Cloudflare の背後にある場合、ROBOT 脆弱性に関する検出は誤検知です。

通知の要否と必要な情報については、テスト用 DDoS 攻撃のシミュレーションを参照してください。あわせて、Cloudflare の DDoS 保護のベストプラクティスも確認してください。