DDoS 保護を確認する

IP プレフィックスを Magic Transit にオンボードしたら、DDoS 保護レイヤーが有効で、正しく設定されていることを確認します。Magic Transit には、連携して動作する複数の緩和システムがあります。各レイヤーの説明と実行順は DDoS 保護 を参照してください。

開始する前に、次を完了していることを確認してください。

• IP プレフィックスを Magic Transit に オンボード していること。
• プレフィックスを Cloudflare に アドバタイズ していること。

ネットワーク層 DDoS マネージドルールセット は、Magic Transit にオンボードした IP プレフィックスで常に有効です。オフにはできませんが、個別ルールの感度レベルとアクションはカスタマイズできます。

現在の設定を確認するには、次の手順を実行します。

1. Cloudflare ダッシュボードで L3/4 DDoS protection ページを開きます。

   DDoS Managed Rules を開く ↗

2. Network-layer DDoS Protection タブを選びます。

オーバーライドをデプロイしていない場合、マネージドルールセットはデフォルト設定（High sensitivity、DDoS Dynamic action）で動作します。ほとんどのデプロイでは、この設定を推奨します。

Advanced TCP Protection と Advanced DNS Protection は、新しい Magic Transit のお客様向けに、監視モードで自動的に有効になります。監視モードでは、システムがトラフィックパターンを学習し、ライブトラフィックに影響を与えずに緩和した場合の結果を表示します。

Advanced DDoS システムの状態を確認するには、次の手順を実行します。

1. Cloudflare ダッシュボードで L3/4 DDoS protection ページを開きます。

   DDoS Managed Rules を開く ↗

2. Advanced Protection > General settings を開きます。

3. システムがオンになっており、プレフィックスが一覧にあることを確認します。

個別の保護ルールを確認するには、次を実行します。

• Advanced TCP Protection では、Advanced Protection > Advanced TCP Protection を開きます。SYN Flood Protection と Out-of-state TCP Protection のルールがあり、想定どおりのモードになっていることを確認します。
• Advanced DNS Protection では、Advanced Protection > Advanced DNS Protection を開きます。DNS Protection ルールがあることを確認します。

Advanced DDoS システムが少なくとも 7 日分のトラフィックデータを収集すると、Cloudflare はその期間のトラフィックの 95 パーセンタイルに基づいて保護しきい値を算出します。しきい値は 10 分ごとに再計算されます。

監視から緩和へ切り替えるには、次の手順を実行します。

1. Network Analytics でトラフィックを確認し、通常トラフィックと異常トラフィックを正しく識別していることを確認します。
2. 更新するルール（SYN Flood、Out-of-state TCP、または DNS Protection）を開きます。
3. ルールモードを Monitoring から Mitigation (Enabled) に変更します。

攻撃の検知と緩和を通知する DDoS アラートを設定します。

1. Cloudflare ダッシュボードで Notifications ページを開きます。

   Notifications を開く ↗

2. Add を選びます。

3. Layer 3/4 DDoS Attack Alert を選びます。Enterprise アカウントでは、追加のフィルタに対応する Advanced Layer 3/4 DDoS Attack Alert を選べます。

4. 配信方法（メール、webhook、または PagerDuty）を設定します。

Magic Transit と Spectrum BYOIP のお客様には、毎週火曜に週次の DDoS サマリーレポートがメールで自動送信されます。対象期間は前週の月曜から日曜です。攻撃の総数、パケット毎秒およびビット毎秒で最大の攻撃、緩和した総バイト数が含まれます。

Network Analytics は、Magic Transit プレフィックス上の DDoS アクティビティを監視する主要なダッシュボードです。Cloudflare ネットワークへの出入りトラフィックと、DDoS ルールおよび Network Firewall ルールでブロックされたトラフィックを表示します。

DDoS アクティビティを確認するには、次の手順を実行します。

1. Cloudflare ダッシュボードで Network analytics ページを開きます。

   Network analytics を開く ↗

2. 適用された緩和でフィルタし、DDoS マネージドルールセットまたは Network Firewall ルールでブロックされたトラフィックを絞り込みます。

GraphQL Analytics API を使って、DDoS 分析をプログラムから照会することもできます。

Magic Transit で保護している自社の IP プレフィックスに対して DDoS 攻撃をシミュレートし、検知と緩和が想定どおり動作することを確認できます。自社プロパティへのテストに、Cloudflare の許可は不要です。

テストの手順は テスト用 DDoS 攻撃をシミュレートする を参照してください。