静的しきい値ルールは、ビット毎秒またはパケット毎秒で定義した固定しきい値に対して、ネットワークトラフィックを監視します。Network Flow（旧称 Magic Network Monitoring）は、ルール内のすべての IP プレフィックスとアドレスの合計トラフィックを、このしきい値と比較します。設定した期間にわたってトラフィックがしきい値を超えると、Network Flow はアラートを送信します。
静的しきい値ルールを使うには、NetFlow または sFlow データを Cloudflare に送信する必要があります。
| フィールド | 説明 |
|---|---|
| Rule name | 一意である必要があり、スペースは使えません。使える文字は A-Z、a-z、0-9、アンダースコア（_）、ダッシュ（-）、ピリオド（.）、チルダ（~）です。最大 256 文字です。 |
| Rule type | threshold |
| Rule threshold type | ビット毎秒またはパケット毎秒で定義できます。 |
| Rule threshold | ルールアラートのビット毎秒またはパケット毎秒です。ルールの継続時間にわたってこの値を超えると、アラート通知が送信されます。最小値は 1 で、上限はありません。 |
| Rule duration | アラート通知を送るまでに、ルールのしきい値を超え続ける必要がある時間（分）です。次のいずれかを選びます: 1、5、10、15、20、30、45、または 60 分。 |
| Auto-advertisement | Magic Transit On Demand のお客様は、ルールアラートがトリガーされたときに Magic Transit を自動で有効にできます。Network Flow（旧称 Magic Network Monitoring）は、Magic Transit の supernet 機能に対応しています。詳細は Auto-Advertisement を参照してください。 |
| Rule IP prefix | トラフィック量を監視するルールに関連付ける IP プレフィックスです。160.168.0.1/24 のような CIDR 範囲である必要があります。一意の CIDR エントリは最大 5,000 件です。詳細は ルールの IP プレフィックス を参照してください。 |
静的しきい値ルールの例は、Network Flow API ドキュメントの Rules を参照してください。
適切な Network Flow ルールを作成し、正確なしきい値を設定するには、ルールの IP プレフィックス、ルールのしきい値、ルールの継続時間 のガイドラインに従ってください。
Cloudflare は、ネットワーク内の公開 /24 IP プレフィックスごとに、1 つの Network Flow ルールから始めることを推奨します。ルール名に /24 プレフィックスの範囲を含めると、Network Flow アナリティクスで探しやすく、絞り込みやすくなります。
各プレフィックスのトラフィックパターンに慣れてきたら、必要に応じて /24 より小さい、または大きい IP プレフィックスで、より具体的なルールを作成します。1 つのルールに複数の IP プレフィックスをまとめることもできます。
適切なルールしきい値を設定するには、初期ルール設定 と 適切なしきい値の設定 の手順に従ってください。
Network Flow を初めて設定するときは、各 IP プレフィックスの通常のトラフィックパターンが分からないことがあります。セットアップ中にトリガーされにくいよう、初期しきい値は高めに設定します。Cloudflare は 10 Gbps または 10 Mpps を推奨します。
これにより、アラートを受け取らずにベースラインのトラフィックデータを集められます。初期ルールを設定したあとは、アラートを監視し、Network Flow Analytics でトラフィックを確認します。時間の経過とともに、過去のトラフィックデータに基づいて各ルールのしきい値を更新します。
| しきい値の種類 | 初期データ収集に推奨するルールしきい値 |
|---|---|
| ビット | 10 Gbps（10,000,000,000 ビット毎秒） |
| パケット | 10 Mpps（10,000,000 パケット毎秒） |
ネットワークトラフィックを監視する初期ルールセットを作成したあと、各ルールについて 14〜30 日分の過去トラフィック量データを収集してください。
Cloudflare は、Network Flow ルール内で 1 分間隔に観測された、攻撃ではないトラフィックの最大値の 2 倍を、ルールしきい値に設定することを推奨します。
過去 14〜30 日における 1 分間隔の、攻撃ではない最大トラフィックを確認するには、分析したいルールで絞り込みます。
- Network flow ページを開きます。
- Add filter を選択します。
- New filter で、ドロップダウンメニューを使って次のフィルターを作成します。
| フィールド | 演算子 | ルール名 |
|---|---|---|
| Monitoring Rule | equals | <RULE_NAME> |
Network Flow Analytics でルールフィルターを選んだら、選択した期間のそのルールの過去トラフィック量データを確認できます。Cloudflare は、1 時間間隔が表示される最大ウィンドウである、7 日単位で過去データを確認することを推奨します。任意の 7 日間を選ぶには、Network Flow アナリティクスの右上で時間ウィンドウのドロップダウンメニューを開き、Custom range を選択します。
選んだ 7 日間を確認し、最大のトラフィック量ピークを特定します。次に、そのピークをクリックしてドラッグし、より短い時間ウィンドウのトラフィック量データを表示します。1 分間隔で表示されるまで続けます。
ルールの最大トラフィック量ピークをスプレッドシートに記録し、14〜30 日分のデータでこの作業を繰り返します。ルールしきい値は、14〜30 日分のデータにおける 1 分間隔の最大トラフィックスパイクの 2 倍に更新します。各 Network Flow ルールのしきい値を設定するために、この手順を実施してください。
IP プレフィックスでは、1 分間隔で不規則なスパイクが起きることがあります。短時間の悪意のないトラフィックスパイクによる誤検知を減らすため、ルールの継続時間は少なくとも 2 分に設定してください。2 分の継続時間は、アラートが発火する前に、トラフィックが 2 分間しきい値を超え続ける必要があることを意味します。
過去データに基づいて最初のしきい値セットを更新したあと、Network Flow アラートを監視して、しきい値が適切かどうかを確認します。ネットワーク環境に合ったアラート感度になるよう、しきい値と継続時間を時間をかけて調整します。