今日、すべてと全員が、いつでもどこでもすべてに接続する必要があり、しかもすべてが安全でなければなりません。しかし、多くの企業は、この現実を支えるインフラストラクチャの上に築かれていません。かつては従業員がオフィスで働き、ほとんどの業務システム（ファイルサーバー、プリンター、アプリケーション）はプライベートなオフィスネットワーク上にあり、そこからだけアクセスできました。セキュリティ境界はネットワークの周りに作られ、その多くがパブリックインターネットから来る外部脅威から守っていました。
しかし、インターネット帯域が広がり、オフィスの外で働く人が増えると、VPN により、インターネット接続がある場所から内部システムへアクセスできるようになりました。その後、アプリケーションはオフィスネットワークを超え、SaaS アプリケーションとして、または IaaS プラットフォームでホストされる形でクラウドへ移りました。企業はネットワークへのアクセスを急いで広げ、絶えず変わるセキュリティ状況を検出、保護、管理する新しい動的な方法に投資しました。しかし、多くの企業は複雑なポリシーと脆弱なネットワークを抱え、異なるアクセスポイントを守るための多数のポイントソリューションを抱えています。
2010 年から、Cloudflare は独自の大規模ネットワークを構築し、その上でセキュリティサービスを動かしています。組織は接続性を改善し、パブリックおよびプライベートのネットワーク、アプリケーション、ユーザー、データをよりよく保護できます。このドキュメントでは、このネットワークとプラットフォームがセキュリティの観点からどう設計され、どう運用されているか、企業が自社のセキュリティ課題に対処するために使えるサービスを説明します。ドキュメントは次の 2 つの主要セクションで構成されます。
- Cloudflare がセキュアなグローバルネットワークをどう構築し、運用するか。
- ネットワーク上に構築された Cloudflare のサービスを使い、自社のビジネスインフラストラクチャと資産をどう保護するか。
このドキュメントは、Cloudflare を使って事業の一部を保護しようとする IT およびセキュリティの専門家向けです。主に、組織のセキュリティプログラム全体を担う最高情報セキュリティ責任者（CSO/CISO）とその直属チームを対象とします。Cloudflare プラットフォーム全体のセキュリティを扱うため、特定のサービスを深くは扱いません。サービスまたは製品の具体的な情報は Architecture Center ↗ を参照してください。
Cloudflare の基礎理解を深めるには、次のリソースを推奨します。
クラウドセキュリティソリューションは高速で、常に利用可能である必要があります。当社のネットワークはインターネット上の Web プロパティの 20% 以上を保護し、over 330 cities で運用され、インターネット接続人口の 95% から 50 ms 以内にあります。各データセンターの各サーバーはすべてのサービスを実行するため、トラフィックは 1 回の検査で処理され、エンドユーザーの近くで対処されます。これらのサーバーは over 13,000 network peers で接続され、over 405 Tbps network capacity です。Cloudflare のネットワークは すべてのインターネットエクスチェンジ ↗ にも接続しています（Microsoft、AWS、Google より多い）。インターネットのどの部分からもトラフィックをピアできるようにするためです。
数百万の顧客が Cloudflare を使うため、ネットワークは平均で 1 秒あたり 5,700 万件を超える HTTP リクエスト ↗ を処理し、ピーク時は 1 秒あたり 7,700 万件を超えます。このトラフィックをすべて分析し、1 日あたり平均 2,090 億件のサイバー脅威 ↗ を検出してブロックします。このネットワークは、セキュリティ製品を使う顧客が低遅延、高い帯域、事業の継続的なセキュリティを支える信頼性を得られるよう、この規模で動きます。（指標は 2024 年 6 月時点です。）
Cloudflare のネットワークは、従来の企業ネットワークとは異なります。サービス分離、最小権限、ゼロトラストアーキテクチャを前提にゼロから設計されています。公開向けエッジサーバーと、それらが置かれるデータセンターは、広大な接続の湖に浮かぶ島と見なせます。強い資格情報と厳しいアクセスポリシーなしでは、何も何も信頼しません。
ネットワークのセキュリティアーキテクチャの独自な点は、anycast ネットワーキングの使い方です。すべてのデータセンターで、UDP と TCP の両方について Cloudflare のネットワーク範囲全体（IPv6 と IPv4）を広報します。Border Gateway Protocol ↗（BGP）により、インターネット上のルーターは、トラフィックが検査される最寄りの Cloudflare サーバーへ、可能な最短パスを提供します。セキュリティの観点では、これは非常に重要です。ネットワーク背後の顧客への分散型サービス妨害（DDoS）攻撃時、高い帯域容量と、数千のローカルサーバーへのリクエスト分散の組み合わせにより、インターネット史上最大級 ↗ の攻撃中でもネットワークの性能と可用性を保てます。
アクセスポリシー、レート制限、ファイアウォールルールなどのサーバー更新は、Quicksilver サービス ↗ が行います。顧客の変更は数秒でネットワーク全体に反映され、変化するビジネス要件に応え、ポリシーをグローバルにすばやく実装できます。
ネットワークのすべてのレベルは、厳格なセキュリティ制御に従います。エッジで動くプロセスは need-to-know を前提に設計され、最小権限で実行されます。独自のキー管理システムにより、キーは保存時と転送時に保護され、適切なタイミングで適切なアクセスが与えられます。ネットワーク変更の厳密な制御と詳細な可視性のため、すべてのインフラストラクチャはコード（IaC ↗）で管理されます。
Cloudflare はネットワーク内のすべてのサーバーを設計し、所有します。主な種類は 2 つです。
- プライベートコアサーバー: 顧客設定、ログ、その他のデータが置かれるコントロールプレーンです。
- パブリックエッジサーバー: インターネットおよびプライベートトンネルのトラフィックが Cloudflare ネットワークで終端し、検査されたあと宛先へルーティングされる場所です。
サーバーハードウェアは Cloudflare が設計し、包括的なサプライチェーンおよびセキュリティレビューを完了した、業界で信頼されるメーカーが製造します。すべてのサーバーは同一のソフトウェアスタックを実行し、一貫したハードウェア設計を可能にします。エッジサーバーのオペレーティングシステムも単一設計で、プラットフォームの規模と速度向けに高度に改変した Linux ディストリビューションから構築されます。Cloudflare は Linux カーネルの主要な貢献者であり、サーバーとサービス ↗ の保護方法を定期的に共有し、Linux コミュニティとインターネット全体が当社の エンジニアリング ↗ から恩恵を受けられるようにしています。
すべてのサーバーは、顧客がネットワークとアプリケーションを保護するために使う、すべての Cloudflare 製品とサービスを実行します。このドキュメントの後半でこれらのサービスを概観しますが、ここではソフトウェア開発の視点が重要です。すべての製品の初期設計から、エンジニアリングチームはセキュリティ、コンプライアンス、リスクのチームと手を携えてサービスのすべての側面をレビューします。これらのチームは外部グループではなく、エンジニアリングおよび製品チームの一部と見なせます。Cloudflare で行うすべての開発に不可欠であり、業界で最も尊敬される専門家がいます。コードは開発の各段階でセキュリティチームがレビューし、脆弱性を探す多くの自動システムを実装しています。設計、開発、リリースプロセスでは、OWASP ↗、STRIDE ↗、DREAD ↗ などの脅威モデリングおよびペネトレーションテストの枠組みを使います。
多くの製品は、サービス分離の最新手法を活用する サーバーレスランタイム 環境上で動きます。このセキュアランタイム環境は顧客にとっても価値があると考え、製品化し、当社のネットワーク上で独自アプリケーションを 構築 および 実行 ↗ できるようにしました。これについてはドキュメントの最後で触れます。
可能な限りセキュアなネットワークとプラットフォームを届けるため、常にイノベーションしています。増え続けるセキュリティ脅威と課題を解くには、新しい技術が必要です。Cloudflare は RPKI ↗ を使った BGP のさらなる保護など多くの取り組みを主導し、多くの一般的なインターネットセキュリティプロトコルについて IETF のワーキンググループに定期的に貢献しています。本質的によりセキュアなインターネットを作る IPv6 の採用 ↗ の拡大と監視を助け、量子コンピューターの計算能力増加が既存の暗号技術を脅かす前に ポスト量子暗号 ↗ などの技術を展開し、将来の課題に先手を打ちます。
ネットワークの設計だけでなく、実行と維持の方法もセキュアである必要があります。大規模で運用しており、サーバーの共通設計はソフトウェアのデプロイと監視を最適化します。ネットワークを維持する権限を持つ人の定義は完全に自動化され、インフラストラクチャアズコードの実践に沿い、ロールベースアクセス制御（RBAC）と最小権限制御をあらゆる場所で使います。
顧客は製品とサービスに機密情報を送ります。Cloudflare コンプライアンスチームの使命は、これらのサービスを支える基盤インフラストラクチャが FedRAMP、SOC II、ISO、PCI 認証、C5、プライバシー、規制枠組みなどの 業界コンプライアンス標準 ↗ を満たすことを保証することです。コンプライアンスチームはすべてのエンジニアリング組織と協力し、これらの要件を働き方の一部として組み込みます。コンプライアンスの観点での注力領域は次のとおりです。
- 顧客データのプライバシーとセキュリティ
- コンプライアンス検証の維持
- 顧客自身のコンプライアンス支援
- 規制状況の変化の監視
- 今後の変更について規制機関へのフィードバック提供
また バグバウンティプログラム ↗ を運営し、コミュニティが脆弱性を見つけて報告するインセンティブを金銭的報酬で与えます。
まとめると、Cloudflare はネットワークを保護する適切な技術を持つだけでなく、適切なプロセスが作られ、守られ、監視されることを保証する、人員が充実した成熟したチームも持っています。過去 10 年で成長するなかで、業界で最高水準のセキュリティ知識を蓄積し、それが優秀な人材を引き寄せてきました。この効果は毎年積み上がり、セキュリティのスキルと知識をさらに高めています。Cloudflare がネットワークをどう運用し保護するかについても非常に透明であり、プロセスと進化するセキュリティへの取り組みについて よくブログ ↗ に書いています。
Cloudflare ネットワークが存在する理由は、ユーザー、アプリケーション、データなどの自社資産を保護するサービスを顧客に提供することです。次のセクションでは、これらのサービスが何か、基本的なアーキテクチャ、顧客による使い方を説明します。各サービスを詳しく扱うわけではありません。特定の製品、サービス、ソリューションの詳細は Architecture Center ↗ または 製品ドキュメント を参照してください。このドキュメントの目的は、利用できるセキュリティサービスの全体セットと、設計された一般的なユースケースを示すことです。そのため、目次を用意し、関心のあるセクションへ飛べるようにしています。
- パブリックおよびプライベートリソースの保護
- パブリックリソースの保護
- プライベートリソースの保護
- オブザーバビリティ
- Developer Platform
一般に、脅威の広がりと複雑さの増大に効果的に対抗し保護するために顧客が必要とするのは、運用上一貫して効率的な方法で可視性、分析、検出、緩和を提供する統合セキュリティソリューションです。Cloudflare は次の方法でこれらのニーズに応えます。
- 運用の一貫性: Cloudflare はすべての管理タスクに単一のダッシュボード/UI を持ちます。
- 運用の簡潔さ: Cloudflare は、手動設定と UI ワークフローを最小化するよく設計されたユーザーインターフェイスで、運用の複雑さを抑えることで知られています。さらに、製品横断の統合により設定とポリシーを自動化できます。
- 継続的なイノベーション: Cloudflare は幅広いセキュリティポートフォリオ全体でイノベーションを続け、CAPTCHA 代替製品の Turnstile や、業界初の API Sequence Mitigation などの独自機能を提供します。
- ワークロードの場所に依存しない: Cloudflare はまずパフォーマンスとセキュリティサービスを中心に構築されました。そのため、ワークロードの場所に依存せず、マルチクラウドが主要なユースケースになるようゼロから作られています。顧客は複数クラウドおよび/またはオンプレミスにワークロードをデプロイし、同じ運用の一貫性を得られます。
- パフォーマンスとスケール: すべての Cloudflare サービスは、同じグローバルクラウド上のすべてのデータセンターのすべてのサーバーで動き、グローバルな到達性と遅延の面で最大のパフォーマンスを発揮し、Cloudflare のグローバルインフラストラクチャの全容量を活用してスケールアウトできます。
- API ファースト: Cloudflare は API ファーストです。UI/ダッシュボードから使えるすべての設定と機能は、API からも使えます。Cloudflare は Terraform で容易に設定でき、顧客のワークフロー/プロセスの自動化を支えられます。
ネットワーク、アプリケーション、デバイス、ユーザー、データを保護する Cloudflare のセキュリティサービスは、次のカテゴリにグループ化できます。
この一覧はセキュリティに焦点を当てており、コンテンツ配信ネットワーク（CDN）、ロードバランシング、ドメインネームサービス（DNS）などの製品は含みません。
顧客が保護しようとするリソースには、主に 2 種類あります。
- パブリックリソース は、ブランドウェブサイト、e コマースサイト、API など、一般インターネットから利用できるインターフェイスを持つコンテンツ、資産、またはインフラストラクチャです。匿名ユーザー、または自ら登録してアクセスする人（ソーシャルメディア、動画配信、バンキングなど）がアクセスできる点でも定義できます。
- プライベートリソース は、意図するユーザーセットが単一の会社、組織、または顧客セットに限定されるコンテンツ、資産、またはインフラストラクチャです。これらのサービスは通常、アクセスにアカウントと資格情報を必要とします。例は、会社の HR システム、ソースコードリポジトリ、小売店舗ネットワーク上の POS システムです。これらのリソースは通常、従業員、パートナー、その他の信頼された既知の ID だけがアクセスできます。
パブリックおよびプライベートリソースには、サーバーのようなインフラストラクチャレベルのコンポーネントと、ウェブサイトや API エンドポイントのような消費されるリソースの両方が含まれます。ネットワークとインターネット上の通信は、下の開放型システム間相互接続（OSI）モデル図が示すように、異なる段階とレベルで行われます。
Cloudflare は OSI モデルの複数層で保護できます。このドキュメントで主に扱うのは、レイヤー 3、4、7 でのリソース保護です。
- レイヤー 3（「ネットワーク層」）は、2 つの異なるネットワーク間のデータ転送を担います。ネットワーク層は、送信側デバイスでトランスポート層からのセグメントをより小さい単位（パケット）に分割し、受信側デバイスでこれらのパケットを再組み立てします。ネットワーク層ではルーティングが行われ、データが宛先に到達する最良の物理パスを見つけます。
- レイヤー 4（「トランスポート層」）は、2 つのデバイス間のエンドツーエンド通信を担います。これには、セッション層からデータを受け取り、「セグメント」と呼ばれる塊に分割してレイヤー 3 へ送ることが含まれます。
L3 および L4 セキュリティに使える Cloudflare のセキュリティ製品には、Magic Transit、Cloudflare Network Firewall、Cloudflare WAN、Network Flow（旧 Magic Network Monitoring）、Spectrum などのネットワークサービスがあります。
- レイヤー 7（「アプリケーション層」）は、ユーザーが操作するソフトウェアアプリケーションのすぐ下、または裏側で起きるデータ処理の最上位層です。HTTP および API のリクエスト/応答はレイヤー 7 のイベントです。
Cloudflare には、Web Application Firewall（WAF）、Rate Limiting、L7 DDoS、API Shield、Bot Management、クライアント側セキュリティ を含むアプリケーションセキュリティ製品スイートがあります。
SaaS アプリケーションはパブリックとプライベートの両方と見なせます。たとえば Salesforce は直接インターネットに面していますが、非常にプライベートな情報を含み、通常は IT がプロビジョニングした従業員アカウントだけがアクセスできます。このドキュメントでは、SaaS アプリケーションをプライベートリソースとして扱います。
これらは一般的な指針です。Cloudflare では、非常に機密性の高い内部アプリケーションを、公開アクセス可能なリモートアクセスサービスで保護することも可能です。このドキュメントを進めるなかで詳しく説明します。
企業は日々の e コマース取引とブランド認知のためにパブリックウェブサイトと API エンドポイントに依存し、事業全体がオンラインサービスであることもよくあります。高い可用性、パフォーマンス、セキュリティが最重要であり、顧客は事業を止めないために Cloudflare を使います。Cloudflare のセキュリティサービスは、詐欺、データ持ち出し、責任や損失、ブランド毀損を生み、事業を遅らせたり止めたりする攻撃を防ぐのに役立ちます。
パブリック資産は複数の正面とさまざまな攻撃から保護する必要があるため、複数の異なるセキュリティ機能を実装する必要があります。さらに、顧客は実装するソリューションの運用効率にも取り組む必要があります。異なる攻撃を緩和する複数のポイント製品を管理したり、会社のセキュリティ目標と要件を満たすために複数ベンダーを使ったりすると、複数の UI/ダッシュボード、トレーニング、製品横断統合の欠如など、多くの運用非効率と問題が生まれます。
下の図は、パブリック資産への典型的なリクエストが Cloudflare ネットワークを通る様子を示します。セキュリティサービスは多くの機能の一部であり、Cloudflare はリバースプロキシとして動作します。リクエストは最寄りのデータセンターへルーティングされ、宛先へ送られる前にパフォーマンスとセキュリティのサービスが適用されます。これらのサービスは、ワークロードのデプロイ場所に関係なく容易に統合して一緒に使えます。運用と実装は一貫しています。注: 図は Cloudflare のすべてのサービスを詳述していません。
図が示すのは次です。
- 世界最速の DNS サービス ↗ がパブリックホスト名を高速に解決します
- データの検査と保存の 地理的な場所を選ぶ ↗ ことでデータコンプライアンスを確保します
- Spectrum は Cloudflare のセキュリティ機能をすべての UDP/TCP アプリケーションに広げます
- セキュリティサービスはリクエストを 1 回のパスで検査します
- アプリケーションパフォーマンスサービスも同じパスでリクエストに作用します
- Smart routing は Cloudflare とパブリック宛先の間で最も低遅延なパスを見つけます
Cloudflare の幅広い製品ポートフォリオは、さまざまな攻撃から保護します。いくつかの一般的な攻撃を以下で詳しく説明し、その攻撃を緩和するために使う Cloudflare 製品への参照を含めます。
分散型サービス妨害（DDoS）攻撃 ↗ は、対象または周囲のインフラストラクチャをトラフィックの洪水で圧倒し、対象サーバー、サービス、またはネットワークの可用性を妨害しようとする悪意ある試みです。目的は、プログラム、サービス、コンピューター、またはネットワークを遅くしたりクラッシュさせたり、容量を埋めてほかのだれもサービスを使ったり受け取れなくすることです。DDoS 攻撃は L3、L4、L7 で起きることがあり、Cloudflare はこれらすべての層で保護を提供します。
Cloudflare の L7 DDoS Protection はレイヤー 7 でのサービス妨害を防ぎます。Spectrum はレイヤー 4 を、Magic Transit はレイヤー 3 を保護します。中核の DDoS 固有セキュリティ製品に加え、Cloudflare はヘッダー情報と API トークンを含む非常に細かいリクエストデータに基づいてトラフィックをスロットルできる高度なレート制限機能を提供します。Cloudflare の Bot Management 機能も、ボットトラフィックを効果的に緩和することでサービス妨害攻撃を制限できます。
製品: L7 DDoS、Spectrum、Magic Transit
ゼロデイエクスプロイト（ゼロデイ脅威とも呼ばれます）は、修正がまだないセキュリティ脆弱性を突く攻撃です。「ゼロデイ」と呼ばれるのは、欠陥が発見された時点で、開発者または組織がその解決策を考える日数が「ゼロ」だからです。
Web Application Firewall（WAF）の Managed Rules では、次に対する即時保護を提供する事前設定済みマネージドルールセットをデプロイできます。
- ゼロデイ脆弱性
- 上位 10 の攻撃手法
- 盗まれた/露出した資格情報の使用
- 機密データの抽出
WAF は受信 Web リクエストを検査し、エッジにデプロイされたルールセットに基づいて望ましくないトラフィックをフィルターします。これらのマネージドルールセットは Cloudflare が維持し、定期的に更新します。グローバルネットワーク全体から得る広範な脅威インテリジェンスから、Cloudflare は脅威をすばやく検出して分類できます。新しい攻撃/脅威が特定されると、Cloudflare は最新のゼロデイ攻撃から保護できるよう、WAF ルールを顧客へ自動でプッシュします。
さらに Cloudflare は WAF Attack Score を提供し、攻撃のバリエーションを検出することで Cloudflare マネージドルールを補完します。これらのバリエーションは通常、既存のセキュリティポリシーを迂回する方法を探すファジング手法で悪意ある行為者が達成します。WAF は機械学習アルゴリズムで各リクエストを分類し、リクエストが悪意ある可能性に基づいて 1 から 99 の攻撃スコアを付けます。これらのスコアを使い、アプリケーションへ許可するトラフィックを決めるルールを書けます。
製品: WAF - Cloudflare Managed Rules
不正アクセスは、認証の欠陥、弱いパスワード、容易に迂回される認可など、壊れた認証または壊れたアクセス制御から生じることがあります。Cloudflare の mTLS（相互 TLS）と JWT（JSON Web Tokens）検証は、認証を強化するために使えます。有効な証明書または JWT を持たないクライアントまたは API リクエストは、セキュリティポリシーでアクセスを拒否できます。顧客は Cloudflare ダッシュボードまたは API から mTLS 証明書を作成および管理できます。Cloudflare の WAF と Exposed Credentials Check マネージドルールセットは、認証リクエストで使われる侵害された資格情報を検出できます。WAF ポリシーは、異なるリクエスト基準に基づいてアプリケーション/パスへのアクセスを制限するためにも使えます。
製品: SSL/TLS - mTLS、API Shield（JWT Validation）、WAF
Magecart ↗ のようなクライアント側攻撃は、サードパーティライブラリの侵害、ウェブサイトの侵害、または脆弱性の悪用により、機密のユーザーデータを攻撃者制御のドメインへ持ち出します。クライアント側セキュリティは、リバースプロキシとしての Cloudflare のネットワーク上の位置を活用し、ブラウザーから直接次の情報を受け取ります。
- 読み込まれている JavaScript ファイル/モジュール
- 行われたアウトバウンド接続
- アプリケーションが使う Cookie の一覧
クライアント側セキュリティは、悪意ある JavaScript ドメインと URL の脅威フィード検出を使います。さらに、JavaScript ソースファイルをダウンロードし、機械学習分類器に通して悪意ある動作と活動を識別できます。結果は、JavaScript ファイルが悪意あるかどうかを示す JS Integrity Score です。クライアント側セキュリティは JavaScript ファイルの変更も検出できます。新しいリソースの識別、コード変更、悪意あるコード/ドメイン/URL など、異なる基準に基づいてメール、Webhook、PagerDuty によるアラートを設定できます。
コンテンツセキュリティルール を作成および適用し、次を含む特定種類の攻撃の検出と緩和を助ける追加のセキュリティを加えられます。
- コンテンツ/コードインジェクション
- クロスサイトスクリプティング（XSS）
- 悪意あるリソースの埋め込み
- 悪意ある iframe（クリックジャッキング）
製品: クライアント側セキュリティ
データ持ち出しは、悪意ある戦術または設定ミスのあるサービスを通じて機密データを取得するプロセスです。Cloudflare Sensitive Data Detection は、一般的なデータ損失の脅威に対処します。WAF 内で、これらのルールは特定の機密データ（金融情報や個人を特定できる情報など）のダウンロードを監視します。機密データの特定パターンが一致し、ログに記録されます。機密データ検出は API Shield とも統合され、機密データ一致を返す API 応答について顧客にアラートします。
製品: WAF - Sensitive Data Detection
クレデンシャルスタッフィングは、あるサービスでのデータ侵害から得た資格情報を使い、無関係な別サービスへのログインを試みるサイバー攻撃です。通常、自動化ツールまたはスクリプトが大量の盗まれた資格情報をループし、アカウント乗っ取りの可能性を高めるために追加データで補強することもあります。
Cloudflare Bot Management は、潜在的に悪意あるボットを検出するために使えます。Cloudflare のチャレンジは、疑わしいリクエストにチャレンジし、アクセスを得る自動試行を止めるためにも使えます。WAF ポリシーは、特定のリクエスト基準で攻撃を防ぐために使えます。さらに、Cloudflare の WAF と Exposed Credentials Check マネージドルールセットは、認証リクエストで使われる侵害された資格情報を検出できます。レート制限はリクエストをスロットルし、悪意あるクレデンシャルスタッフィング手法の効果を下げられます。
製品: Bot Management、WAF、Rate Limiting
ブルートフォース攻撃は、ランダムな文字を、時には一般的なパスワード候補と組み合わせて、パスワードまたは手がかりを推測しようとします。通常、自動化ツールまたはスクリプトが短時間で膨大な可能性をループします。
Cloudflare Bot Management は、潜在的に悪意あるボットを検出するために使えます。Cloudflare のチャレンジは、疑わしいリクエストにチャレンジし、自動ブルートフォース攻撃を止めるためにも使えます。WAF とレート制限ポリシーは、特定のリクエスト基準でアプリケーションのログインページに細かいポリシーを適用し、トラフィックをブロックまたはスロットルできます。
製品: Bot Management、WAF、Rate Limiting
クレジットカードスキミングは、ウェブサイトから支払い情報を抜き取る不正な手法です。クライアント側セキュリティは、悪意ある JavaScript ライブラリを使うクライアントや、既知の悪意あるドメインまたは URL への接続を検出できます。クライアント側セキュリティは、サイトで使われているファイル/コードの変更も検出し、コードが悪意あるかどうかを評価する JS Integrity Score を JavaScript ファイルに付けます。Content Security Policies（CSP）をデプロイし、ポジティブセキュリティモデルを強制できます。これらの機能は、侵害されたコードがクレジットカードスキミングなどの悪意ある動作を行うのを防げます。
製品: クライアント側セキュリティ
在庫買い占めは、悪意あるボットがオンラインで大量の商品を買い、正当な消費者が購入できないようにすることです。人為的な希少性、価格高騰、正当な顧客のアクセス妨害など、企業に多くの問題を引き起こせます。Cloudflare Bot Management は、潜在的に悪意あるボットを検出するために使えます。Cloudflare のチャレンジは、疑わしいリクエストにチャレンジし、自動プロセスを止めるためにも使えます。WAF ポリシーは、特定のリクエスト基準で攻撃を防ぐために使えます。
製品: Bot Management、WAF
ファジング ↗ は、悪意ある行為者が使う自動テスト手法で、さまざまなデータとパターンの組み合わせを使い、無効、不正形式、または予期しない入力をシステムに注入します。悪意あるユーザーは、その後悪用できる欠陥と脆弱性を見つけようとします。Cloudflare WAF は機械学習を活用し、セキュリティポリシーを迂回しようとするファジングベースの試みを検出します。WAF attack score はマネージドルールを補完し、攻撃の可能性を示します。
Bot Management は、脆弱性スキャンを自動化する潜在的に悪意あるボットを検出できます。API Shield では、スキーマ検証とシーケンス緩和を使い、API に対する自動スキャンとファジング手法を防げます。
製品: WAF、Bot Management、API Shield
クロスサイトスクリプティング（XSS）攻撃は、悪意あるスクリプトをウェブサイトに注入し、エンドユーザーのブラウザーがセッショントークン、Cookie、その他の情報などの機密ユーザー情報にアクセスするために使うインジェクション攻撃の一種です。
Cloudflare WAF は機械学習を活用してセキュリティポリシー迂回の試みを検出し、リクエストが XSS 攻撃である可能性を示す専用の WAF Attack Score を提供します。
製品: WAF
リモートコード実行（RCE）攻撃では、攻撃者が組織のコンピューターまたはネットワーク上で悪意あるコードを実行します。攻撃者制御のコードを実行できる能力は、追加マルウェアの展開や機密データの窃取など、さまざまな目的に使えます。
Cloudflare WAF は機械学習を活用してセキュリティポリシー迂回の試みを検出し、リクエストが RCE 攻撃である可能性を示す専用の WAF Attack Score を提供します。
製品: WAF
Structured Query Language Injection（SQLi）は、SQL データベースからデータを変更または取得するために使うコードインジェクション手法です。特殊な SQL 文を入力欄に挿入することで、攻撃者はデータベースからのデータ取得、機密データの破壊、その他の操作的な動作を許すコマンドを実行できます。
Cloudflare WAF は機械学習を活用してセキュリティポリシー迂回の試みを検出し、リクエストが SQLi 攻撃である可能性を示す専用の WAF Attack Score を提供します。
製品: WAF
マルウェアは、ウイルス、ワーム、トロイの木馬、ランサムウェア、スパイウェア、アドウェア、その他の有害なソフトウェアを指します。マルウェアの重要な区別は、意図的に悪意がある必要があることです。意図せず害を引き起こすソフトウェアはマルウェアとは見なされません。
Uploaded Content Scanning を有効にすると、コンテンツスキャンはアップロードされたファイルなどの項目を検出し、マルウェアなどの悪意あるシグネチャをスキャンしようとします。スキャン結果は追加のメタデータとともに WAF カスタムルールで使えるフィールドとして公開され、顧客はきめ細かい緩和ルールを実装できます。
製品: WAF - Uploaded Content Scanning
このドキュメントでは、いくつかの一般的な攻撃と、それぞれの脅威を検出および緩和するために使う Cloudflare 製品を扱いました。以下では、Cloudflare のアプリケーションおよびネットワークセキュリティポートフォリオ全体の各製品について、追加の詳細を示します。
Security Analytics は、Cloudflare のすべてのセキュリティ検出機能を 1 つのダッシュボードにまとめます。顧客は、緩和されたトラフィックと未緩和のトラフィック、攻撃トラフィック、ボットトラフィック、悪意あるコンテンツのアップロード試行、レート制限分析とアカウント乗っ取り分析の詳細について、すばやく把握できます。検出された脅威を表示するダッシュボードから、ボタン 1 つで緩和ポリシーを置けます。
Cloudflare WAF を使うと、顧客は非常に細かいリクエスト基準に基づくカスタムルールをデプロイし、特定の脅威を緩和したり、特定の HTTP 異常を持つリクエストをブロックしたりできます。さらに、顧客は Cloudflare マネージドルールをデプロイし、ゼロデイ攻撃、一般的な OWASP Top 10 攻撃、既知の漏洩資格情報を使うリクエスト、機密データを抽出するリクエストを緩和できます。
WAF Managed Rules では、次に対する即時保護を提供する事前設定済みマネージドルールセットをデプロイできます。
- ゼロデイ脆弱性
- 上位 10 の攻撃手法
- 盗まれた/露出した資格情報の使用
- 機密データの抽出
レート制限 は、ボリューム攻撃、クレデンシャルスタッフィング、Web スクレイピング、DoS 攻撃など、さまざまな攻撃の緩和に使えます。Cloudflare のレート制限では、式に一致するリクエストのレート制限と、それらのレート制限に達したときに実行するアクションを定義できます。レート制限は特定のリクエストまたはヘッダー基準に基づいて細かくでき、セッションまたは API トークンにも基づけます。指定レートを超えたときに、ログ、ブロック、チャレンジなどのアクションを設定できます。
制限を超えたあとにスロットルまたはブロックするタイミングを決めるカウンターとして使うリクエスト基準も設定できます。レート制限には 2 つの異なる動作を実装できます。
- 選択した期間ブロックする。レートを超えると、カウンターがリセットされるまで、WAF は選択した期間中のすべてのリクエストをブロックします。
- 設定した最大レートを超えるリクエストをスロットルする。WAF は設定レートを超えるリクエストをブロックし、残りのリクエストは許可します。この動作の比喩はスライディングウィンドウです。
Cloudflare の HTTP DDoS Attack Protection マネージドルールセットは、Cloudflare のグローバルネットワーク上でレイヤー 7（アプリケーション層）の既知の DDoS 攻撃ベクトルに一致させる事前設定ルールのセットです。ルールは、既知の攻撃パターンとツール、疑わしいパターン、プロトコル違反、オリジンエラーを大量に起こすリクエスト、オリジン/キャッシュに当たる過剰なトラフィック、アプリケーション層の追加攻撃ベクトルに一致します。Cloudflare はマネージドルールセット内のルール一覧を定期的に更新します。
API Shield は Cloudflare の API 管理およびセキュリティ製品です。API Shield は API ディスカバリーと分析による可視性を届け、エンドポイント管理を提供し、ポジティブセキュリティモデルを実装し、API の悪用を防ぎます。
API Gateway の API Discovery は、機械学習を使って顧客環境内のすべての API エンドポイントを学習します。このステップのあと、顧客はエンドポイントを Endpoint Management に保存し、追加の API パフォーマンスとエラー情報を収集し、セキュリティポリシーを適用できます。
顧客は mTLS、JWT 検証、スキーマ検証を使ってポジティブセキュリティモデルを有効にし、レート制限とボリューム悪用保護、シーケンス緩和、GraphQL 保護で追加の API 悪用から保護できます。
Bot Management は、Web スクレイピング、価格スクレイピング、在庫買い占め、クレデンシャルスタッフィングなど、さまざまな悪意ある活動の緩和に使います。Cloudflare は、ヒューリスティック、機械学習、異常検出、JS フィンガープリンティングを含む多層のボット緩和機能を持ちます。Bot Management はすべてのリクエストにボットスコアも割り当てます。ボットスコアを中心に WAF ルールを作成し、非常に細かいセキュリティポリシーを作れます。
さらに、望ましくないボット活動を疑う場合、Cloudflare はクライアントにチャレンジするアクションを取れます。Cloudflare は チャレンジ プラットフォームを提供し、リクエストの特性に基づいて適切な種類のチャレンジを動的に選びます。これにより、顧客体験を損なう CAPTCHA を避けられます。
リクエストの特性に応じて、Cloudflare は次を含むがこれらに限定されない適切な種類のチャレンジを選びます。
- 非対話型チャレンジ。
- カスタム対話型チャレンジ（ボタンをクリックするなど）。
- Private Access Tokens（最近の Apple オペレーティングシステムを使用）。
Turnstile により、Cloudflare は CAPTCHA から完全に離れました。Turnstile は Cloudflare のスマートな CAPTCHA 代替です。トラフィックを Cloudflare 経由で送らずに任意のウェブサイトに埋め込め、訪問者に CAPTCHA を見せずに動作します。Turnstile ではサイト上のどこでも、より邪魔にならない方法でチャレンジを実行でき、API で Cloudflare の Managed Challenge プラットフォームと通信します。
クライアント側セキュリティ（旧 Page Shield）は、ウェブサイト訪問者のブラウザー環境の安全性を確保し、Magecart のようなクライアント側攻撃から保護します。report-only ディレクティブ付きでデプロイした Content Security Policy（CSP）を使いブラウザーから情報を収集することで、クライアント側セキュリティはスクリプトなどの読み込みリソースを追跡し、ブラウザーが行う新しいリソースまたは接続を検出します。さらに、悪意あるドメインまたは URL からのスクリプト、またはブラウザーから悪意あるドメインまたは URL への接続を検出すると、顧客にアラートします。
クライアント側セキュリティは JavaScript ソースファイルをダウンロードし、機械学習分類器に通して悪意ある動作と活動を識別できます。結果は、JavaScript ファイルが悪意あるかどうかを示す JS Integrity Score です。
Cloudflare の SSL/TLS は、顧客の暗号化要件と証明書管理のニーズを満たす多くの機能を提供します。SSL/TLS 証明書は、ウェブサイトとアプリケーションがセキュアな接続を確立できるようにします。SSL/TLS により、ブラウザーなどのクライアントは接続先サーバーの真正性と完全性を検証し、暗号化を使って情報を交換できます。
Cloudflare のグローバルネットワークは、Cloudflare が提供するいくつかの製品とサービスの中核です。SSL/TLS の観点では、1 つのリクエストに実際には 2 つの証明書が関わることがあります。エッジ証明書とオリジン証明書です。
エッジ証明書は、顧客のウェブサイトまたはアプリケーションを訪れるクライアントに提示されます。オリジン証明書は、ネットワークの反対側、Cloudflare と顧客のウェブサイトまたはアプリケーションのオリジンサーバーの間のセキュリティと認証を保証します。SSL/TLS 暗号化モード は、Cloudflare がこれら両方の証明書を使うかどうか、およびその方法を制御し、異なるモードから選べます。
顧客はホスト名と API エンドポイントに 相互 Transport Layer Security（mTLS） を有効にし、有効な証明書を持つデバイスだけがアクセスできるようにして認証のセキュリティを強化できます。Authenticated Origin Pulls などの追加セキュリティ機能を設定し、オリジンサーバーへのリクエストが Cloudflare ネットワークから来ることを助けられます。Keyless SSL では、セキュリティを重視するクライアントが独自のカスタム証明書をアップロードし、TLS 秘密鍵を露出せずに Cloudflare の恩恵を受けられます。Cloudflare for SaaS では、顧客は自社顧客向けの証明書を発行および検証することもできます。
Cloudflare Security Center は、IT 資産を棚卸し、潜在的なセキュリティ問題を列挙し、フィッシングとスプーフィングのリスクを制御し、セキュリティチームが数クリックで脅威を調査および緩和できる攻撃面管理（ASM）を提供します。Security Center は、セキュリティアナリストがすべてのアプリケーション/ドメインにわたる潜在的な問題のグローバルビューを得るための良い出発点です。
提供される主な機能:
- ドメイン、ASN、IP などの IT インフラストラクチャ資産の棚卸しとレビュー。
- Cloudflare の IT 資産における設定ミスとリスクの常に最新のリストの管理。
- Cloudflare ネットワークから集めた脅威データを照会し、セキュリティリスクを調査および対応する。
- DMARC Management で、組織を代表してメールを送る人を完全に制御する。
独自の SaaS 製品を構築およびホストしている場合、Cloudflare for SaaS が関心の対象になることがあります。顧客は、独自のカスタムまたはバニティドメイン経由で、Cloudflare ネットワークのセキュリティとパフォーマンスの恩恵を自社顧客へ広げられます。Cloudflare for SaaS は複数の設定オプションを提供します。下の図では、カスタムホスト名は「fallback origin」と呼ばれるデフォルトオリジンサーバーへルーティングされます。
Magic Transit は、IP サブネット全体を DDoS 攻撃から保護し、サブ秒の脅威検出を提供しながらネットワークトラフィックも加速します。BGP、GRE、IPsec などの標準ベースのネットワーキングプロトコルをルーティングとカプセル化に使い、Cloudflare のグローバルネットワークで攻撃を緩和します。
オンプレミス、プライベート、またはパブリックホストのクラウド環境にあるすべてのネットワーク資産は、Cloudflare ネットワークの背後に置き、そこから広報することで容易に保護でき、over 405 Tbps network capacity を提供します。
Cloudflare WAN では、データセンター、オフィス、デバイス、クラウドプロパティなど、任意のトラフィックソースを Cloudflare のネットワークに安全に接続し、ルーティングポリシーを設定してビットを必要な場所へ届けられます。Cloudflare WAN は、anycast GRE および IPsec トンネル、Cloudflare Network Interconnect、Cloudflare Tunnel、Cloudflare One Client、さまざまなネットワークオンランプパートナーを含む、多様なオンランプに対応します。Cloudflare WAN は従来の SD-WAN アプライアンスへの依存を減らし、ベンダー固有のハードウェアまたはソフトウェアに頼らず、Cloudflare のグローバルネットワーク上でユーザー、オフィス、データセンター、ハイブリッドクラウドを安全に接続できます。
Cloudflare Network Firewall は、Cloudflare のグローバルネットワークから提供され、Magic Transit と Cloudflare WAN に統合されたファイアウォールアズアサービスソリューションです。本社、支店、仮想プライベートクラウドを含む、顧客の WAN 全体で一貫したネットワークセキュリティポリシーを強制できます。顧客は、プロトコル、ポート、IP アドレス、パケット長、ビットフィールド一致でグローバルにフィルターする細かいルールをデプロイできます。
Network Flow（旧 Magic Network Monitoring）は、顧客にエンドツーエンドのネットワークトラフィック可視性、DDoS 攻撃種類の識別、ボリュームトラフィックアラートを与えるクラウドネットワークフロー監視ソリューションです。DDoS 攻撃が検出されると、メール、Webhook、または PagerDuty でアラートを受け取れます。
Spectrum は、すべての TCP/UDP アプリケーションに Cloudflare の恩恵を広げ、L4 DDoS 保護を提供するリバースプロキシ製品です。Spectrum は IP ファイアウォールも提供し、顧客は IP または IP 範囲を拒否してアプリケーションサーバーへのトラフィックを細かく制御できます。指定した国、または自律システム番号（ASN）からの訪問者をブロックするルールも設定できます。
プライベートリソースは通常、非常に機密性が高く会社機密の情報を含み、法律と規制、またはデータの機密性の性質により、アクセスははるかに制限されます。従来、プライベートアプリケーションは、ユーザーが物理的にアクセスする必要がある社屋内のプライベートネットワーク上でのみアクセスできました。しかし今日だれもが知るように、プライベートリソースへのアクセスは幅広い場所から行う必要があり、逆説的に、プライベートアプリケーションは非常にパブリックな場所に置かれることがあります。ほとんどの SaaS アプリケーションはパブリックインターネットに露出しています。
プライベートリソースの典型的な属性は次のとおりです。
- ユーザーは事前に認可およびプロビジョニングされています。自分で登録するだけではいけません。証明書、グループメンバーシップ、ロール割り当てなどのアクセス制御メカニズム経由で、直接または間接にリソースへの特定アクセスを与えられる必要があります。
- セルフホストリソースへのネットワークアクセスは通常、過剰に管理されたプライベートネットワークルート経由であり、一般インターネットからはアクセスできません。
- データセンター（物理または仮想）に置かれるプライベートリソースは、企業がホストおよび管理するネットワークに接続され、オンプレミスまたはパブリッククラウドインフラストラクチャ上で動く仮想プライベートネットワークです。
前述のとおり、プライベートリソースへの従来のアクセスは、イーサネット経由でオフィスに接続することでネットワークへ物理アクセスすることを必要としました。リモートアクセスのニーズが増えると、企業はオンプレミスの VPN サーバーを設置し、ユーザーとデバイスがこれらのプライベートネットワークへ「ダイヤルイン」できるようにしました。多くのアプリケーションはこれらのプライベートネットワークを離れ、代わりに SaaS アプリケーションへ移行するか、パブリッククラウドインフラストラクチャでホストされています。この従来のアプローチは管理不能で高価になり、さまざまな技術がネットワーク接続とアクセス制御を提供しています。
もう 1 つ重要な点は、パブリックリソースの保護と接続に使う多くのサービスが、プライベートリソースにも使えることです。最も明らかなのは Cloudflare WAN と Cloudflare Network Firewall です。顧客は、プライベートネットワーク経由でのみアクセスできるプライベートホストアプリケーションの前にも WAF を使います。考え方は、アプリケーションへのアクセスが信頼されたプライベート接続からのみであっても、信頼されているように見えるデバイスを攻撃者が侵害することは依然可能であり、したがって既存の信頼されたネットワークアクセスを持つデバイスがアプリケーションインジェクション攻撃やその他の脆弱性を悪用できる、というものです。これはまさにゼロトラストセキュリティプログラムの考え方に沿います。SASE プラットフォームを使ったゼロトラストへのアプローチの詳細は、SASE リファレンスアーキテクチャ を参照してください。
次の Cloudflare サービスを説明するなかで、Cloudflare のネットワークと、それを自社のプライベートネットワークに接続する方法が、プライベートリソースへのアクセスに対してより大きなセキュリティ、柔軟性、より中央集権的なコントロールプレーンを提供することを学びます。次の図は、典型的な顧客のプライベートインフラストラクチャを表す環境を示します。
内部リソースの保護は、次の領域に分けられます。
- ユーザーとアプリケーション/ネットワークの間の接続の保護。
- 認証を提供し、ユーザー ID とグループメンバーシップを維持する ID システム。
- アプリケーション/データへのユーザーアクセスを制御するポリシー。
- 機密および社外秘データを識別および保護するデータ保護制御。
- インターネットアクセスから生じる攻撃（マルウェア、フィッシングなど）からユーザーとデバイスを保護する。
- IT およびセキュリティチーム向けの運用可視性。
多くのプライベートホストアプリケーションとネットワークは、インターネットへの直接接続を持ちません。前述のとおり、アクセスは従来 2 つの方法のいずれかで有効になっていました。1 つは、ユーザーがプライベートリソースと同じネットワークに物理的に接続すること、つまりオフィスに入りオフィス Wi-Fi に接続することです。もう 1 つは、インターネット上に仮想プライベートネットワーク（VPN）接続を作り、プライベートな会社ネットワークへ「ダイヤルイン」することです。
しかし、今日のニーズは同じです。プライベートアプリケーションを持つプライベートネットワークがあり、リモートユーザーがアクセスを必要とします。Cloudflare を新しい企業ネットワークと見なすべきです。すべての認可されたユーザー（従業員、請負業者、パートナー）が、どこからでも任意のプライベートアプリケーションに接続できます。つまり、ネットワークトポロジーでは Cloudflare が中央にあり、すべてのネットワークから互いへの接続を提供します。
上の図では、さまざまなプライベートネットワークとエンドユーザーデバイスが Cloudflare に接続し、Cloudflare がそれらのネットワーク間、したがってアプリケーションとその他のリソースの間のルーティングとアクセス制御を担います。これはしばしば East to West トラフィックと呼ばれます。トラフィックがプライベート管理ネットワークから発生し、そこへ向かうためです。
すべてのネットワークトラフィックが Cloudflare を通るため、セキュリティ制御は定義され、ネットワーク間を流れるすべてのトラフィックに適用されます。ネットワーク、デバイス、またはユーザーが Cloudflare に接続している限り、それを識別しポリシーを適用できます。データ保護も簡潔になります。機密データへの転送とアクセスを検出する単一ルールを実装し、ネットワーク全体に容易に適用できます。
既存のプライベートインフラストラクチャは複雑になりえます。Cloudflare は、企業がネットワークとユーザーデバイスをこの新しい企業ネットワークへ接続する方法を複数提供します。これらの方法をしばしば「オンランプ」と呼び、特定のネットワークまたはデバイスのトラフィックが Cloudflare へどうルーティングされるかを表します。次の表はこれらの異なる方法を示します。
| 方法 | 説明 | 一般的な用途 |
|---|---|---|
| Cloudflare WAN | ネットワーキングデバイスから Cloudflare への IPsec または GRE トンネル。ネットワークトラフィック全体をルーティングします。 | 既存のネットワークルーターを Cloudflare に接続します。ネットワークへの出入りすべてのトラフィックを Cloudflare 経由にします。 |
| Cloudflare One Appliance | ネットワーキングデバイスから Cloudflare へのアプライアンスベースの IPsec または GRE トンネル。ネットワークトラフィック全体をルーティングします。 | Cloudflare WAN と同じ技術を使いますが、既存のネットワーキングデバイスではなく、専用アプライアンスまたは仮想マシン（Cloudflare One Appliance）を使います。 |
| cloudflared | サーバー上、または Kubernetes などのサービスと並んでデプロイするソフトウェアエージェント。プライベートアプリケーションまたはネットワークへの受信接続向けトンネルを作成します。 | IT 管理者またはアプリケーション所有者がこのトンネルソフトウェアを容易にインストールし、アプリケーションを Cloudflare ネットワークに公開できます。 |
| Cloudflare Mesh | サーバー上にデプロイするソフトウェアエージェント。プライベートアプリケーションまたはネットワークへの受信および送信接続向けトンネルを作成します。 | cloudflared に似ていますが、East to West トラフィックに対応し、既存デバイスから IPsec トンネルを作れないときに Cloudflare WAN の代わりによく使われます。 |
| WARP Desktop Agent | ユーザーデバイス上にデプロイするソフトウェアエージェント。プライベートアプリケーションおよびネットワークとの間のトラフィック向けトンネルを作成します。 | スマートフォンやノート PC などのエンドユーザーデバイスを Cloudflare ネットワークの一部にします。 |
| Cloudflare Network Interconnect ↗ | 物理ネットワークと Cloudflare の間の直接接続です。 | アプリケーションが当社が運用するのと同じデータセンターにあるとき、それらのネットワークを Cloudflare に直接接続できます。 |
これらの方法の詳細は、SASE リファレンスアーキテクチャ を参照してください。
上記の方法はすべて、ネットワークとアプリケーションを Cloudflare に接続するためのものです。一部のユーザーはそれらのネットワークに直接接続したデバイス上にいます。企業本社にいる場合も、支店や小売拠点で働いている場合もあります。しかし、多くのユーザーは自宅、カフェ、飛行機の中で働いています。Cloudflare はユーザーを Cloudflare に接続する方法を次のように提供します。これはユーザーデバイスに VPN クライアントをインストールするのと同じ考え方ですが、接続先は自社の VPN アプライアンスではなく当社のグローバルネットワークです。
最良のユーザー体験と最大のアクセス制御のため、デバイスに デバイスエージェント をデプロイすることを推奨します。Windows、macOS、Linux、iOS、Android に対応し、エージェントは 2 つの主な役割を果たします。まず、デバイスからのすべてのトラフィックを Cloudflare へルーティングし、既存の接続済みプライベートネットワークとアプリケーションへのアクセスを可能にします。次に、エージェントはオペレーティングシステムバージョン、暗号化ストレージの状態などのデバイスポスチャー情報を提供します。この情報は認証済みユーザーに関連付けられ、アクセス制御ポリシーの一部として使えます。エージェントは手動インストールできますが、ほとんどの企業はデバイス管理（MDM）ソフトウェアでデプロイします。
エンドユーザーデバイスにソフトウェアをインストールできない場合があります。そのような場合、Cloudflare はブラウザーがトラフィックを Cloudflare へオンランプするよう設定できるプロキシエンドポイントを提供します。これはエンドユーザーが手動で行うか、自動ブラウザー設定 ファイルを使います。
エンドデバイスを一切変更できない状況もあります。そのような場合、エッジネットワーク上で直接動くブラウザーにユーザーがアクセスできるようにします。この ブラウザー分離サービス では、ユーザーがブラウザーを Cloudflare の URL に向ける必要があり、エッジサーバーの 1 台でヘッドレスでセキュアなブラウザーが動きます。その後、HTTPS と WebRTC 接続上でセキュアなベクトルが使われます。詳細は このアーキテクチャ を参照してください。
ユーザーは自分で登録してプライベートリソースにアクセスすることはできません。ID と関連資格情報は通常、企業の ID プロバイダー（IdP）で作成および管理されます。Cloudflare は 企業およびコンシューマーベースの ID サービス と統合し、メールアドレスだけでユーザーを認証する必要があるときに使う、メール経由のシンプルなワンタイムパスワード（OTP）も提供します。
Cloudflare は、同じ種類を含む複数の ID プロバイダーとの統合に対応します。従業員向けに Okta インスタンスを管理していても、別の Okta インスタンスを持つ別会社を買収した場合、両方を Cloudflare と統合できます。Cloudflare はその後、SSO プロセスのプロキシとして動作します。アプリケーションは SAML と OIDC を使って Cloudflare で認証するよう設定され、Cloudflare は統合済み IdP の認証フローへユーザーをリダイレクトします。グループ情報は SCIM 経由で Cloudflare に同期し、アクセス制御ポリシーで使えます。
ID を共通のアクセス制御層へ中央集権化することで、ネットワーク全体に適用できる、明確に定義され容易に管理できるポリシーを構築できます。その後ある IdP から別ベンダーへ移行する場合でも、Cloudflare との 1 つの ID 統合だけを変更すれば、下流アプリケーションと既存ポリシーは引き続き動作します。
このドキュメントの焦点はセキュリティです。アプリケーション、デバイス、ID、ネットワークがすべて接続された今、ネットワーク上の任意のリソースへ、およびインターネットへ向かうすべてのリクエストは、Cloudflare のアクセス制御とファイアウォールサービスの対象です。トラフィックにポリシーベースの制御を適用するサービスは 2 つあります。
- Zero Trust Network Access: Access 製品は、プライベートと見なされる特定のネットワークまたはアプリケーションへのアクセスを管理します。既存の ID プロバイダー経由のユーザー認証、またはサービストークンや mTLS 経由のほかのアプリケーション向け認証を強制します。
- Secure Web Gateway: Gateway 製品はトラフィックを分析し、宛先に関係なくポリシーを適用します。最も一般的には、インターネット向けトラフィックの許可、ブロック、または分離に使います。SaaS アプリケーションへのアクセス制御にも使えますが、Cloudflare を流れる任意のトラフィックを Gateway が検査し対処できます。したがって、インターネットではないプライベートトンネルアプリケーションに追加のアクセス制御を加えるためにも使えます。
これら両方の技術を組み合わせ、プライベートアプリケーションへの適切なアクセスを確保できます。デバイスエージェント をインストールしたユーザーでは、ポリシーにデバイスレベルの要件も含められます。ID データと組み合わせると、たとえば内部データベース管理ツールへのアクセスを制御する次のようなポリシーを書けます。
- ユーザーは会社の IdP 経由で認証し、認証の一部として MFA を使っている必要がある
- ユーザーは IdP の「Database Administrators」グループに属している必要がある
- ユーザーデバイスの Crowdstrike リスクスコアは 70 より上である必要がある
- ユーザーデバイスはオペレーティングシステムの最新リリースである必要がある
複数ポリシーに適用できるユーザーのアクセスグループを定義できます。これにより、IT およびセキュリティ管理者は、セキュアな管理者がどのようなものかの単一定義を作り、多くのポリシーで再利用できます。
すべてのトラフィックが Cloudflare を流れるため、すべてのデータも Cloudflare を流れます。これにより、そのトラフィックにデータ制御を適用できます。通常、従業員は管理対象デバイス上でのみ機密アプリケーションとデータへのアクセスを許可されます。デバイスエージェントは Cloudflare 証明書をインストールし、Cloudflare が当社ネットワーク上で SSL 接続を終端できるようにします。これにより HTTPS Web トラフィックの内容を検査でき、そのデータを管理および保護するポリシーを書けます。
Cloudflare には、機密データを識別するために使えるプロファイルを定義する データ損失防止（DLP）サービスがあります。これらのプロファイルは Gateway ポリシーで使われ、特定のトラフィックに一致させ、許可、ブロック、または分離します。
同じ DLP プロファイルは Cloud Access Security Broker（CASB）サービスでも使えます。Cloudflare は API 経由で SaaS アプリケーションと統合されます。その後、それらのアプリケーションのストレージと設定をスキャンし、設定ミスや公開露出した機密データを探します。
このセクションの多くは、プライベートネットワークとアプリケーションへのアクセス保護に焦点を当ててきましたが、企業は従業員とそのデバイスも保護する必要があります。セキュア Web ゲートウェイ（SWG）サービスは、Cloudflare に接続したユーザーと、アクセスしようとしているパブリックおよびプライベートの任意のリソースの間に座ります。高リスクなウェブサイトや、マルウェアを配布することが知られているサイトへの従業員アクセスを防ぐポリシーを書けます。フィッシングキャンペーンの一部であることが知られているドメインとウェブサイトへのアクセスをブロックし、フィッシング攻撃を緩和するポリシーも書けます。インターネット脅威からユーザーとデバイスを保護することは、同じユーザーとデバイスがプライベートリソースにアクセスする関連リスクも下げます。
保護すべきもう 1 つの重要なプライベートリソースはメールです。組織全体の機密通信を含むため、最もプライベートなリソースの 1 つであることがよくあります。主にフィッシング攻撃により、一般的な攻撃面でもあります。Email security ↗（CES）は従業員の受信トレイ内のすべてのメールを検査し、なりすまし、悪意ある、または疑わしいメールを検出し、それに応じて動作するよう設定できます。CES は、ドメインの MX レコードを変更し、すべてのメールを Cloudflare 経由にリダイレクトすることで統合できます。もう 1 つのオプションは、Microsoft と Google 向けに API 経由で統合し、すでにユーザーの受信トレイにあるメールを検査することです。疑わしいメールでは、メール内のリンクが Cloudflare の ブラウザー分離サービス を使うよう書き換えられます。ユーザーがそのウェブサイトへ行くとき、ブラウザーで動いている可能性のある悪意あるコードからローカルマシンが保護されます。
リソースがプライベートかパブリックかに関係なく、何が起きているかの可視性は重要です。Cloudflare の管理ダッシュボードには、すばやく概要を得るための幅広い組み込みダッシュボードとレポートがあります。重要なイベントを、メールまたは PagerDuty などのサービス経由で管理者に知らせる通知も設定できます。
すべての Cloudflare サービスは、活動の詳細なログを提供します。これらのログは、ログシッピング統合経由でほかのセキュリティ監視または SIEM ツールへエクスポートすることもできます。AWS、Datadog、Splunk、New Relic、Sumo Logic などの一般的なサービス向けの組み込み統合があります。Azure と Google ストレージ、Amazon S3 および S3 互換サービスへの汎用ログ配信にも対応しています。
まとめると、次の図は Cloudflare の SASE サービスがプライベートリソースへのアクセスをどう接続し保護するかを示します。より深いレビューは、SASE リファレンスアーキテクチャ を参照してください。
Cloudflare の多くのセキュリティサービスは、Developer Platform を支える V8 Isolates ↗ ベースの高度に最適化されたサーバーレスコンピュートプラットフォーム上に構築されています。すべてのサービスと同様に、サーバーレスコンピュートワークロードはグローバルネットワークのすべてのサーバーで動きます。セキュリティサービスは幅広い機能を提供しますが、顧客は常に独自のカスタムソリューションを書く究極の柔軟性を求めます。したがって顧客は Cloudflare Workers と付随サービス（R2、D1、KV、Queues）を使い、リソースとの間を流れるネットワークトラフィックと対話し、複雑なセキュリティロジックを実装できます。
次のユースケースは、顧客のセキュリティチームが Developer Platform ↗ をどう使ったかを示します。
- ZTNA サービスである Cloudflare Access では、プライベートリソースへのアクセスリクエストに Cloudflare Worker の呼び出しを含め、ユーザーについて分かっているすべてを渡せます。その後、アクセスを決めるカスタムビジネスロジックを実装できます。例:
- 従業員の勤務時間中だけアクセスを許可する。従業員システムへの API 呼び出しで確認する。
- PagerDuty でインシデントが宣言されている場合だけアクセスを許可する。
- ボット向けハニーポットを実装する: Workers は Cloudflare で保護された任意のリソースのルートに付けられるため、リクエストのボットスコアを調べ、正当なトラフィックではないと疑う場合にリクエストをリダイレクトまたは変更できます。たとえば、リクエストを実行するが、データを保護するために応答を修正して情報を伏せたり値を変えたりします。
- 複雑な Web Application Firewall（WAF）型のルールを書く: 前述のとおり、WAF は公開アプリケーションの保護に非常に強力です。しかし Workers では、すべてのリクエストのメタデータを公開する IncomingRequestCfProperties で提供される情報に基づき、非常に複雑なルールを書けます。これらのプロパティは広範な情報を含み、効果的なルール実装のためにコードとして表現できます。
- 追加のセキュリティ情報でトラフィックを強化する: 下流アプリケーションの前にほかのセキュリティ製品がある場合や、特定の HTTP ヘッダーがある場合に追加のセキュリティを提供する場合があります。Workers を使い、アプリケーションへの任意のリクエストを強化し、下流アプリケーションがより大きなセキュリティ制御を実装できるようヘッダーを追加できます。
- 独自の認証サービスを書く: 一部の顧客には極端な要件があり、Workers の力により、当社が自社製品スイートで行ったように、認証スタック全体を書けます。ある顧客は まさにこれを行いました ↗。一般的ではありませんが、Cloudflare を使う柔軟性の例です。自分で書く複雑なコードと自社製品を組み合わせ、まさに正しいセキュリティ成果に細かく合わせられます。
セキュリティ制御の一部を Workers で実装する利点は次のとおりです。
- 高度なロジックとテスト容易性: ユニットテストで容易にテストできる、非常に高度なロジックの実装を可能にします。
- 開発者へのアクセスしやすさ: JavaScript、TypeScript、Rust、Python などの言語でのネイティブサポートにより、開発者の慣れに沿い、より広い層がセキュリティ機能にアクセスできます。
- 粒度と柔軟性: 正規表現、JSON パース、Cloudflare が強化したリクエスト/応答ヘッダーおよびボディへの容易なアクセスを支え、比類ない粒度を提供します。リクエスト/応答の任意の機能に基づいてポリシーを設計できます。
- 応答の変更: 従来のセキュリティスタックはリクエストだけに焦点を当てることが多いですが、Workers は応答の変更を容易にします。たとえば、冗長なエラーメッセージを伏せてセキュリティを高められます。
- DevSecOps ライフサイクルの実装: Workers は、バージョン管理、コード監査、自動テスト、段階的ロールアウト、ロールバック能力などの DevSecOps のベストプラクティスに従いやすくします。
ただし、次も考慮してください。
- コスト: リクエストプロセスに Workers を追加すると、追加コストが発生します。ただし、セキュリティ成果が非常に有益なシナリオでは受け入れられる場合があります。
- 遅延: 最小限ですが、すべてのリクエストで独自ロジックを実行するため、トラフィック遅延への影響は常にあります。
- 開発者スキルセットが必要: 少し明らかですが、言及する価値があります。Workers を使うには、実装したコードを作成、テスト、維持する開発チームが必要です。
Workers プラットフォームを セキュリティ または 認証 のユースケースにどう使えるかの例を確認できます。
これで、Cloudflare ネットワークの巨大な規模、その保護と運用の方法、事業資産を保護するために使える幅広いサービスをよく理解できたはずです。当社はネットワーキングとセキュリティの未来を構築しており、事業をよりよく保護するために当社のサービスを検討するようお勧めします。
まとめると、事業のセキュリティに Cloudflare を使う利点は次のとおりです。
- パブリックかプライベートかを問わず、すべての事業資産を保護する。
- 単一プラットフォーム上の包括的なセキュリティサービスを活用する。
- 高性能で信頼性の高い大規模ネットワークに頼る。
- セキュリティ制御を 1 回、単一ダッシュボードで実装し、どこからのトラフィックにも影響する。
- 完全な API と Terraform サポートで DevSecOps チームを支える。
多くのサービスを無料で評価できる、非常にシンプルな セルフサービス登録 ↗ があります。専門チームと協力して Cloudflare を評価したい場合は、お問い合わせ ↗ください。