Cloudforce One は、Cloudflare の Threat Intelligence Platform（TIP）です。Cloudflare のテレメトリから脅威データを収集・相関し、可視化、自動ルール、アナリストがレビューしたインテリジェンスとして提示します。
Security Operations Center（SOC ↗）チームは、Cloudforce One で脅威を調査し、攻撃者を追跡し、ファイアウォールルールの適用やインジケーターのエクスポートなどの対応を行います。
Cloudforce One にアクセスする手順は次のとおりです。
-
Cloudflare ダッシュボードで Threat intelligence ページを開きます。
Threat intelligence を開く ↗
Cloudforce One は REST API でも使えます。
Threat Intelligence ページには 4 つのセクションがあります。
- Threat Events — Cloudflare ネットワーク全体で収集した脅威インテリジェンスデータを表示し、分析します。
- Priority Intelligence Requirements (PIRs) — 組織が追跡すべきインテリジェンストピックを定義します。PIR は、脅威カバー範囲のギャップを見つけるのに役立ちます。
- Requests for Information (RFIs) — Cloudforce One の分析チームへ具体的な問い合わせを送ります。
- Reports — Cloudforce One が公開した最新の脅威レポートを読みます。
脅威イベントは、Cloudflare ネットワーク上で観測された Cloudflare テレメトリと脅威アクターの活動を表します。自組織や自業界を狙う脅威の調査に使います。
脅威イベントにアクセスするには、Cloudflare ダッシュボードの Threat intelligence ページを開きます。
Threat intelligence を開く ↗脅威イベントは API でも取得できます。
Cloudforce One のお客様は、次のデータセットを利用できます。
Cloudflare ダッシュボードでは、次の可視化を提供します。
- Sankey diagrams — 発生元と標的にわたる攻撃の分布を可視化するフロー図です。発生元インフラから標的までの攻撃の流れを追うために使います。
- Industry distribution — キャンペーンが自業界（金融や小売など）を狙っているかを確認します。
グローバルデータセットを横断して、次のような特定のインジケーターを検索できます。
- IP アドレスとドメイン
- ファイルハッシュ
- JA3 fingerprints — 異なる宛先にわたって特定の SSL/TLS クライアントをプロファイルするための TLS クライアントフィンガープリント
- Threat insights — イベントを特定のキャンペーンや脅威アクター名（例: APT28）に紐づけます。
- Saved views — 繰り返し行う脅威イベント調査向けに、カスタムフィルターを保存します。
- Automated rules — 脅威データからセキュリティルールを生成し、Cloudflare の WAF またはファイアウォールへ適用します。
- STIX2 ↗ exports — サードパーティの SIEM ↗（Security Information and Event Management）または SOAR（Security Orchestration, Automation, and Response）プラットフォームと連携できるよう、脅威インテリジェンスを STIX2 形式でエクスポートします。
Cloudflare の AI Agent である Cloudy を使い、脅威イベントの分析と要約を受け取れます。
Cloudy で脅威イベントを分析する手順は次のとおりです。
-
Cloudflare ダッシュボードで Threat intelligence ページを開きます。
Threat intelligence を開く ↗ -
Threat Events > Analyze with Cloudy を開きます。
Cloudy は主要な脅威イベントを表示し、分析して、脅威イベントの要約を返します。Attacker や Indicator などを基準にした分析も選べます。たとえば「ABC Attacker の脅威イベントの要約をください」と入力すると、Cloudy は ABC attacker の脅威イベントを要約します。
RFI（Request for Information）を送信する手順は次のとおりです。
-
Cloudflare ダッシュボードで Threat Intelligence ページを開きます。
Threat intelligence を開く ↗ -
Requests for Information を選びます。
-
New Request を選びます。
-
必須項目を入力し、Save を選びます。
RFI の種類一覧
Request for Information を送信するときに選べるリクエスト種別は次のとおりです。
-
Binary Analysis - IOCs: マルウェアを概観分析し、コールバックドメイン（マルウェアが通信するドメイン）や IP アドレスなどの indicators of compromise（IOC） ↗ を作成します。
-
Binary Analysis - Report: マルウェア検体の詳細分析です。レポートには帰属評価（可能性の高い脅威アクターの特定）が含まれ、さらに分析できるよう検体の設定も抽出します。インシデントを調査しているときや、Endpoint Detection and Response（EDR ↗）ツールまたはネットワークセンサーで検知ロジックを作るときに使います。
-
DDoS Attack: 特定のウェブサイトに対する DDoS 攻撃 ↗ が発生しているかを確認します。応答には、利用可能なインジケーターと帰属の手がかりが含まれます。
-
Indicator Analysis - IOCs: DNS ルックアップ、オリジンのピボット、アカウントのピボットを行い、DNS 解決、オリジン IP、サブドメインなどのインジケーターを提供します。分析には、アカウント登録の傾向や被害者分析（誰が狙われたか）も含められます。
-
Indicator Analysis - Report: インジケーターを正式な構造化形式で書いた詳細分析です。IOC ↗ の一覧に加え、IOC が攻撃チェーン内でどう機能するか、特定のキャンペーン、脅威アクター、その TTP（Tactics, Techniques, and Procedures）との関連を説明します。
-
Passive DNS Resolution: 指定期間中に、ある IP アドレスが解決されていたドメインとの過去の対応を検索します。
-
Strategic Threat Research: 脅威アクターや業界を横断する、より広い長期トレンドの分析です。オープンソースインテリジェンスで補完し、すぐ使えるインジケーターよりも、経営や計画の判断材料を目的とします。
-
Threat Detection Signature - IOCs: 検体、振る舞い、またはネットワーク上の観測対象（IP アドレス、ドメイン、ファイルハッシュ、HTTP リクエスト属性など）を識別する検知ルール（YARA ↗ ルールなど）を作成します。
-
Threat Detection Signature - Report: 脅威検知アラートを調査する詳細分析です。対応の優先順位を付ける必要があるときや、活動を脅威アクターに帰属させたいときに使います。
-
Traffic Analysis - IOCs: 対象 IOC に関する HTTP テレメトリを確認します。応答には、被害国や、場合によっては被害者の Autonomous System Number（ASN）を含む、関連するサニタイズ済みトラフィックが含まれます。悪意のあるファイル、ペイロード、通常と異なるファイルパスやリクエストパターンも特定します。
-
Traffic Analysis - Report: HTTP テレメトリを分析し、パターン、異常、悪意ある振る舞いの兆候を特定します。観測されたネットワーク振る舞いの文脈を示し、特定の脅威グループの既知の TTP に対応づけます。
-
Vulnerability: 脆弱性の悪用を脅威アクターに帰属させる調査、または特定の脆弱性を悪用している IP、ドメイン、脅威アクターグループを特定する調査です。応答には、悪用を示すサニタイズ済みトラフィックや、被害国・業界の特定を含められます。
Save を選ぶと、ダッシュボードは共有した情報の概要を表示します。内容は次のとおりです。
- Status: RFI を送信した直後のステータスは
Openです。チームが RFI を受け付けるとAcceptに変わります。チームが回答を確約するとCompleteに変わります。 - Priority: リクエストの優先度です。
- Request type: DDoS Attack、Passive DNS Resolution など、用意されたリクエスト種別から選びます。
- Request content: リクエストの本文です。
Responses セクションでは、確認の質問やコメントを追加できます。
RFI を確認するには、サイドバーの Cloudforce One Requests を選び、対象の RFI を見つけて View を選びます。ここから Edit を選んで、既存の RFI を編集することもできます。
RFI を削除できるのは、ステータスが Open のときだけです。削除したい RFI を開き、Delete を選びます。ポップアップで Delete を選んで削除を確定します。Cloudflare が RFI を受け付けて処理を始めると、削除できなくなります。
添付ファイルのアップロードとダウンロードもできます。
Attachments でアップロードするファイルを選び、Save を選びます。
添付ファイルをダウンロードするには、対象の添付で Download を選びます。
Cloudforce One を使い、セキュリティ体制を改善したり、過去のインシデントから復旧したりできます。
-
Cloudflare ダッシュボード ↗ で Application security > Incident Response を開きます。
-
Choose service: サービスの 1 つを選びます。
-
Provide request details:
- 選んだサービスに必要な情報を入力し、Next を選びます。
- リクエストを確認し、Submit を選びます。
- リクエストを送信すると、Cloudforce One チームが応答します。
進行中のサイバー攻撃を止めたい場合は、Cloudflare ダッシュボードから支援を依頼できます。
- Cloudflare ダッシュボードで Account home ページを開き、アカウントを選びます。
- 上部バーで Support > Get help > Under attack を選びます。
- Request help to stop active cyberattacks で Request help を選びます。
- ポップアップが表示されるので、電話番号を入力して確認します。
- 電話番号を入力したら、Confirm number and request help を選びます。ダッシュボードから支援を依頼すると、インシデントレスポンダーにページが送られ、できるだけ早く折り返しの電話があります。折り返しを待ち、10 分以内に連絡がない場合にだけ電話回線を使うことを推奨します。