Security Analytics

Security Analytics は、ドメインへの受信 HTTP リクエストすべてに関する情報を表示します。Cloudflare のセキュリティ製品が処理しなかったリクエストも含みます。セキュリティルールが発動したリクエストだけでなく、トラフィック全体のプロファイルを把握できます。

デフォルトでは、Security Analytics はエンドユーザーからのリクエスト（Cloudflare 製品が生成したリクエストではなく、サイトへの直接リクエスト）を表示します。Cloudflare Workers のサブリクエストが生成したリクエストは含まれません。

Security Analytics ダッシュボードでは、次のことができます。

• ドメインのトラフィック分布を確認する。
• Cloudflare のセキュリティ製品がどのトラフィックを緩和しているか、緩和されていないトラフィックがどこから配信されているか（Cloudflare グローバルネットワークまたはオリジンサーバー ↗）を把握する。
• 不審なトラフィックを分析し、適用したフィルターに基づいて WAF カスタムルールを作成する。
• 自トラフィックの実データで、Cloudflare のセキュリティスコア（攻撃スコア（attack score）、ボットスコア、悪意のあるアップロード、漏洩認証情報の結果）を確認する。
• Ref、カテゴリ、WAF Attack Score ごとに攻撃シグネチャの一致を分析する。
• 受信トラフィックに適切なレート制限を見つける。
• 不審なトラフィックを分析する（新しいセキュリティダッシュボードのみ）。

Security Analytics は、Cloudflare が対処したかどうかにかかわらず、すべてのトラフィックを表示します。Cloudflare のセキュリティ製品が対処またはフラグ付けしたリクエストを探す場合は、代わりに Security Events を参照してください。

ゾーン / ドメインレベルの分析は、すべてのプランに含まれます。保持期間、クエリ期間、表示される統計、フィルターオプションはプランによって異なります。アカウントレベルの分析は、Business および Enterprise のドメインプランのお客様のみ利用できます。

Security Analytics を使う手順は次のとおりです。

フィルター条件を手入力して、分析の範囲を調整します。フィールド値で絞り込むには、フィルター または 除外 を選択することもできます。これらのボタンは、分析データの凡例にカーソルを合わせると表示されます。

フィルターを手入力で追加する手順は次のとおりです。

フィルター値を入力するときは、次の点に注意してください。

• 値を引用符で囲まないでください。
• ASN 番号を入力するときは、AS プレフィックスを付けないでください。たとえば AS1423 ではなく 1423 と入力します。
• ワイルドカードはサポートしていません。

過去 24 時間 のドロップダウンリストから、分析したい期間を選択します。

Security Analytics で適用したフィルターに基づく式で カスタムルール を作成するには、メインチャートの上にある カスタムセキュリティルールを作成 を選択します。

新しいセキュリティダッシュボード と旧ダッシュボードにはいくつかの違いがあります。Security Analytics ページ上の各セクションの並びも異なります。

不審なアクティビティのセクションでは、有効にしている Cloudflare の検出機能が特定した不審なリクエストの情報を確認できます。対応している検出は次のとおりです。

• アカウントテイクオーバー
• 漏洩認証情報チェック（ユーザーとパスワードの両方が漏洩している場合のみ）
• 悪意のあるアップロード
• WAF 攻撃スコア
• AI Security for Apps

各不審アクティビティは、重大（critical）から低（low）までの重大度スコアで分類されます。さらに調べるには、フィルターオプションを使えます。

メインチャートは、選択したタブに応じて、選択期間の次のデータを表示します。

• トラフィック分析: Cloudflare のセキュリティプラットフォームが緩和したトラフィック、Cloudflare が配信したトラフィック、オリジンサーバーが配信したトラフィックを、次の分類で表示します。

  • WAF による緩和: WAF や HTTP DDoS 防御など、Cloudflare のアプリケーションセキュリティ製品がブロックまたはチャレンジしたリクエスト。Log、Skip、Allow のアクションのリクエストは、緩和として数えません。
  • Cloudflare が配信: キャッシュ済みコンテンツやリダイレクトなど、Cloudflare グローバルネットワークが配信したリクエスト。
  • オリジンが配信: オリジンサーバーが配信したリクエスト。

• 攻撃分析: 受信リクエストの WAF 攻撃スコア と攻撃シグネチャの分析です。

• ボット分析: 受信リクエストのボットスコア分析です。自動化、自動化の可能性が高い、人間の可能性が高い、検証済みボット に分類します。

• リクエストレート分析: 選択したフィルターと期間に一致するトラフィックのリクエストレートを表示します。適用したフィルターに一致する受信トラフィックの適切なレート制限を見つけるときに、このタブを使います。

• Cloudy analysis（ベータ）: 自然言語でデータを問い合わせ、アプリケーションセキュリティに関する洞察を得ます。詳しくは、ブログ記事 ↗ を参照してください。

このセクションは、受信リクエストに関する上位の統計を示します。セキュリティ分析でよく使うプロパティを強調します。

各値の横にある フィルター または 除外 を選択すると、一部の上位値を絞り込んだり除外したりできます。

追加の上位統計を表示するには、その他の上位統計 を選択します。

表示されるインサイトは、セキュリティ分析でよく使うフィルターの統計です。これらのフィルターは、表示データにすぐには適用されません。

1 つ以上のインサイトで値が高い場合、調査すべき不審なリクエストの集まりがある可能性があります。また、これらのインサイトは、ダッシュボードに最初のフィルターを適用する出発点としても使えます。

インサイトのフィルターを Security Analytics ダッシュボードの表示データに適用するには、インサイトの横にある フィルター を選択します。

攻撃分析、ボット分析、悪意のあるアップロード、アカウント不正利用の検出 の各セクションは、選択期間の受信リクエストに対する Cloudflare のセキュリティスコア関連の統計を表示します。

• 攻撃分析: WAF 攻撃スコア を使い、リクエストが悪意のあるものである可能性に基づいて分類します。
• ボット分析: ボットスコア を使い、自動化トラフィックである可能性に基づいてリクエストを分類します。
• 悪意のあるアップロード: WAF コンテンツスキャン のスコアを使い、リクエストでアップロードされた潜在的に悪意のあるコンテンツを検出します。
• アカウント不正利用の検出: 漏洩認証情報の検出 を使い、データ漏洩で露出した認証情報によるログイン試行を特定します。すべてのプランで、このセクションの 漏洩認証情報チェック を利用できます。漏洩認証情報への対処方法については、緩和ルールの例 を参照してください。

現在の指標（攻撃スコア、ボットスコア、コンテンツスキャン）に応じて、異なるトラフィックセグメントを調べられます。セグメントごとにスコアフィルターを適用するには、トラフィックチャートの下のボタンを選択します。たとえば、攻撃分析 の下で 攻撃の可能性が高い を選択すると、攻撃である可能性が高いリクエスト（WAF 攻撃スコアが 21 から 50 のリクエスト）を絞り込めます。

さらに、チャート下のスライダーで、現在の指標に応じて受信リクエストを絞り込めます。事前定義されたセグメント以外のトラフィックグループもフィルターできます。

Security Analytics は、選択期間と適用フィルターに対するリクエストログと、それらのリクエストの詳細情報およびセキュリティ分析を表示します。

デフォルトでは、Security Analytics はサンプリング済みログ（すべての個別リクエストではなく、トラフィックの一部）を使います。サンプリングにより、クエリ量が大きくても数秒で結果を返せます。Log Explorer を契約している場合は、生ログ にもアクセスできることがあります。

このセクションには、選択期間の個別（サンプリング済み）リクエストの詳細なログ情報が含まれます。

表示される情報には次が含まれます。

• リクエストに適用された緩和アクション
• キャッシュステータス
• オリジンサーバーが Cloudflare に返したステータスコード（キャッシュミスの場合）
• Cloudflare がクライアントに返したステータスコード
• リクエストのセキュリティスコア（攻撃、ボット、アップロードコンテンツのスキャン）
• リクエストのプロパティ

フォレンジック分析では、ごく短い期間を選び、複数のフィルターを適用して特定のリクエスト集合を特定することがあります。この状況では、ある時点の受信リクエストをよりよく理解するために、サンプルではなくリクエストの完全な一覧が必要になります。

デフォルトでは、Security Analytics は適用したフィルターに基づくサンプリング済みログを表示します。一定の条件では、生ログ に切り替えられます。このビューは、サンプリング済みログではなく、選択期間とフィルターに対するすべてのリクエストログを表示します。現時点では、Security Analytics ページに表示されるサンプリング済みログの件数が 100 件未満の場合にのみ、このビューを利用できます。

サンプリング済みログから生ログに切り替えるには、サンプリング済みログ の下で 生ログに切り替え を選択します。このオプションは、選択期間の（サンプリング済み）ログ件数が 100 件未満の場合にのみ利用できます。

生ログからサンプリング済みログに戻すには、サンプリング済みログに戻る を選択します。

Security Analytics で使ったのと同じフィルターを適用したまま、Log Explorer に切り替えて分析を深められます。Security Analytics の生ログは、Log Explorer と同じデータソースに基づきます。

Security Analytics ダッシュボードは、生ログを表示する場合を除き、サンプリング済みデータ を使います。

GraphQL Analytics API 経由で Security Analytics のデータをクエリする場合、主な基盤データセットは httpRequestsAdaptiveGroups と httpRequestsAdaptive です。詳しくは、データセット（テーブル） を参照してください。

Security Analytics を支えるデータセットの、データ保持（履歴期間）と最大クエリ期間は、Security Events を支えるデータセットとは異なります。

次の表は、Cloudflare プランごとの制限です。