攻撃シグネチャを分析する

緩和を適用する前に、Security Analytics > Attack Analysis で攻撃シグネチャの一致を調べます。

シグネチャの一致を確認する

この分析で、よく見られるシグネチャと攻撃カテゴリを特定します。特定の Common Vulnerabilities and Exposures（CVE）識別子や攻撃手法も調べられます。一致結果を WAF Attack Score と突き合わせると、別のシグナルを追加できます。

リクエストの結果は、既存の保護が一致トラフィックを緩和したかどうかを示します。Cloudflare が配信したリクエストと、オリジンが配信したリクエストの切り分けにも使えます。検出だけでは、アクションは適用されません。

信頼度は、シグネチャの想定される誤検知特性を示します。リクエストが悪意あるものであることの証明ではありません。

信頼度	意味	Managed Rules との比較	推奨する分析
`high`	真陽性率が高く、誤検知率が低いシグネチャです。	デフォルトの Managed Rules デプロイで有効になるシグネチャと同じものを含みます。	広い範囲にアクションを適用する前に、影響を受けるトラフィックと現在の緩和状況を確認します。
`low`	正当なアプリケーショントラフィックに一致するリスクが高くなります。	デフォルトでは無効になっている Managed Rules シグネチャを含みます。	リクエストを確認し、影響を受けるアプリケーションの範囲に緩和を限定します。

正当なリッチテキスト入力が、汎用のクロスサイトスクリプティングシグネチャに一致することがあります。たとえば、コンテンツ管理やサポート用のアプリケーションは HTML を受け付けることがあります。

分析をそのホスト名、パス、メソッドに絞ります。代表的なリクエストを確認し、想定どおりのコンテンツと攻撃を区別します。そのうえで、アプリケーション全体の保護を変更するのではなく、範囲を限定したルールまたは例外を作成します。

各シグネチャ Ref は、対応する Managed Rule の公開 Rule ID と一致します。この識別子で Managed Rule を探し、検出結果を自分のデプロイと比較します。

Managed Rules が一致をブロックしたと仮定する前に、リクエストの結果と Security Events を確認します。Managed Rules の動作は、アクションとオーバーライドで決まります。

Attack Analysis は Security Analytics の適応型サンプリングを使います。サンプリングされたデータではなく、100% の保持が必要な場合は Log Explorer を使います。

過去のトラフィックを確認したあと、Security Rules で攻撃シグネチャを使うを参照してください。