脅威インテリジェンス検出は、受信リクエストを Cloudforce One の脅威インテリジェンスデータベース上の指標と照合します。照合対象はクライアント IP アドレスです。過去 7 日間にその IP が脅威活動に関与していた場合、Cloudflare は WAF ルール式で使える 脅威インテリジェンスフィールド を設定します。
これらのフィールドは カスタムルール と レート制限ルール で使い、次の条件に一致させられます。
- 既知の脅威アクター名（
cf.intel.ip.attacker_names） - その IP アドレスが標的にした業種（
cf.intel.ip.target_industries） - 脅威活動の送信元国と標的国（
cf.intel.ip.attacker_countries、cf.intel.ip.target_countries） - その IP アドレスにフラグを付けたデータセット（
cf.intel.ip.datasets— 値:ddos、waf）
一致内容は Security Analytics で確認できます。どの脅威アクターやキャンペーンがアプリケーションに到達しているかを把握できます。
脅威インテリジェンスデータベースは、直近 7 日間のローリングウィンドウを反映します。
- ウィンドウ内の早い時点でフラグが付いた IP アドレスは、脅威がすでに終了していても一致します。
- IP アドレスは、最後に観測された活動から 7 日後に期限切れになります。一致していたルールは、通知なしで一致しなくなります。
有効な Cloudforce One サブスクリプションが必要です。利用するにはアカウントチームに連絡してください。
ルール式で脅威インテリジェンスフィールドを使うには、ゾーンで WAF が有効である必要があります。
- 脅威インテリジェンスフィールド — 利用できるフィールドと照合の動作。
- はじめに — 最初の脅威インテリジェンスルールを作成します。
- Threat Events — Cloudforce One ダッシュボードで脅威を調査します。