Cloudflare OWASP Core Ruleset は、OWASP ModSecurity Core Rule Set ↗（CRS）バージョン 3.3.0 の Cloudflare 実装です。
Cloudflare OWASP Core Ruleset は、単一のまとまりとして 脅威スコア を計算し、そのスコアに基づいてアクションを実行するように設計されています。ルールセット内のルールがリクエストに一致すると、ルールのスコアに応じて脅威スコアが増えます。最終的な脅威スコアが設定した スコアしきい値 より大きい場合、Cloudflare はルールセットの最後のルールに設定したアクションを実行します。
Cloudflare OWASP Core Ruleset は、OWASP ModSecurity Core Rule Set バージョン 3.3.0 の Cloudflare 実装です。OWASP Top 10 ↗ とは異なります。
OWASP Top 10 ↗ は、最も深刻なアプリケーションセキュリティリスクの一覧です。実務者と開発者の意識を高めるためのものです。一部のリスクはウェブアプリケーションファイアウォールで対処できますが、別の解決策が必要なものや、アプリケーション開発中に緩和すべきものもあります。具体的には次のとおりです。
- Cryptographic Failures
- Insecure Design
- Identification and Authentication Failures
- Security Logging and Monitoring Failures
これらのリスクは、アプリケーションの作り方や、監視パイプライン全体の構築方法に、より依存します。
Cloudflare Managed Ruleset と OWASP CRS は、どちらも OWASP Top 10 の複数カテゴリの緩和を目指しますが、アプローチは異なります。OWASP CRS v3.3 は、一般化された「スコアベース」のオープンソースルールセットで、多くの場合、手動の調整が必要です。一方、Cloudflare Managed Ruleset は、Cloudflare の大規模なグローバル脅威インテリジェンスに裏付けられた、独自のシグネチャ重視エンジンです。さらに、Cloudflare は新しい CVE 向けの保護をマネージドルールセット経由で迅速にデプロイします。OWASP CRS は比較的静的です。
次の表は、Cloudflare 製品が OWASP カテゴリにどう対応するかを示します。
| OWASP Top 10 カテゴリ | OWASP Core Rule Set (v3.3) | Cloudflare Managed Ruleset | その他の Cloudflare 製品 |
|---|---|---|---|
| A01: Broken Access Control | Path Traversal（930XXX）と App Defect 検出（例: .env、.git へのアクセス）を対象にします。 |
Insecure Direct Object References と Directory Traversal 向けの独自シグネチャを使います。 | Security Rules で、IP / Geo / ASN を細かく強制します。 |
| A02: Cryptographic Failures | N/A | N/A | Cloudflare プラットフォームは、HTTP Strict Transport Security、Minimum TLS バージョン、自動証明書管理のプラットフォームレベルの制御を提供します。耐量子暗号にも対応しています。 |
| A03: Injection (SQLi, XSS) | 包括的: SQLi（942XXX）、XSS（941XXX）、RCE（932XXX）に正規表現ベースのスコアリングを使います。 | 高速なシグネチャ照合と Attack Score を組み合わせ、高度に難読化されたペイロードを捕捉します。難読化を防ぐため、Smart decoding の前処理を適用します。 | ML ベースの Cloudflare Attack Score が、攻撃のバリエーションやバイパスを検出してマネージドルールセットを補完します。 |
| A04: Insecure Design | N/A | N/A | API Schema Validation は、設計の不備に起因しうるプロトコル強制（例: HTTP メソッドの強制）の緩和に役立ちます。 |
| A05: Security Misconfiguration | 920XXX で、ディレクトリインデックス、デフォルトのエラーメッセージ、プロトコル違反を検出します。 | WordPress や Magento など特定の CMS プラットフォームを、既知の設定不備から守る幅広い Managed Rules を含みます。 | |
| A06: Outdated Components | 一般ルールでエクスプロイトを捕捉できる場合がありますが、特定ソフトウェアバージョンのデータベースは維持しません。 | 新たに発見された CVE（例: Log4Shell、React2Shell）向けの予防的な Virtual Patching を、多くの場合、公開から数分〜数時間でデプロイします。 | ML ベースの Cloudflare Attack Score が、攻撃のバリエーションやバイパスを検出してマネージドルールセットを補完します。 |
| A07: Identification & Auth | N/A | N/A | Leaked Credential Check、Bot Management、Account Abuse Protection は、自動スタッフィング攻撃やその他の認証関連の脆弱性を止めるために設計されています。 |
| A08: Software & Data Integrity | Insecure Deserialization（944XXX）と PHP インジェクション向けの専用ルールです。 | 一般的なシリアライゼーションのエクスプロイトとサプライチェーン攻撃パターン（例: SolarWinds / Mimecast）向けのシグネチャです。 | Cloudflare Client-side security は、サイト訪問者が読み込むスクリプト、接続、Cookie を監視します。 |
| A09: Logging & Monitoring | N/A | N/A | Cloudflare プラットフォームは、リアルタイム分析付きの統合ダッシュボード、SIEM 向け Logpush、自動の異常アラートを提供します。LogExplorer は Cloudflare の可観測性とフォレンジックのツールです。 |
| A10: SSRF | ルール（934XXX）は、内部 IP とクラウドメタデータサービス（AWS、Azure、GCP）へのリクエストをブロックします。 | SSRF シグネチャを識別し、機微なメタデータエンドポイントへの送信リクエストを簡単にブロックできます。 | - |