Cloudflareが脅威インテリジェンスをWAFルールに直接統合

Cloudflareは、セキュリティチームが待望していた機能をリリースした。それは、Threat Eventsダッシュボードを動かしているのと同じ脅威インテリジェンスデータを使ってWAFルールを作成できる機能だ。IPリストを手動でコピーしたり、リアクティブなブロックリストに頼る代わりに、any(cf.intel.ip.attacker_names[*] == "BLACKBASTA")のような式を記述し、WAFがリアルタイムで適用できるようになった。

常時稼働の検出、トレードオフなし

この機能は、Cloudflareの常時稼働検出フレームワークを基盤としており、検出と緩和を分離している。つまり、脅威インテリジェンスはバックグラウンドで継続的に実行され、事前設定されたルールを必要とせずにリクエストメタデータを強化する。主な利点は、ログ記録とブロックの間で選択する必要がないことだ。従来の設定では、リクエストをブロックすると、他のシグネチャがどのように評価したかの可視性が失われる。ここでは、両方を得られる——Security Analyticsでの可視性と、準備ができたときにブロックする能力だ。

Cloudforce Oneのサブスクライバーにとって、これらのインサイトは自動的に分析に表示される。どの脅威アクターがサイトにアクセスしているか、それらのIPが通常どの業界を標的にしているかを確認し、スイッチをブロックに切り替える前にトラフィックパターンを検証できる。検出エンジンは無視できるレイテンシを追加し、すべてのCloudflareデータセンターに配布された圧縮データセットに対してO(1)ルックアップを実行する。

脅威インテリジェンスのための新しいWAFフィールド

Cloudflareは、WAFエンジンに直接5つの新しいフィールドを公開した：

• cf.intel.ip.attacker_names — 既知の脅威グループ名（例：CRAVENFLEA）
• cf.intel.ip.target_industries — IPが標的とする業界
• cf.intel.ip.attacker_countries — 脅威イベントの発信国
• cf.intel.ip.target_countries — 脅威イベントが標的とする国
• cf.intel.ip.datasets — ソースフィード（例：ddos、waf）

単一のIPが複数の脅威アクターや業界に関連付けられる可能性があるため、これらのフィールドは配列である。any()関数と[*]ワイルドカードを使用して任意の値にマッチさせる。例：any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")は、フランスを標的とする既知のDDoS参加者をブロックする。

ワークフロー統合

これらのフィールドは、カスタムルールとレート制限のためのWAFルールビルダーで動作し、APIおよびTerraformを介して完全にサポートされている。マッチはSecurity Analyticsに完全なコンテキスト（どのルールがトリガーされたか、どのインジケータがマッチしたかを含む）でログ記録される。また、Threat Eventsダッシュボードからのワンクリックエクスポート機能もある：ビューを保存し（例：「過去7日間に金融セクターを攻撃しているIP」）、直接WAFルールを作成できる。

Cloudflareは、これをJA3フィンガープリントやドメインベースのマッチングに拡張する作業をすでに進めていると述べており、攻撃者がIPをローテーションしても、ユニークなソフトウェアシグネチャや悪意のある宛先リンクを識別することでトラフィックをブロックできるようになる。

本日よりCloudforce Oneサブスクライバー（Essentials、Advantage、Eliteティア）向けに利用可能。