Cloudflare、HTTPリクエストの構造分析による「ポジティブセキュリティ」を強化する「Application Profiles」をローンチ
Enforce positive security with Cloudflare Application Profiles
Cloudflareは、HTTPリクエストの構造とフォーマットを分析し、逸脱を特定することでポジティブセキュリティポリシーを強制する新機能「Application Profiles」を発表しました。これにより、攻撃対象領域を大幅に削減します。LLM(大規模言語モデル)の普及により、攻撃者は容易に高度な攻撃を仕掛けられるようになっていますが、Application Profilesは、既知の攻撃シグネチャを探すのではなく、期待されるリクエストの構造を学習することで、悪意のあるペイロードや未知の脆弱性を突く攻撃を防ぎます。この機能は、APIセキュリティで提供されているスキーマ学習・検証機能をWebアプリケーションにも拡張したものです。ユーザーはアプリケーションをオンボードすると、Cloudflareがそのプロファイルを学習し、常にオンの検出を展開して不適合を特定します。学習されたプロファイルは、パス変数、クエリパラメータ、ヘッダー、クッキー、JSONボディ、フォームエンコードボディなどを含み、データ型や数値範囲、文字列長などの制約も学習します。ユーザーは、Security Analyticsでプロファイルの適用結果を確認し、Security Rulesを作成して不適合なリクエストをブロックできます。現在はクローズドベータ版が招待制で提供されており、APIセキュリティを利用していない顧客も参加可能です。将来的には、LLMを活用したコンテキスト化や優先順位付け機能の強化が予定されています。
- CloudflareがHTTPリクエストの構造・フォーマットを分析し、正常なプロファイルからの逸脱を検知する新機能「Application Profiles」を発表した。
- 既知の攻撃シグネチャに依存せず、期待されるリクエスト構造を学習して悪意あるペイロードや未知の脆弱性を突く攻撃を防ぐ「ポジティブセキュリティ」方式を採用している。
- APIセキュリティで提供済みのスキーマ学習・検証機能をWebアプリケーションへ拡張したもので、パス変数・クエリパラメータ・ヘッダー・クッキー・JSON/フォームボディのデータ型や数値範囲、文字列長などの制約まで学習する。
- ユーザーはSecurity Analyticsで適用結果を確認し、Security Rulesを作成して不適合リクエストをブロックできる。
- 現在は招待制のクローズドベータで、APIセキュリティを利用していない顧客も参加可能。将来的にLLMを活用したコンテキスト化や優先順位付けの強化が予定されている。
CloudflareがWAF/APIセキュリティ領域で「ポジティブセキュリティ(正常なリクエスト構造を学習し逸脱を検知)」という新たな差別化軸を打ち出した点に注目。シグネチャ型から振る舞い学習型への移行は、LLMによって攻撃生成コストが下がる局面で有効性が高まる可能性があり、セキュリティ製品の競争優位・単価上昇要因になり得る。クローズドベータの段階で収益貢献は未確定だが、APIセキュリティ顧客以外も対象とすることで導入母集団を広げる設計は、既存顧客基盤のARPU引き上げと新規獲得の両面で有望。ベンダー選定の観点では、CrowdStrikeやPalo Alto Networksなど同領域競合との機能比較、GA時期、価格設定を継続的に確認したい。