Cloudflareの脅威インジケーターをリアルタイムWAFルールに変換

Cloudflareは、セキュリティアナリストがグローバルな脅威ランドスケープを可視化できる「Threat Events」プラットフォームを提供している。これまで、この可視性を実際の防御に繋げるには手動でのルール設定が必要だったが、今回、Cloudflareの脅威インテリジェンスをWAFエンジンに直接統合する新機能が発表された。これにより、既知の悪意あるIPアドレスや脅威アクター(例:Tycoon 2FA、RaccoonO365)をリアルタイムのインテリジェンスデータを用いてプロアクティブにブロックするWAFルールを作成できるようになった。新機能では、IPアドレスの攻撃者名、ターゲット産業、ターゲット国、攻撃タイプ、最終検知日時などの情報に基づいたルール設定が可能になる。これは、ルール設定なしでリアルタイムに一般的な攻撃パターンを識別する「Attack Signature Detection」と同様の常時稼働検知フレームワークに基づいている。Cloudforce Oneサブスクリプションを持つ顧客は、分析結果にこれらのインサイトが自動的に表示され、トラフィックパターンを確認してからブロック設定を有効化できる。将来的には、JA3フィンガープリントやドメインベースのマッチングにも対応予定。新しくWAFに公開されたフィールドには、`cf.intel.ip.attacker_names`、`cf.intel.ip.target_industries`、`cf.intel.ip.attacker_countries`、`cf.intel.ip.target_countries`、`cf.intel.ip.datasets`がある。これらのフィールドは配列として扱われ、`any()`関数と`[*]`ワイルドカードを使用してルールを作成する。これらのフィールドはCloudflare APIおよびTerraformにも統合されており、インフラストラクチャ・アズ・コードでの自動化も可能。すべてのマッチはSecurity Analyticsに記録され、監査や事後分析に役立つ。この機能は、Cloudforce Oneサブスクリプションを持つ顧客向けに提供されている。