Cloudflareが、同社の脅威インテリジェンスサービスとWeb Application Firewall（WAF）を直接連携させる新機能を発表しました。
これまでのWAFは「どのような攻撃か」を判断して防御する仕組みが中心でした。しかし今回のアップデートでは、「誰が攻撃しているのか」「その攻撃者は過去に何を狙っていたのか」といった情報まで判断材料に加えることが可能になります。
近年のサイバー攻撃は高度化が進み、AIを活用した攻撃や自動化されたボットネットによる大規模攻撃が日常的に発生しています。そのため単純なIPブロックやシグネチャ検知だけでは十分とは言えなくなってきました。
Cloudflareは今回の機能によって、世界中で観測される脅威情報をリアルタイムでWAFに反映し、攻撃が本格化する前に先回りして防御できる環境を提供しようとしています。
🔍 Threat EventsとWAFが統合、「調査」と「防御」が直結
Cloudflareには以前から「Threat Events」と呼ばれる脅威分析機能が存在していました。
この機能はCloudflareネットワーク全体で観測される膨大な通信データを分析し、
どのIPアドレスが攻撃を行っているのか
どの業界が標的になっているのか
どの攻撃グループが活動しているのか
どの地域から攻撃が発生しているのか
といった情報を可視化するサービスです。
しかし従来は、脅威情報を確認した後に管理者が手動でWAFルールを作成する必要がありました。
今回のアップデートでは、このThreat Eventsの情報が直接WAFへ取り込まれるため、調査結果をそのまま防御ルールへ変換できます。
Cloudflareはこれを「グローバルな脅威インテリジェンスをローカルな防御へ変換する仕組み」と説明しています。
🔍 Threat EventsとWAFが統合、「調査」と「防御」が直結
🚀 API・Terraform対応で大規模運用にも対応
Cloudflareは今回の機能を企業向けの大規模運用にも対応させています。
Cloudflare APIおよびTerraformとの連携に対応しており、複数ドメインや複数アカウントへ同一ポリシーを自動展開することが可能です。
さらにThreat Intelligence Dashboardで調査した条件を「Saved Views」として保存し、その内容からワンクリックでWAFルールを作成できる機能も用意されています。
例えば、
過去7日間に金融業界を攻撃していたIP
特定攻撃グループ関連の通信
DDoS活動が確認されたアドレス群
といった条件を保存しておけば、毎回IPアドレス一覧をコピーして登録するといった作業が不要になります。
SOC（Security Operation Center）や大規模サービス運営企業にとっては、運用効率の大幅な改善につながるでしょう。
🧠 次はJA3フィンガープリントへ、IPアドレス依存からの脱却
Cloudflareは今回の機能がIPアドレスベースであることを認めつつ、将来的にはJA3フィンガープリントやドメインベースの照合へ拡張する計画を明らかにしています。
JA3とはTLS通信の特徴からクライアントソフトウェアを識別する技術です。
現在の攻撃者はクラウドサーバーやVPNを利用しながら頻繁にIPアドレスを変更しています。しかし攻撃ツールそのものの通信パターンは変わらないことが多く、JA3を利用するとIPアドレス変更を回避した検知が可能になります。
将来的には、
マルウェア通信の特徴
ボットネット特有の挙動
フィッシング基盤
自動化攻撃ツール
などを識別できるようになる可能性があります。
これはゼロトラスト時代に求められる「振る舞いベースの防御」への大きな一歩と言えるでしょう。
📝 まとめ
Cloudflareの新機能は、単なるWAFの機能追加ではありません。
従来のWAFが「どのような攻撃か」を判断していたのに対し、今回の仕組みは「誰が攻撃しているのか」「どのような活動履歴を持つのか」という背景情報まで活用して防御を行います。
AIを活用した攻撃や大規模ボットネットが増加する現在、攻撃者の文脈を理解したリアルタイム防御は今後ますます重要になるでしょう。
さらにCloudflareはJA3フィンガープリントやドメインベースの脅威インテリジェンス連携も視野に入れており、WAFは単なるファイアウォールから「脅威判断エンジン」へと進化しつつあります。
今回のアップデートは、次世代のWebセキュリティ運用を象徴する大きな転換点になるかもしれません。
