Cloudflare Domains

Reading time: 8 minutes

Cloudflareに設定された各TLDには、いくつかの一般設定とサービスが構成できます。このページでは、各セクションのセキュリティ関連設定を分析します。

概要

• アカウントのサービスがどれだけ使用されているかを把握する
• ゾーンIDとアカウントIDも確認する

分析

• Securityでレート制限があるか確認する

DNS

• DNS レコードに興味深い（機密？）データがあるか確認する
• 名前に基づいて機密情報を含む可能性のあるサブドメインを確認する（例：admin173865324.domin.com）
• プロキシされていないウェブページを確認する
• CNAMEまたはIPアドレスで直接アクセス可能なプロキシ化されたウェブページを確認する
• DNSSECが有効であることを確認する
• すべてのCNAMEでCNAMEフラッティングが使用されていることを確認する
• これはサブドメインの乗っ取り脆弱性を隠すのに役立ち、読み込み時間を改善します
• ドメインがスプーフィングに対して脆弱でないことを確認する

メール

TODO

スペクトラム

TODO

SSL/TLS

概要

• SSL/TLS暗号化はフルまたはフル（厳格）であるべきです。それ以外は、いずれかの時点で平文トラフィックを送信します。
• SSL/TLS推奨設定が有効であるべきです

エッジ証明書

• 常にHTTPSを使用が有効であるべきです
• HTTP厳格トランスポートセキュリティ（HSTS）が有効であるべきです
• 最小TLSバージョンは1.2であるべきです
• TLS 1.3が有効であるべきです
• 自動HTTPS書き換えが有効であるべきです
• 証明書透明性モニタリングが有効であるべきです

セキュリティ

• WAFセクションでは、ファイアウォールとレート制限ルールが使用されているか確認することが興味深いです。
• バイパスアクションは、リクエストに対してCloudflareのセキュリティ機能を無効にします。使用すべきではありません。
• ページシールドセクションでは、ページが使用されている場合は有効であることを確認することをお勧めします
• APIシールドセクションでは、CloudflareでAPIが公開されている場合は有効であることを確認することをお勧めします
• **DDoS**セクションでは、DDoS保護を有効にすることをお勧めします
• **設定**セクションでは：
• セキュリティレベルが中以上であることを確認する
• **チャレンジパッセージ**が最大1時間であることを確認する
• ブラウザ整合性チェックが有効であることを確認する
• プライバシーパスサポートが有効であることを確認する

CloudFlare DDoS保護

• 可能であれば、ボットファイトモードまたはスーパーボットファイトモードを有効にします。プログラム的にアクセスされるAPIを保護している場合（例えば、JSフロントエンドページから）。そのアクセスを壊さずにこれを有効にできないかもしれません。
• WAFでは、URLパスによるレート制限を作成することができます（レート制限ルール）、またはIP、クッキー、リファラーに基づいてアクセスをブロックすることができます。したがって、ウェブページから来ないリクエストやクッキーを持たないリクエストをブロックできます。
• 攻撃が確認済みのボットからの場合、少なくともボットにレート制限を追加します。
• 攻撃が特定のパスに対するものである場合、予防策としてこのパスにレート制限を追加します。
• ツールからIPアドレス、IP範囲、国、またはASNをホワイトリストに追加することもできます。
• 管理ルールが脆弱性の悪用を防ぐのに役立つかどうか確認します。
• ツールセクションでは、特定のIPやユーザーエージェントにブロックまたはチャレンジを与えることができます。
• DDoSでは、いくつかのルールをオーバーライドしてより制限的にすることができます。
• 設定：セキュリティレベルを高に設定し、攻撃中の場合は攻撃中に設定し、ブラウザ整合性チェックが有効であることを確認します。
• Cloudflare Domains -> Analytics -> Security -> レート制限が有効か確認します
• Cloudflare Domains -> Security -> Events -> 検出された悪意のあるイベントを確認します

アクセス

Cloudflare Zero Trust Network

スピード

セキュリティに関連するオプションは見つかりませんでした

キャッシング

• 設定セクションでCSAMスキャンツールを有効にすることを検討します

ワーカーズルート

すでに cloudflare workers を確認しているはずです

ルール

TODO

ネットワーク

• HTTP/2が有効であれば、HTTP/2 to Originも有効であるべきです
• HTTP/3 (with QUIC)が有効であるべきです
• ユーザーのプライバシーが重要な場合、オニオンルーティングが有効であることを確認します

トラフィック

TODO

カスタムページ

• セキュリティに関連するエラーが発生した場合（ブロック、レート制限、または攻撃中モードなど）、カスタムページを設定することはオプションです

アプリ

TODO

スクレイプシールド

• メールアドレスの難読化が有効であることを確認する
• サーバーサイド除外が有効であることを確認する

ザラズ

TODO

Web3

TODO