コンテンツにスキップ

2023-02-01 - セキュリティフィールドの更新

Cloudflareは、Cloudflare Logsのセキュリティ関連フィールドにいくつかの更新を展開します。これらの更新は、以下のデータセットに影響を与えます：

タイムライン

顧客の既存のSIEM構成への影響を最小限に抑えるため、これらの更新は以下のタイムラインに従って2つのフェーズで行われます：

フェーズ1 (2023年2月1日)

追加されるログフィールドについて、Cloudflareは徐々にそれらをログデータセットに追加し始めます。

名前が変更されるログフィールドについて、Cloudflareは：

  • 新しいフィールドを追加します。これらのフィールドは、フェーズ2で削除されるフィールド（この文書では古いフィールドと説明されています）と同じデータを持ちます。これらの新しいフィールドは徐々に利用可能になります。詳細については次のセクションを参照してください。
  • 古いフィールドの非推奨を発表します。Cloudflareは、2023年8月1日にこれらのフィールドをログデータセットから削除します。

削除されるログフィールドについて、Cloudflareはそれらを非推奨として発表しています。これらのフィールドの削除は2023年8月1日に行われます。

これらのCloudflare Logsの変更に加えて、Cloudflareは以下のGraphQLデータセットに新しいセキュリティ関連フィールドを追加します：

  • httpRequestsAdaptive
  • httpRequestsAdaptiveGroups
  • firewallEventsAdaptive
  • firewallEventsAdaptiveGroups
  • firewallEventsAdaptiveByTimeGroups

フェーズ2 (2023年8月1日)

名前が変更されるログフィールドについて、Cloudflareは古いフィールドをCloudflareログデータセットから削除します。2023年8月1日以降は、新しいフィールドのみが利用可能になります。

削除されるログフィールドについて、CloudflareはそれらをCloudflareログデータセットからも削除します。2023年8月1日以降、これらのフィールドはもはや利用できなくなります。

概念

以下の概念は、レビューされたフィールドの説明で使用されます：

  • 終了アクション： 次のいずれかのアクション：

    • block
    • js_challenge
    • managed_challenge
    • challenge (インタラクティブチャレンジ)

これらのアクションに関する詳細は、ルール言語のドキュメントにあるアクションのリファレンスを参照してください。

HTTPリクエストデータセットの変更

以下のフィールドは、HTTPリクエストデータセットで、タイムラインに示された2フェーズ戦略に従って名前が変更されます：

新しいフィールド名タイプ説明古いフィールド名
(2023年8月1日に非推奨)
SecurityRuleIDString終了アクションを引き起こしたセキュリティルールのルールID（該当する場合）。WAFRuleID
SecurityRuleDescriptionString終了アクションを引き起こしたセキュリティルールのルール説明（該当する場合）。WAFRuleMessage
SecurityActionString終了アクションを引き起こしたセキュリティルールのルールアクション（該当する場合）。WAFAction
SecurityRuleIDsString Arrayリクエストに一致したセキュリティルールのIDの配列。FirewallMatchesRuleIDs
SecurityActionsString ArrayCloudflareセキュリティ製品がリクエストに対して実行したアクションの配列。FirewallMatchesActions
SecuritySourcesString Arrayリクエストに一致したCloudflareセキュリティ製品の配列。FirewallMatchesSources

以下のフィールドは現在非推奨であり、2023年8月1日にHTTPリクエストデータセットから削除されます：

非推奨フィールド名ノート
WAFProfile以前のバージョンのWAF管理ルールで使用されていました（現在は非推奨）。
EdgeRateLimitAction以前のバージョンのレート制限ルールで使用されていました（現在は非推奨）。
EdgeRateLimitID以前のバージョンのレート制限ルールで使用されていました（現在は非推奨）。
SecurityLevelN/A

ファイアウォールイベントデータセットの変更

以下のフィールドがファイアウォールイベントデータセットに追加されます：

フィールド名タイプ説明
DescriptionStringリクエストによってトリガーされたルールの説明。
RefStringリクエストによってトリガーされたルールのユーザー定義識別子。

GraphQLデータセットの変更

Cloudflareは、httpRequestsAdaptive およびhttpRequestsAdaptiveGroups データセットに以下のフィールドを追加します：

フィールド名タイプ説明
securityActionString終了アクションを引き起こしたセキュリティルールのアクション（該当する場合）。
securitySourceString終了アクションを引き起こしたセキュリティルールのソース（該当する場合）。

Cloudflareは、firewallEventsAdaptive、firewallEventsAdaptiveGroups、およびfirewallEventsAdaptiveByTimeGroupsデータセットにも以下のフィールドを追加します：

フィールド名タイプ説明
descriptionStringリクエストによってトリガーされたルールの説明。

これらの新しいフィールドは徐々に利用可能になります。

利用可能なデータセットに関する詳細は、GraphQLデータセットを参照してください。

LogpushジョブとSIEMシステムの更新

Cloudflareは、名前が変更されたフィールドを使用するように既存のLogpushジョブを更新しません。以下の指示に従ってジョブを更新する必要があります。

Logpushジョブを更新した後、ログフィールドの変更を反映するために、SIEMシステム内の外部フィルターやレポートを更新する必要があるかもしれません。

ダッシュボードでのLogpushジョブの更新

  1. Cloudflareダッシュボード ↗にログインし、アカウントとドメインを選択します。
  2. 分析とログ > ログに移動します。
  3. 編集したいLogpushジョブの横にある編集を選択します。
  4. データフィールドを選択の下で、ジョブ内のフィールドを更新します。新しいセキュリティログフィールドは一般の下にあります。
  5. 変更を保存を選択します。

APIを介したLogpushジョブの更新

Update output_optionsの指示に従って、Logpushジョブ内のフィールドを更新します。

Terraformを介したLogpushジョブの更新

すでにTerraformを介してLogpushジョブを管理している場合は、既存のcloudflare_logpush_job ↗ Terraformリソース内のlogpull_optionsを更新します。例えば：

resource "cloudflare_logpush_job" "example_job" {
  enabled             = true
  zone_id             = "<ZONE_ID>"
  name                = "My-logpush-job"
  logpull_options     = "fields=RayID,ClientIP,EdgeStartTimestamp,WAFAction,WAFProfile&timestamps=rfc3339"
  logpull_options     = "fields=RayID,ClientIP,EdgeStartTimestamp,SecurityAction&timestamps=rfc3339"
  destination_conf = "r2://cloudflare-logs/http_requests/date={DATE}?account-id=${var.account_id}&access-key-id=${cloudflare_api_token.logpush_r2_token.id}&secret-access-key=${sha256(cloudflare_api_token.logpush_r2_token.value)}"
  dataset             = "http_requests"
}
Cloudflare DashboardDiscordCommunityLearning CenterSupport Portal
Cookie Settings