エッジでの保護（ゾーン共通）
保護の内容
| 保護 | 状態 | 説明 |
|---|---|---|
| Bot 対策 | 有効 | 人がブラウザで見ているのではなく、プログラムが自動で送ってくる不正なアクセス（パスワードの総当たり、弱点探し、内容の丸ごとコピーなど）を通信の特徴から見分けて遮断します。検索エンジンなど正規のクローラーは通します。 |
| WAF（攻撃パターンの遮断） | Cloudflare マネージドルールセット（適用中）、OWASP コアルールセット（適用中・PL1） | SQL インジェクションやクロスサイトスクリプティングなど、よく知られた攻撃の型に当てはまる通信を届く前に遮断します。ルールはエッジ側で継続的に更新されます。 |
| レート制限 | 5 件のルール（しきい値は下表） | 同じ相手からの短時間の過剰なアクセス（ログインの連続失敗、存在しないページの連続要求など）を回数で抑えます。 |
| 非標準ポートの遮断 | 有効 | Web サイトが使う 443（HTTPS）と 80（HTTP）以外の入口へのアクセスを遮断します。管理ツールなどの入口を外から探されないようにするためです。 |
| 漏えいパスワードの検知 | 有効（10 秒に 5 回超で遮断） | 過去の情報漏えいで流出したことが知られているパスワードでログインが試みられると検知し、短時間に続く場合は遮断します。照合はエッジ側の仕組みで行い、パスワードそのものをお預かりすることはありません。 |
| 常時 HTTPS／TLS | 常時 HTTPS、TLS 1.2 以上（TLS 1.3 対応） | http:// でのアクセスは自動的に https:// へ切り替え、古く弱い暗号方式（TLS 1.1 以前）は受け付けません。通信の盗み見や改ざんへの対策です。 |
| ブラウザ整合性チェック | 有効 | ブラウザなら必ず付いている情報（ブラウザ名など）が欠けていたり、迷惑行為でよく使われる形になっている通信を、本物のブラウザかどうかの確認画面に回します。Bot 対策を補う簡易な仕組みです。 |
| DDoS 対策 | 常時 | 大量のアクセスを一斉に送りつけてサイトを応答不能にする攻撃（DDoS）を、エッジの大規模な設備で受け止めます。お客様のサーバに到達する前に処理されます。 |
レート制限のしきい値（ゾーン全体で共通適用）
| 対象 | 数える対象 | しきい値 | 動作 |
|---|---|---|---|
| 漏洩パスワードでのログイン試行を遮断（rate:leaked_credential） | すべて | 5 回 / 10 秒 | 遮断する |
| ログイン失敗の連続を抑制（rate:login_bruteforce） | 失敗のみ（POST） | 40 回 / 60 秒 | 遮断する |
| ユーザー・記事の列挙（REST/author）を抑制（rate:enumeration） | すべて | 20 回 / 60 秒 | 確認を求める |
| 存在しないパスへの連続アクセス（探索）を抑制（rate:not_found_scan） | 404・403 のみ | 40 回 / 60 秒 | 確認を求める |
| サイト全体の過大なアクセスの床（既定は観測のみ）（rate:site_floor） | すべて | 600 回 / 60 秒 | 記録のみ |
日本情報基盤サービス株式会社 ／ JIISセキュリティラボ ／ sitedock.jp
本ポータルは外から見える範囲の定点観測です。改善のご相談はポータルから承ります。
本ポータルは外から見える範囲の定点観測です。改善のご相談はポータルから承ります。