ノウハウ Cloudflare

CloudflareのセキュリティログをAIに分析してもらうと面白い

CloudflareのセキュリティログをAIで分析し、サイトへの攻撃傾向や防御状況を効率的に把握する方法を紹介。WAFやボット対策機能の動作確認、WordPress狙いの攻撃遮断など、具体的な分析例を通じてサイトの安全性を高めるヒントが得られます。

※本記事は広告を含みます

どうも、職業エンジニアです。
最近Cloudflareとより仲良くなってきたので、今日もCloudflareネタを上げようと思います。

Cloudflareのセキュリティ機能

Cloudflareはサーバーとクライアントの間に入り、WAFとして動いてくれます。んで、このWAFの設定をあれこれできたり、ログを残したりの機能がデフォルトで用意されているんですよね。無料でここまでできるなんて凄い！

また、最近はAIクロール（Bot）対策だったりに力を入れており、多様化している攻撃にもバッチリ対応してくれています。

無料で運用している個人ブログなんかでは非常に頼もしい相棒になりますね。

セキュリティログについて

ここからが本題です！

どこから確認できるか

確認したいドメインの左メニューから「セキュリティ」→「Analytics」から確認できます。こんな感じの画面です↓

Pasted image 20260822155848.png
Pasted image 20260822155848.png

どんな項目を確認できるか

ログには以下の項目が乗ります。欲しいものはだいたい出ているかと！

誰が、どこから来たか（アクセス元の素性）

  • 国とネットワーク（clientCountryName, clientASNDescription）: どこの国から、どんな回線（プロバイダやクラウド事業者）を通ってきたかが分かる！例えば、Microsoft（Azure）やHetzner（ドイツのサーバー会社）からのアクセスだと、「あ、一般ユーザーのスマホじゃなくて、サーバー上で動いてるボットやクローラーだな」的な推測ができます

  • IPアドレス（clientIP）: 攻撃者のIPを把握したりできます

何を、どうしようとしたか（ターゲットと手口）

  • 狙われた場所（clientRequestPath, clientRequestQuery）: サイトのどのURLや記事（例：/hitsuji-makura-review/）を見ようとしたか、あるいは存在しないWordPressの裏口（/wp-includes/...）をこじ開けようとしたかが把握できます。このブログにもWordPressのパスを狙った攻撃は多いです。

  • メソッド（clientRequestHTTPMethodName）: 普通にページを見ようとしただけ（GET）なのか、データを送りつけて攻撃しようとした（POST）のか。

Cloudflareがどう撃退したか（防衛アクション）

  • 処置の結果（action）: そのアクセスに対して、Cloudflareがどう動いたか。

    • block: 完全ブロック（RCE攻撃とかヤバいやつ）

    • managed_challenge: ブラウザ確認のワンクッションを挟んだ（怪しいボット対策）

    • link_maze_injected: ダミーリンクを読ませてクローラーを迷子にさせた

    • skip: Googlebotなどの安全なアクセスとして通した

  • 発動した機能（source）: WAF（Web Application Firewall）が防いだのか、Bot Fight Modeが弾いたのか、どの防衛機能が仕事をしたかが分かる。自分で設定したルールが正しく動いているかもこれで分かります。

何のふりをしているか（ユーザーエージェント）

  • 使用ツール（userAgent）: 相手が「自分はChromeブラウザです」とか「Applebotです」とか名乗ってる情報。これをAS番号（回線情報）と照らし合わせることで、「Chromeって名乗ってるけど、これデータセンターからのアクセスだから偽装ボットだな」みたいな見破りができる。見破ること自体はCloudflareがやってくれます。

とは言え、自分で確認するのは面倒くさい！

そうですよね。なので、エクスポート機能で出力したJSONファイルをそのままAIにぶん投げて分析してみよう！というのが今回の主題です。

投げ方

JSONファイルをぽいってして、「Cloudflareのセキュリティログです。どのような攻撃が多いか、どのルールで弾かれているアクセスが多いか等を分析して」みたいなお願いをすればOKです。ログ上に個人情報が乗ることはないのでそこの心配も要りません。（IPアドレスは国により諸説）

得られた回答

分析情報を独断と偏見でちょっと削り、更に要約したのが以下です。Geminiの3.1Proでやっています。もちろん他のモデルでもいいと思います。


### 🛡️ Cloudflare ログ分析サマリー

Cloudflareの各種防衛機能がバッチリ機能し、**悪性トラフィックをエッジで完全ブロックしつつ、必要なアクセスだけを綺麗に通しています。**

1. **WordPress狙いの攻撃を完全遮断** (`block`)
        
    - RCE脆弱性（CVE-2026-63030）やプラグイン探索などをWAFが検知してブロック。そもそもGhost CMS環境なので実害ゼロです。     
        
2. **怪しい探索ボットを迷子に** (`link_maze_injected`)
    
    - ランダムなパス（`/fzh` など）を探るボットには、ダミーリンクを飲ませて無力化しています。
           
3. **過剰なポーリングを抑制** (`managed_challenge`)
    
    - ポッドキャストアプリなどの高頻度なアクセスは、Bot Fight Modeで負荷を抑え込んでいます。（※もし必要な連携先ならバイパス設定を検討）
           
4. **正規クローラーはスムーズに通過** (`skip`)
    
    - Googlebotなどの検索エンジンや正規ボットは、きちんと識別して正常にアクセスさせています。
        
**結論：現在のセキュリティ設定は非常に優秀で、安全な状態が保たれています！✨**

最近騒がれていたWordPressの脆弱性を突いた攻撃が行われている事が分かったり、WAFの設定が正しく動いてそうなことがざっくり分かりましたね。

やってみた感想

今回はCloudflareのログでやりましたが、実業務のログをオラァ！って出来たらめっちゃ楽でいいなって思いました。まあオラァするならそれ前提でログ設計する必要があるので、だいぶハードルは高い気がしますけどね。。ローカルLLMが職場に導入されたら激熱なのかも知れない。。

本番障害の解析は時間との勝負になるので、AIと相性良さそうなんだけどなあ。
しかし、得意分野は限定されている気もする。。たぶんアクセスログの週次解析とかにはめっちゃいいんでしょうね。他の業務ログと比べると導入ハードル低そうだし。

最後に

職場へのAI導入は、とてもゆっくりだけど着実に進んでいる。。エンジニアの業務領域も変わりつつあるよね本当に。

コメント

関連記事