会員制ポータルサイトの不正アクセス対策に Cloudflare 導入

公共インフラの利用料や請求金額を確認できる会員制ポータルサイトが、ある時期から大量の不正アクセスを受けているとのことで、対策の相談がありました。

サーバ側には、ローカルインストール型のWAFが設置されており、WAFのログに大量の不正アクセスが残り、本当にこのままで大丈夫なのだろうか、と心配をされてのご相談でした。

被害状況を確認した結果、ネットワーク上で攻撃を遮断するのが有効と判断し、ネットワーク型WAFの機能を持つCDNサービス、Cloudflare（クラウドフレア）を導入することになりました。

1. 調査と提案

サーバのアクセスログ、WAFのログを調べたところ、毎日ある時間帯に集中して数百件〜数千件のSQLインジェクション、コマンドインジェクションなどの不正リクエストが確認できました。

WAFのログに記録されていることから、インジェクションによる直接的な被害はなさそうでしたが、短時間に大量の不正なリクエストを送りつけられていることで、DDos 攻撃のような形になり、当該時間帯のサーバのCPU／メモリ負荷も増大していました。

サーバ側にWAFがインストールされていることから、今回は一旦 Cloudflare の無料プランを適用して様子を見ることにしました。狙いとしては、短時間に集中して送られる不正リクエストの何割かを、Cloudflare の DDos 軽減および標準WAFでブロックし、Cloudflare を通過した不正リクエストをサーバ側のWAFで防ぐことでした。

2. 実装と検証

Cloudflare を導入するにあたり、以下の点を考慮し、事前確認および慎重な検証作業を実施しました。

• DNSサーバ変更
• WAF
• 証明書
• ログ
• キャッシュ

DNSサーバ変更

Cloudflare を導入するにはDNSサーバを既存のDNSサーバから Cloudflare のDNSサーバに変更することが大前提となります。本件では国内大手業者のDNSサーバを利用していましたが、DNSサーバを変更することは特に問題がないことをまず確認しました。

WAF

WAFについては、無料プランで利用できる標準機能に加えて、ポータルサイトが完全に国内向けのサービスであるため、カスタムルールの追加で国外からのアクセスをブロックする設定としました。また、Cloudflare がローカルインストール型WAFと競合することがあるため、慎重に動作確認をしました。

SSL証明書

証明書に関しては、もともとDV証明書を利用していたことから、Cloudflare の無料プランで利用できるDV証明書で問題ないとのことでした。ただし、いつ Cloudflare を外しても問題ないように、オリジンサーバ側でも、有効な証明書を引き続き利用することとしました。

ログ

Cloudflare というエッジサーバを挟むことで、オリジンサーバ側のアクセスログに記録されるアクセス元IPがすべて Cloudflare のIPとなってしまう点を考慮し、オリジンサーバのWEBサーバの設定を変更し、アクセスログに本来のクライアントIPが残る設定としました。

キャッシュ

ポータルサイトは基本的に公共料金の明細が確定した時点で新しい明細画面が動的に生成されていく単純な仕様でしたので、キャッシュによる表示不具合は特に起きないと考え、Cloudflare 標準のキャッシュ設定を利用することにしました。

全体の導入には、現況確認、環境仕様確認、方針決定、各種設定・変更、検証などを含めて約２週間程度の時間を要しましたが、実作業としては約２日で完了しています。

3. 効果

導入直後から、Cloudflare のWAFで大部分の不正アクセスを遮断し、オリジンサーバに届く不正アクセスがほとんどなくなる結果となりました。国外からのアクセスをブロックしたことの効果が大きく、どこまで標準機能のDDos軽減やWAFでブロックできたのかは判定が難しくなりましたが、Cloudflare の無料プランで不正アクセスの９割以上を遮断することに成功しました。

_{▲ 国外（Brazil）からのアクセスをWAFのカスタムルールでブロックした Cloudflare のログ}

加えて、Cloudflare のコンテンツキャッシュ効果もあり、オリジンサーバ側の負荷は常時低水準となり、お客様にもご満足いただける結果となりました。

尚、この施策は、同様のサービスを持つ他社様（計６社）に同様に提供し、2025年10月現在に至るまで、いずれも安定して稼働しています。

このように、Cloudflare は、比較的短い期間、ローコストで導入でき、WEBの安定化・セキュリティに高い効果を発揮します。WEBサイトへの不正アクセスやサーバ負荷でお困りのお客さまはぜひ一度、弊社お問い合わせフォームより、お気軽にご相談ください。