この記事の要点
- WAFは受信リクエストをルールに照らして制御します。
- 誤検知を確認しながら段階的に導入します。
- PHP・WordPress本体の修正を置き換えるものではありません。
WAFの役割
Cloudflare WAFは、サイトへ届くWebリクエストをルールセットに照らして検査します。マネージドルールはCloudflareが維持する既定のルール、カスタムルールはサイトの状況に合わせて条件と動作を指定するものです。
ブロックやチャレンジが可能ですが、利用できる機能は契約プランや設定により異なります。
導入時に確かめること
まずDNSとプロキシ設定、HTTPS証明書、オリジンサーバーへの接続を確認します。その後、管理画面やフォームなど重要な経路で誤検知がないかテストし、必要なルールを調整します。
攻撃対策を強めるほど正規の利用者も止める可能性があるため、セキュリティイベントを見ながら設定します。
更新と監視も続ける
WAFはアプリケーションの脆弱性そのものを修正しません。PHP、WordPress、プラグインの更新と、認証・バックアップ・ログ監視を組み合わせることが大切です。
php2shellについてPHP公式は修正版への更新を強く勧めています。WAFを導入している場合もPHP本体の対策状況を確認してください。