DDoS攻撃時にCloudflare「アンダーアタック」モードを使う方法と安全な復旧手順

Cloudflareの「アンダーアタック」モードは、DDoS攻撃を受けているウェブサイトに対して、ボットトラフィックを即座に遮断し、正規ユーザーのアクセスを維持するための緊急対策機能です。Cloudflare管理画面で対象サイトを選択し、Securityセクションからアンダーアタックモードを有効化すると、数分以内にHTTP/HTTPS経由の過剰リクエストを遅延させ、サーバー負荷を軽減できます。ただし、このモードだけでは根本的な防御にはならず、DNSのプロキシ設定、WAFルール、レートリミット、キャッシュ構成、オリジンサーバーのセキュリティと組み合わせて活用する必要があります。

本ガイドでは、Cloudflareアンダーアタックモードの有効化手順、適切な活用タイミング、補助設定、攻撃終了後の安全な通常運用への戻し方をステップごとに詳しく解説します。慌てる場面で役立つチェックリストを提供し、サイトの可用性を最速で回復させることを目指します。

Cloudflareアンダーアタックモードとは？

Cloudflareアンダーアタックモードは、Cloudflareが提供する緊急時用のセキュリティレベルです。有効化すると、アクセスしてきた訪問者のブラウザに短時間の認証画面を表示し、自動化されたボットや単純なHTTPフラッドツール、悪意のある非ブラウザクライアントによる直接攻撃をブロックします。

主な目的は、アプリケーション層（Layer 7）への攻撃を緩和することです。例えば、ホームページに秒間数千件のGETリクエスト、WordPressログインページへの大量POST、検索ページやカートページへの不審な大量アクセスなどがあった場合、アンダーアタックモードは素早い初期対応を実現します。

注意すべき点は、アンダーアタックモードはウェブリクエストをフィルタリングするだけで、サーバーのIPアドレスが直接狙われていたり、Cloudflareのプロキシ外のサービスが攻撃対象の場合、またはLayer 3/4レベルの攻撃が発生している場合は追加の対策が必要になることです。したがって、DNSレコードがCloudflareプロキシ経由になっていること、オリジンIPが秘匿されていること、ホスティング側のセキュリティ対策が適切に施されていることが重要です。安全なインフラ選択の参考として、安全なウェブホスティングサービスやSSL証明書の設置の内部リンクをご活用ください。

DDoS攻撃の兆候：アンダーアタックモード前に確認すべき点

サイトの遅延やエラーが必ずしもDDoS攻撃とは限りません。誤ったプラグインやデータベースのロック、高負荷のcronジョブ、キャッシュ設定ミスなどが原因の場合もあります。アンダーアタックモードを有効化する前に簡単な診断を行うことで、不要な対策を避けられます。しかし、サーバー応答が著しく遅く、502/503/504エラーが頻発し、ログに異常なリクエスト爆発が見られる場合は、即座に緊急モードを適用すべきです。

典型的なDDoSの兆候

• 短時間で通常の5倍、10倍、50倍以上のトラフィック増加。
• 特定ページやエンドポイントへ秒間数百件のリクエスト。
• 異なる国から似たUser-Agent値のアクセスが集中。
• WordPress、WooCommerce、OpenCartなどの管理画面やログイン、検索、カート等の高負荷URLが狙われる。
• サーバーのCPU、RAM、PHP-FPMワーカーやMySQL接続数が限界に達する。
• Cloudflare Analyticsで4xx/5xxエラーの急増。
• 正規ユーザーは断続的にアクセスできるが、ボットは常時リクエストを送信。

例えば、通常は1分間に2,000件のリクエストがあるECサイトが、10分間で80,000件に急増し、70%がカートや検索ページに集中している場合は明らかにLayer 7攻撃です。この場合、最初の5分以内にアンダーアタックモードを有効化し、対象URLにWAFやレートリミットのルールを追加します。

Cloudflareアンダーアタックモードはいつ使うべき？

アンダーアタックモードは常時オンにするべき通常のセキュリティ設定ではありません。なぜなら正規訪問者にも認証画面が表示されるため、特に決済ページやAPI利用時はユーザー体験に影響します。最適な運用は、攻撃時のみ一時的に有効化し、状況が落ち着いたらセキュリティレベルを調整することです。

適切な利用シーン

• サイトに異常な大量HTTP/HTTPSリクエストが発生している。
• サーバーリソースが急速に消耗し、502/503エラーが増えている。
• Cloudflare WAFがまだカスタムルールで構成されておらず、即時防御が必要。
• ボットトラフィックが正規ユーザーのアクセスを大きく上回っている。
• 攻撃対象がウェブページ、フォーム、ログイン画面、検索エンドポイントなどの場合。

慎重に使うべきシーン

• モバイルアプリや決済サービス、WebhookやAPIトラフィックが多い場合。
• 検索エンジンボットが重要なクロール期間中の場合。
• 企業ユーザーが古いブラウザや制限されたネットワークからアクセスする場合。
• Cloudflareプロキシ外のサブドメインが存在する場合。

APIトラフィックがあるサイトで全ドメインにアンダーアタックモードを適用すると、一部連携が失敗する可能性があります。APIサブドメインには個別にWAFルールやallowlist、適切なセキュリティレベルを設定することが推奨されます。APIセキュリティの詳細はAPIセキュリティとレート制限ガイドをご参照ください。

Cloudflareアンダーアタックモードの有効化手順

以下の手順は、攻撃時に迅速な対応ができるようまとめたチェックリストです。CloudflareのUIは多少変化することがありますが、基本は「ドメイン選択→セキュリティレベル設定→トラフィック認証」です。

1. Cloudflareアカウントにログイン

まずCloudflareアカウントへログインし、攻撃を受けているドメインを選択します。複数ドメイン管理の場合は、対象ゾーンを間違えないよう注意してください。誤ったドメインでアンダーアタックモードを有効化しても攻撃は止まりません。

2. DNSレコードがプロキシ状態か確認

アンダーアタックモードを効果的に使うには、ウェブトラフィックがCloudflare経由で流れている必要があります。DNSセクションでA、AAAA、CNAMEレコードがオレンジ色の雲（プロキシ状態）になっているか確認します。グレーの雲（DNS only）はCloudflareのセキュリティ層を経由しません。特にwww、ルートドメイン、サブドメインをチェックしましょう。

オリジンIPアドレスがインターネット上で公開されている場合、攻撃者はCloudflareを迂回してサーバーに直接攻撃できます。したがって、サーバーファイアウォールでCloudflare IPレンジからのHTTP/HTTPSのみ許可することが強力な追加対策です。ホスティング業者に相談するか、CloudflareのDNS設定方法のガイドを参照してください。

3. Securityセクションからアンダーアタックモードを有効化

Cloudflare管理画面で該当ドメインを開き、SecurityまたはOverview画面からアンダーアタックモード（I am Under Attack）を探して有効化します。これで訪問者に短時間の認証ページが表示され、ボットトラフィックが遮断されます。

有効化後、効果はすぐ現れ始めます。Cloudflare Analytics、Security Events、サーバーリソースの消費状況を併せて監視しましょう。CPUや接続数が減ってきたら正常です。エラーが続く場合は追加ルールの設定が必要です。

4. 正規ユーザーの体験をテスト

モード有効化後は様々なネットワーク（モバイル回線、オフィスWi-Fi、異なる地域）から主要ページ（ホーム、商品、ログイン、決済）を検証します。認証画面後にアクセスできれば期待通りです。無限ループや認証失敗が発生する場合は、Cookieブロック設定、ブラウザ互換性、Cloudflareのセキュリティルール競合を調査しましょう。

5. 攻撃対象URLを特定

アンダーアタックモードは全体防御ですが、効果的な対策には狙われているURLへの個別ルールが不可欠です。Cloudflare Security Events、Web Analytics、ホスティングアクセスログ、アプリログから最大リクエスト数のパスを特定します。例：/wp-login.php、/xmlrpc.php、/search、/cart、/api/login、/checkoutなど。

対象URLが判明したら、WAFカスタムルールで国、User-Agent、リクエスト方法、URIパス、ボットスコアなどの条件ごとにアクションを指定できます。例えば、特定ログインエンドポイントに1分間に多数アクセスするIPにはmanaged challengeを適用可能です。WordPressサイトの場合、WordPressセキュリティ対策を内部リンクとして活用できます。

アンダーアタックモードと他のCloudflareセキュリティ機能の違い

Cloudflareのセキュリティ機能は用途が異なります。アンダーアタックモードは緊急対応用の全体フィルター、WAFやレートリミットは持続的かつ細かい制御を提供し、ユーザー体験への影響も調整可能です。

実際の防御フローは、まずアンダーアタックモードで急激な攻撃を緩和し、攻撃パターン分析後にWAFやレートリミットを追加、最終的にキャッシュやオリジンファイアウォールで持続的な防御を構築します。

攻撃時に推奨されるCloudflare追加設定

アンダーアタックモードはワンクリックで有効化できますが、DDoS防御の効果は補助設定次第です。以下は現場で有効な主な施策です。

WAFルールでターゲット防御

Cloudflare WAFは条件ごとにアクション設定可能です。例：/wp-login.phpへのPOSTリクエストを特定国だけチャレンジ、など。全サイトを重くせず対象部分を隔離できます。

• 管理画面・ログインページを特定国/IPに限定。
• 未使用のXML-RPCエンドポイントをブロック。
• 怪しいUser-Agentにはmanaged challenge適用。
• 特定URIへの多リクエストIPにはレートリミット。

キャッシュレベルの最適化

DDoS時にオリジンサーバーが全リクエストに応答すると速攻でリソース枯渇します。静的ファイル、画像、CSS、JavaScript、キャッシュ可能ページはCloudflareエッジ配信に。WordPressなど動的サイトではページキャッシュプラグイン、Cloudflareキャッシュルール、適切なcache-controlヘッダーを併用しましょう。

例えばニュースやブログ主体のサイトなら匿名訪問者向けページは5～30分キャッシュ可能。これだけで攻撃時以外でもTTFB改善やサーバー負荷軽減に繋がります。パフォーマンス改善にはウェブサイトスピードアップガイドを参照。

レートリミット閾値の現実的設定

レートリミットは高負荷エンドポイントで特に有効ですが、閾値が適切でないと正規ユーザーを阻害します。例：商品検索ページで通常ユーザーは1分間に5～15回検索、100回は異常。ログインページなら5分間に10回失敗は不審。

例：/wp-login.phpで1分間に10回以上アクセスするIPにmanaged challenge、5分間に50回以上なら一時ブロック。APIエンドポイントではセッション、IP、トークン、メソッドごとに細かく制御が必要です。

オリジンIPの秘匿とファイアウォール制限

Cloudflare利用時の最大の落とし穴はオリジンIPの公開です。古いDNSレコード、IP直アクセスサブドメイン、メール用レコードと混在するウェブサービス、漏洩した設定ファイルなどが攻撃者の直接攻撃を招きます。

サーバー側では80/443ポートをCloudflare IPレンジのみに限定。SSH、管理画面、DB、管理ポートは公開せずIP制限・強力パスワード・2FA・VPNを活用。ホスティングセキュリティはcPanelセキュリティ設定やVPSファイアウォール設定の内部リンクを参照。

WordPress、WooCommerce、企業サイトの注意点

すべてのウェブサイトが同じトラフィック構造ではありません。ブログ、WooCommerceショップ、SaaSパネルなど、アンダーアタックモードの影響はサイトタイプごとに異なります。重要経路をタイプ別に見極めましょう。

WordPressサイト

/wp-login.phpと/xmlrpc.phpが狙われやすいです。XML-RPC未使用ならブロックが安全。管理画面への国/IP制限も有効。セキュリティプラグインとCloudflareルールが競合しないよう注意し、認証ループが発生しないよう調整しましょう。

WooCommerceショップ

カート、決済、アカウントページは動的なので、過度なキャッシュは禁物。アンダーアタックモード有効時、決済プロバイダのcallbackやWebhookが正常動作するか必ずテスト。必要に応じて決済プロバイダIPをallowlist、または該当エンドポイント用に個別ルールを作成。

企業サイト・API利用サイト

企業ポータルやCRM連携、モバイルアプリAPIはJavaScript認証画面に対応できない場合があります。全ドメインにアンダーアタックモードを適用せず、APIサブドメインは個別管理が推奨。例：www.example.comはアンダーアタック、api.example.comはトークン認証・レートリミット・allowlistで防御。

アンダーアタックモード有効化後の監視指標

セキュリティ対策の効果は数値監視が重要。単にサイトが表示されるだけでは不十分です。エラー率、サーバー負荷、正規ユーザーの行動も併せて評価しましょう。

• Cloudflare Security Events：どのルールが何件チャレンジ/ブロックしたか確認。
• HTTPステータスコード：403,429,502,503,504の推移を監視。
• サーバーCPU/RAM使用量：アンダーアタック後は低下が期待される。
• PHP-FPM/MySQL接続数：アプリ層の負荷緩和を確認。
• 帯域・リクエスト数：攻撃トラフィックと遮断率の比較。
• 正規ユーザーの成果：フォーム送信・注文・ログイン・決済の正常動作をテスト。

例えば、アンダーアタックモード有効化後も総リクエスト数が同じでも、オリジン到達リクエストが60%減ならCloudflare層が負荷を吸収している証拠です。それでもMySQL CPUが高止まりなら、攻撃が特定の動的クエリを誘発している可能性あり。アプリログを精査しましょう。

攻撃終了後のアンダーアタックモード解除手順

攻撃トラフィックが正常化したら、アンダーアタックモードをずっとオンにしておくのは推奨されません。全訪問者に認証画面が出ると、コンバージョン低下やSEOクロール効率の悪化、ユーザー満足度低下に繋がります。解除も慎重に行いましょう。

安全な通常運用への戻し方

• 最低30～60分はトラフィックが安定するまで待機。
• Cloudflare Security Eventsでチャレンジ/ブロック件数減少を確認。
• 解除前にWAFやレートリミットの個別ルールが有効か再チェック。
• セキュリティレベルをHighやMediumへ調整。
• 各デバイスからサイト検証、5xxエラー率を監視。
• 24時間はログを監視し、再攻撃の兆候がないか確認。

良い運用例として、攻撃後にインシデントレポートを作成しましょう。攻撃開始時刻、対象URL、最大リクエスト数、実施アクション、効果的だったルール、恒常的な改善点を記録。次回発生時の対応速度を大幅に短縮できます。

よくあるミスと避けるべきポイント

DDoS時は迅速な意思決定が必要ですが、設定ミスで正規ユーザーを阻害するケースも多いです。以下は特にストレス下で頻発する主なミスです。

• DNSレコードをプロキシ状態にせずアンダーアタックモードだけで防げると思い込む。
• オリジンIPを公開状態のまま、ファイアウォールでCloudflare以外のアクセスを遮断しない。
• API、Webhook、決済callbackの動作確認なしで全ドメイン認証画面を適用。
• 広範囲なWAFブロックルールで正規顧客も遮断。
• キャッシュ不要なカート、決済、ユーザーパネルを強制キャッシュ。
• 攻撃終了後もモードを数週間放置。
• サーバーログ精査なしにCloudflare画面だけで判断。

特にECサイトでは決済callbackブロックが深刻な売上損失につながります。セキュリティルール作成時は、まずログやmanaged challengeで効果検証後、必要ならブロックへ移行するのが安全です。

Hostragonsインフラでより強靭な防御を構築するには

Cloudflareは強力なフロント防御ですが、真のDDoS対策はCDNだけでは完結しません。ホスティングインフラ、ソフトウェア最適化、SSL設定、DNS管理、バックアップ戦略も一体で考える必要があります。Hostragonsで運用する場合、Cloudflareがトラフィックをフィルタし、ホスティング層がクリーンなリクエストのみ処理、アプリ側も不要なDB負荷を避ける設計が基本です。

新規サイト公開前はDNSレコードを正しく管理し、SSL証明書を問題なく導入、ウェブサーバーリソースをトラフィックに合せて選定しましょう。ドメイン検索とドメイン登録、ウェブホスティングパッケージ、法人ホスティングソリューション、無料SSL証明書など内部リンクで案内できます。

高トラフィックや攻撃リスクの高い案件では、一般的な共有ホスティングよりもVPSや管理型サーバーが有効です。ファイアウォール、ウェブサーバー、PHP-FPM、Redis、オブジェクトキャッシュ、DB設定を柔軟に構成できます。どんなインフラでもアンダーアタックモードは緊急時のみに限定し、恒常的なセキュリティ設計はWAF、ログ解析、定期アップデートで強化しましょう。

即時チェックリスト：DDoS発生時15分以内の対応

攻撃時は時間が重要です。以下は技術担当やサイトオーナーが最初の15分で実施するべき項目。

• Cloudflare管理画面にログインし、正しいドメイン選択。
• DNSレコードのプロキシ状態（オレンジ雲）を確認。
• アンダーアタックモードを有効化。
• ホーム、ログイン、カート、決済、APIエンドポイントの動作テスト。
• Cloudflare Security Eventsで攻撃対象URL特定。
• 最大リクエスト経路にWAFやレートリミットルール追加。
• サーバーCPU、RAM、PHP-FPM、MySQL状態確認。
• オリジンIPへの直接アクセス有無をテスト。
• 決済プロバイダ、Webhook、重要連携がallowlist必要か検討。
• 全アクションを時刻付きで記録。

このリストを定期的に訓練しておけば、実際の攻撃時もパニックに陥らず、迅速かつ品質の高い対応ができます。大規模サイトではインシデント対応計画として文書化を推奨します。

よくある質問

Cloudflareアンダーアタックモードはサイトを完全に守れる？

いいえ。アンダーアタックモードは主にHTTP/HTTPS経由のボットやフラッドトラフィックに有効ですが、単体では完全防御はできません。DNSレコードのプロキシ化、オリジンIPの秘匿、WAFルール、レートリミット、キャッシュ、サーバーファイアウォールと併用しましょう。

アンダーアタックモードはSEOに悪影響？

短期間の利用ならSEOへの重大な影響はありませんが、長期間オン状態だと検索エンジンクロール効率やユーザー体験に悪影響があります。攻撃終了後はモード解除し、個別セキュリティルールで運用しましょう。

アンダーアタックモードはどのくらいオンにすべき？

攻撃が収まるまで有効化可能です。実運用ではトラフィック正常化後30～60分は監視し、その後段階的に解除するのが推奨されます。解除前にWAFやレートリミットなど恒常ルールを準備しておきましょう。

アンダーアタックモードはAPIや決済システムに影響する？

はい、影響する場合があります。APIクライアント、Webhook、決済callbackシステムはブラウザ認証画面に対応できないことが多いです。重要なエンドポイントは事前にテストし、必要ならallowlistやCloudflare個別ルールを設定してください。

Cloudflare利用時、ホスティング側でも追加対策が必要？

必要です。Cloudflareはフロントで強力な防御を提供しますが、オリジンサーバーのIP秘匿、ファイアウォールによる必要トラフィックのみ許可、ソフトウェアの最新化、キャッシュ設定の適正化も不可欠です。安全なホスティングインフラはDDoS耐性の重要要素です。

まとめ

CloudflareアンダーアタックモードはDDoS攻撃時の緊急対応に極めて有効なツールです。正しいDNSプロキシ設定と組み合わせればボットトラフィックを減らし、サーバー負荷を軽減し、正規ユーザーのアクセス可能性を高めます。最良の結果を得るには、WAFルールやレートリミット、キャッシュ最適化、オリジンファイアウォールと併用が必須です。

あなたのウェブサイトを攻撃耐性の高い運用にしたいなら、インフラ、DNS管理、SSL構成を定期的に見直しましょう。Hostragonsのホスティング、ドメイン、SSLソリューションを検討し、より安全で持続可能な基盤を構築してください。