# Cloudflare Domains

{{#include ../../banners/hacktricks-training.md}}

Cloudflareに設定された各TLDには、いくつかの**一般設定とサービス**が構成できます。このページでは、各セクションの**セキュリティ関連設定**を**分析**します。

<figure><img src="../../images/image (101).png" alt=""><figcaption></figcaption></figure>

### 概要

- [ ] アカウントのサービスが**どれだけ**使用されているかを把握する
- [ ] **ゾーンID**と**アカウントID**も確認する

### 分析

- [ ] **`Security`**で**レート制限**があるか確認する

### DNS

- [ ] DNS **レコード**に**興味深い**（機密？）データがあるか確認する
- [ ] **名前**に基づいて**機密情報**を含む可能性のある**サブドメイン**を確認する（例：admin173865324.domin.com）
- [ ] **プロキシされていない**ウェブページを確認する
- [ ] CNAMEまたはIPアドレスで**直接アクセス可能な**プロキシ化されたウェブページを確認する
- [ ] **DNSSEC**が**有効**であることを確認する
- [ ] **すべてのCNAMEでCNAMEフラッティングが使用されている**ことを確認する
- これは**サブドメインの乗っ取り脆弱性を隠す**のに役立ち、読み込み時間を改善します
- [ ] ドメインが[**スプーフィングに対して脆弱でない**](https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-smtp/index.html#mail-spoofing)ことを確認する

### **メール**

TODO

### スペクトラム

TODO

### SSL/TLS

#### **概要**

- [ ] **SSL/TLS暗号化**は**フル**または**フル（厳格）**であるべきです。それ以外は、いずれかの時点で**平文トラフィック**を送信します。
- [ ] **SSL/TLS推奨設定**が有効であるべきです

#### エッジ証明書

- [ ] **常にHTTPSを使用**が**有効**であるべきです
- [ ] **HTTP厳格トランスポートセキュリティ（HSTS）**が**有効**であるべきです
- [ ] **最小TLSバージョンは1.2であるべきです**
- [ ] **TLS 1.3が有効**であるべきです
- [ ] **自動HTTPS書き換え**が**有効**であるべきです
- [ ] **証明書透明性モニタリング**が**有効**であるべきです

### **セキュリティ**

- [ ] **`WAF`**セクションでは、**ファイアウォール**と**レート制限ルールが使用されている**か確認することが興味深いです。
- **`バイパス`**アクションは、リクエストに対して**Cloudflareのセキュリティ**機能を**無効**にします。使用すべきではありません。
- [ ] **`ページシールド`**セクションでは、ページが使用されている場合は**有効**であることを確認することをお勧めします
- [ ] **`APIシールド`**セクションでは、CloudflareでAPIが公開されている場合は**有効**であることを確認することをお勧めします
- [ ] **`DDoS`**セクションでは、**DDoS保護を有効**にすることをお勧めします
- [ ] **`設定`**セクションでは：
- [ ] **`セキュリティレベル`**が**中**以上であることを確認する
- [ ] **`チャレンジパッセージ`**が最大1時間であることを確認する
- [ ] **`ブラウザ整合性チェック`**が**有効**であることを確認する
- [ ] **`プライバシーパスサポート`**が**有効**であることを確認する

#### **CloudFlare DDoS保護**

- 可能であれば、**ボットファイトモード**または**スーパーボットファイトモード**を有効にします。プログラム的にアクセスされるAPIを保護している場合（例えば、JSフロントエンドページから）。そのアクセスを壊さずにこれを有効にできないかもしれません。
- **WAF**では、**URLパスによるレート制限**を作成することができます（レート制限ルール）、または**IP、クッキー、リファラー**に基づいて**アクセスをブロック**することができます。したがって、ウェブページから来ないリクエストやクッキーを持たないリクエストをブロックできます。
- 攻撃が**確認済みのボット**からの場合、少なくとも**ボットにレート制限を追加**します。
- 攻撃が**特定のパス**に対するものである場合、予防策としてこのパスに**レート制限を追加**します。
- **ツール**からIPアドレス、IP範囲、国、またはASNを**ホワイトリスト**に追加することもできます。
- **管理ルール**が脆弱性の悪用を防ぐのに役立つかどうか確認します。
- **ツール**セクションでは、特定のIPやユーザーエージェントに**ブロックまたはチャレンジを与える**ことができます。
- DDoSでは、**いくつかのルールをオーバーライドしてより制限的にする**ことができます。
- **設定**：**セキュリティレベル**を**高**に設定し、**攻撃中**の場合は**攻撃中**に設定し、**ブラウザ整合性チェックが有効**であることを確認します。
- Cloudflare Domains -> Analytics -> Security -> **レート制限**が有効か確認します
- Cloudflare Domains -> Security -> Events -> **検出された悪意のあるイベント**を確認します

### アクセス

{{#ref}}
cloudflare-zero-trust-network.md
{{#endref}}

### スピード

_セキュリティに関連するオプションは見つかりませんでした_

### キャッシング

- [ ] **`設定`**セクションで**CSAMスキャンツール**を有効にすることを検討します

### **ワーカーズルート**

_すでに_ [_cloudflare workers_](#workers) _を確認しているはずです_

### ルール

TODO

### ネットワーク

- [ ] **`HTTP/2`**が**有効**であれば、**`HTTP/2 to Origin`**も**有効**であるべきです
- [ ] **`HTTP/3 (with QUIC)`**が**有効**であるべきです
- [ ] **ユーザーのプライバシー**が重要な場合、**`オニオンルーティング`**が**有効**であることを確認します

### **トラフィック**

TODO

### カスタムページ

- [ ] セキュリティに関連するエラーが発生した場合（ブロック、レート制限、または攻撃中モードなど）、カスタムページを設定することはオプションです

### アプリ

TODO

### スクレイプシールド

- [ ] **メールアドレスの難読化**が**有効**であることを確認する
- [ ] **サーバーサイド除外**が**有効**であることを確認する

### **ザラズ**

TODO

### **Web3**

TODO

{{#include ../../banners/hacktricks-training.md}}
