11-3 警備の手配書（HTTP DDoS Managed Ruleset）
警備員が自分の勘だけで人を追い返すと、日によって基準が変わります。そこで店は、あらかじめ手配書を渡しておきます。「この特徴の相手が来たら、こうする」と書いてある紙です。
いま読んでいるこのサイト（Cloudflare Lab）でも、前の節の警備は勘で動いているわけではありません。何を見て、どう処置するかは、あらかじめ用意された紙に書かれています。
この節では、手配書の中身、二つのつまみ、触る場所、触らない選択の順に見ます。
Learning goals
この節でできるようになること
- 手配書が常に有効で外せないことを説明できる
- 変えられるのが action と Sensitivity Level の二つだと言える
- 設定画面までの経路を言える
- Free plan で調整できる範囲を言える
1. 手配書はいつも開いている（managed ruleset）
Section titled “1. 手配書はいつも開いている（managed ruleset）”手配書は、その場で書くものではありません。過去に来た迷惑客の特徴を集めて、あらかじめ用意しておく紙です。
Cloudflare では、この紙を HTTP DDoS Attack Protection の managed ruleset と呼びます。公式は、L7（application layer）で知られている攻撃を見つけるための pre-configured rules（あらかじめ設定されたルール）の集まりだと説明しています。見つける対象は、知られている攻撃の型や道具、疑わしい振る舞い、規約違反、本社側で大量の誤りを起こす要求などです。
この紙は Cloudflare が定期的に更新します。公式は、この managed ruleset は常に有効であり、変えられるのは振る舞いだけだと明記しています。
手配書はいつも開いたままで、しまうことはできません。
つまり、警備そのものを止める選択肢はなく、あるのは加減だけです。
2. 変えられるのは二つのつまみ（action と Sensitivity Level）
Section titled “2. 変えられるのは二つのつまみ（action と Sensitivity Level）”手配書に対して店主が言えることは二つです。「見つけたらどう扱うか」と「どのくらい神経質に見るか」です。
Cloudflare では、前者を action、後者を Sensitivity Level と呼びます。action に選べるのは Block（通さない）、Managed Challenge（相手の性質に応じた確認を出す）、Interactive Challenge（操作を伴う確認を出す）、そして Log（記録だけ）です。Log は Advanced DDoS Protection を契約した Enterprise plan だけで選べます。
Sensitivity Level は 4 段階で、High が既定です。以下 Medium、Low、Essentially Off と下がります。感度が高いほど反応する水準が低く、感度を下げると水準が上がります。
左のつまみが処置、右のつまみが感度です。本物のお客さんが止められてしまうときは、右のつまみを下げます。
つまり、誤って止められたら、まず感度を下げます。
3. 注記を挟む場所（override）
Section titled “3. 注記を挟む場所（override）”手配書に注記を挟むには、手配書を綴じてある場所まで行きます。
Cloudflare では、この注記を override と呼びます。経路は次のとおりです。
手配書の全体に効かせるなら Ruleset action と Ruleset sensitivity を選び、個別の項目だけを変えるなら Browse rules から探して指定します。個別の指定は全体の指定より優先され、変更できない読み取り専用の項目もあります。
見出しを順にたどると、手配書の設定にたどり着きます。
つまり、調整は決まった 1 か所からだけ行います。
4. 触らないという選択
Section titled “4. 触らないという選択”既定のまま置くのも立派な判断です。公式が調整をすすめるのは、正当な通信が大きく増えると分かっている場合、つまり誤って止められる恐れがある場合です。
調整できる幅もプランで違います。公式によれば、Advanced DDoS Protection を契約した Enterprise plan は条件式付きの override を 10 枚まで挟めますが、それ以外の利用者が挟めるのは 1 枚だけで、条件式は書けず、すべての通信に当たります。
なお、本社側の誤りを見るルールには、どのプランでも 1 秒あたり 1,000 件という既定の水準があります。Pro 以上ではさらに、普段の通信量の 5 倍以上という条件も加わります。
Cloudflare Lab での使われ方
Section titled “Cloudflare Lab での使われ方”ここで紹介した手配書が、いま読んでいる Cloudflare Lab でどう扱われるかを見ます。
Cloudflare Lab は Free plan で、記事を読むだけのサイトです。当面は override を作らず既定のままにします。自分のドメイン（zone）を持った後に設定画面で既定値を確認し、見えた値をこの節へ追記します。
つまずきやすいところ
Section titled “つまずきやすいところ”この節のまとめ
Section titled “この節のまとめ”- HTTP DDoS Attack Protection の managed ruleset は常に有効で、外せません。
- 変えられるのは action（処置）と Sensitivity Level（感度）の二つです。
- Free plan で挟める override は 1 枚だけで、条件式は書けません。
この節で出てきた言葉を、つながりの順に並べると次のようになります。
図のラベル: 常に有効な手配書 managed ruleset / L7 の既知の型に当てる pre-configured rules / 見つけたらどう扱うか action / どのくらい神経質に見るか Sensitivity Level / 注記を 1 枚足す override / 設定は 1 か所から Create override
次の節では、警戒の度合いそのものを上げ下げする設定を見ます。
この節のチェック
© 2026 osdse