DEFENSE
多層防御と実例
多層防御と実例
Cloudflareが守るところと、自社で守るところ。世界最大級の会社でも狙われた実例から、守りを重ねる考え方を説明します。
Cloudflareの中のOSと「Cloudflare OS」
Cloudflareのサーバーも、中ではOS（Linux）で動いています。2026年8月には「Cloudflare OS」という名前の仕組みも公開されましたが、こちらは本来の意味のOSではありません。
Cloudflareのサーバー1台の中身
名前は「OS」でも中身はアプリ基盤（Cloudflare OS）
- Workersの上で動くAI業務ツール
- 2026年8月5日公開、オープンソース
- 公式も「従来のOSではない」と説明
こちらが本来の意味のOS（Linux）
- Cloudflareが自社で管理・更新
- 約28日ごとに全拠点で新しいカーネルへ
- 利用者からは見えない・触れない
LTS＝長期間、修正が提供される版／カーネル＝OSの中心部分／Debian＝Linuxの種類の1つ／workerd・V8＝Workersを動かす実行の仕組み。
守りの分担Linuxは攻撃される？ 守りを分担する
入口で検査
サーバーの住所を隠すCloudflareが守る
Tunnelで受け口を閉じる
管理用SSHは閉じる
（自動更新も可能）
管理画面は2段階認証
2〜4は自社（サーバー側）で守る。Cloudflareを迂回した直接攻撃は、2の入口設定で届かないようにする
Cloudflareは入口を守りますが、サーバーのOSを更新してくれるわけではありません。
Cloudflareの住所だけを通す設定は、攻撃者が自分のCloudflareアカウントを経由すると通り抜けられます。Tunnel（サーバーからCloudflareへ専用の通り道を張り、外からの受け口を閉じる仕組み）か、認証付き接続（自社専用の証明書で、自社のCloudflareからの通信かを確かめる設定）を必ず使います。SSH＝サーバーを遠隔操作する管理用の入口。
実例Cloudflare自身の対応と被害
Linuxの弱点「Copy Fail」
Linuxの中心部分に、管理者の権限を奪える深刻な弱点（CVE-2026-31431）が見つかりました。Cloudflareのサーバーも対象でした。
- 4月29日弱点が公表される
- 4月30日全世界に応急処置（再起動なしで入口を封鎖）
- 5月4日修正済みのカーネルへの入れ替えを開始
- 結果悪用の形跡なし・お客様データへの影響なし・停止なし
社内システムへの侵入
国家の支援を受けているとみられる攻撃者が、社内の共有資料（Wiki）や課題管理のツールに侵入しました。
原因はLinuxの弱点ではなく、別の会社（Okta）への攻撃で盗まれ、更新されずに残っていた認証情報でした。
お客様のデータやシステムへの影響はなかったと発表されています。
CVE＝弱点ごとの世界共通の番号／Okta＝ログイン管理サービスの会社／Wiki＝社内で共有する書き込み式の資料。
木立の対応Air Guardでは、4つの層をすべて見ます
- 入口Cloudflareの防御の設定（WAF・ボット・DDoS）
- サーバーの入口Tunnelで受け口を閉じ、管理用の入口を閉じる
- サーバーPHP・OSを定期的に最新にする
- アプリと人管理画面の2段階認証、権限とパスワードの管理
まずは無料の安全診断から
かんたんなアンケートで、今の状態をお調べします。他社が作ったホームページもお任せください。