1. Cloudflare WAFで管理画面を許可リスト化する

2. Nginxで秘密ファイル探索を即時遮断する

3. Nucleiなどのスキャナをレート制限する

4. SysmonでDLLロードとファイル作成を記録する

5. ASRルールを監査モードで展開する

6. 正規署名付きEXEの実行場所を監視する

P2：継続的に実施する対策

1. App Control for BusinessやWDACを導入する

2. IPS、EDR、DNS、WAFログを相関分析する

3. ファイル名ではなく攻撃チェーン全体で判定する

4. IOCを定期的に更新する

5. 攻撃シミュレーションを行い、検知漏れを確認する

Cloudflare WAFの推奨設定

1. 管理画面を許可IPだけに制限する

Django管理画面を公開している場合は、社内IP、VPN、SASE出口IPなどだけに限定します。

CloudflareのIPリストをadmin_allowed_ipsとして作成した場合の例です。

(not ip.src in $admin_allowed_ips
 and http.request.uri.path wildcard "/admin/*")

推奨アクション：

Block

Cloudflareは、IPリストに含まれない接続元だけを管理画面で遮断するカスタムルールを公式に案内しています。