Web Application Firewall:ボット脅威インテリジェンスルールの設定

前提条件

• WAFインスタンスが購入され、Bot Manager機能が有効になっています。 詳細については、「Purchase a WAF instance」をご参照ください。

• WebサイトがWAFに追加されます。 詳細については、「チュートリアル」をご参照ください。

背景情報

ボットの脅威インテリジェンスルールを設定するときは、脅威インテリジェンスライブラリの種類に基づいてアクションを指定できます。 たとえば、ブロック、JavaScript検証、CAPTCHA検証などのアクションを指定できます。 ボット脅威インテリジェンスルールを設定して、重要なエンドポイントを特定の脅威から保護することもできます。 これにより、サービスへの悪影響を最小限に抑えることができます。

手順

1. にログインします。WAFコンソール.

2. 上部のナビゲーションバーで、リソースグループとWAFインスタンスが属するリージョンを選択します。 リージョンは、中国本土または中国本土以外です。

3. 左側のナビゲーションウィンドウで、[保護設定] > [Webサイト保護] を選択します。

4. [Webサイトの保護] ページの上部で、保護ルールを設定するドメイン名を選択します。

5. [ボット管理] タブをクリックし、[ボット脅威インテリジェンス] セクションを見つけます。 次に、[ステータス] をオンにし、[設定] をクリックします。

   説明

   ボット脅威インテリジェンス機能を有効にすると、Webサイト向けのすべてのリクエストが機能によってチェックされます。 必要な条件に一致するリクエストが機能のチェックをバイパスするように、ボット管理許可リストを設定できます。 詳細については、「ボット管理のホワイトリストの設定」をご参照ください。

6. [Bot Threat Intelligence] ルールリストで、使用する脅威インテリジェンスライブラリを見つけ、[Status] 列のスイッチをオンにします。

   次の表に、WAFがサポートするボット脅威インテリジェンスライブラリを示します。

   インテリジェンスライブラリ	説明
   悪意のあるスキャナー指紋ブラックリスト	このライブラリには、トラフィック分析に基づく数万台のスキャナの特性が含まれています。
   悪意のあるスキャナーIPブラックリスト	このライブラリには、Alibaba Cloudで検出されたスキャン攻撃の送信元IPアドレスに基づいて動的に更新される悪意のあるIPアドレスが含まれています。
   Credential Stuffing IPブラックリスト	このライブラリには、Alibaba Cloudで検出された資格情報スタッフィングとブルートフォース攻撃のソースIPアドレスに基づいて更新される数十万の悪意のあるIPアドレスが含まれています。
   偽のクローラーブラックリスト	このライブラリは、BaiduSpiderなどの許可された検索エンジンのUser-Agentを使用して許可されたプログラムを偽装するクローラーを識別します。 重要 このライブラリを有効にする前に、クローラー許可リストが設定されていることを確認してください。 そうでなければ、偽陽性が起こり得る。 詳細については、「許可されたクローラー機能の設定」をご参照ください。
   悪意のあるクローラーブラックリスト	このライブラリには、Alibaba Cloudで検出されたクローラーのソースIPアドレスに基づいて動的に更新される数百万の悪意のあるIPアドレスが含まれています。 このライブラリは、3つの重症度レベル: 低、中、および高に分類される。 重大度が高いほど、ライブラリ内のIPアドレスが多くなり、偽陽性率が高くなります。 説明 重大度の高いライブラリに対して、CAPTCHAやJavaScript検証などの2要素認証を設定することを推奨します。 2要素認証を実装できないシナリオでは、重要度の低いライブラリに基づいて脅威インテリジェンスルールを構成することをお勧めします。
   IDC IPリスト	これらのライブラリには、Alibaba Cloud、Tencent Cloud、Meituan Open Services、21VianetなどのパブリッククラウドとオンプレミスデータセンターのIPアドレスが含まれています。 攻撃者は通常、パブリッククラウドまたはオンプレミスのデータセンターのCIDRブロックを使用してクローラーをデプロイしたり、Webサイトにアクセスするためのプロキシとして使用します。 通常のユーザーがこの方法でWebサイトにアクセスすることはめったにありません。

   デフォルトのルールを有効にすると、WAFは、保護されたドメイン名のディレクトリに対するルールに対応する脅威インテリジェンスライブラリのIPアドレスから開始されたリクエストに対してMonitorアクションを実行します。 このアクションは、宛先ディレクトリへの要求を許可し、要求をログに記録します。

   デフォルトルールを変更する必要がある場合は、カスタム脅威インテリジェンスルールを設定する方法に関する次のセクションを参照してください。 たとえば、保護されたURLまたはアクションを指定する場合は、次のセクションのステップ7を参照してください。

7. オプション:カスタム脅威インテリジェンスルールを設定します。

   1. 変更するルールを見つけて、[操作] 列の [編集] をクリックします。

   2. [インテリジェンスの編集] ダイアログボックスで、次のパラメーターを設定します。

      パラメーター	説明
      保護されたパス	保護するURL (/abc、/login/abc、またはすべてのディレクトリを示すスラッシュ (/) など) 。 また、[マッチング] の値を選択する必要があります。 設定可能な値は以下のとおりです。 正確な一致: 宛先URLは、保護されたURLと完全に一致する必要があります。 プレフィックス一致: 宛先URLのプレフィックスは保護されたURLと一致します。 正規表現一致: 宛先URLは、保護されたURLの指定された正規表現と一致します。 [保護URLの追加] をクリックすると、さらにURLを追加できます。 最大10個のURLを追加できます。
      アクション	ルールの一致条件が満たされた後に実行するアクション。 設定可能な値は以下のとおりです。 Monitor: 宛先ディレクトリへのリクエストを許可し、リクエストをログに記録します。 Block: 宛先ディレクトリへのリクエストをブロックします。 JavaScript検証: クライアントがJavaScript検証を実行する必要があります。 リクエストは、クライアントが検証に合格した後にのみ宛先ディレクトリに転送されます。 Captcha: クライアントがスライダーCAPTCHA検証を実行する必要があります。 リクエストは、クライアントが検証に合格した後にのみ宛先ディレクトリに転送されます。 説明 スライダーCAPTCHAは同期リクエストのみをサポートします。 Ajaxリクエストなどの非同期リクエストを確認するには、Alibaba Cloudセキュリティチームにお問い合わせください。 Ifことができないかどうかを判断保護されたURLサポートスライダーCAPTCHA推奨あなた作成IPアドレスまたはURLベースのカスタム保護政策 (ACL) を実行する。 詳細については、「カスタム保護ポリシーの設定」をご参照ください。 厳密なキャプチャ: クライアントが厳密なスライダーCaptcha検証を実行する必要があります。 要求は、クライアントが検証に合格した後にのみ宛先ディレクトリに転送されます。 厳密なスライダーCAPTCHA検証には、訪問者のIDを検証するためのより厳しい基準があります。

   3. [OK] をクリックします。