Web サイトを Web Application Firewall (WAF) に追加した後、ホワイトリストルールを構成して、特定の特徴を持つリクエストを許可できます。これらのリクエストは、Web コア保護ルール、IP ブラックリスト、カスタムルール、スキャン保護など、すべてまたは特定の保護モジュールをバイパスできます。このトピックでは、ホワイトリスト保護テンプレートの作成方法とホワイトリストルールの追加方法について説明します。
テンプレートタイプ
ホワイトリスト保護モジュールは、次の 2 つのテンプレートタイプをサポートしています。
保護テンプレート | 説明 | 適用対象 |
デフォルト保護テンプレート | WAF によって提供される初期のデフォルト保護テンプレートです。ホワイトリストルールは含まれていません。テンプレートにホワイトリストルールを追加する必要があります。 | デフォルトでは、このテンプレートはすべての新規および既存の保護対象とグループに適用されます。適用対象は手動で変更できます。 |
カスタム保護テンプレート | ビジネスニーズに基づいて作成する保護テンプレートです。このテンプレートは手動で作成する必要があります。デフォルトの保護テンプレートがビジネスニーズを満たせない場合は、このテンプレートタイプを使用します。 | [適用対象] を設定する必要があります。このテンプレートは、関連付けられた保護対象と保護対象グループに対してのみ有効になります。 |
ルールがないホワイトリスト保護テンプレートでは、リクエストが WAF をバイパスすることはできません。デフォルトでは、WAF はすべてのリクエストを検査します。
前提条件
アクティブな 従量課金 WAF 3.0 サービスが必要です。
Web サービスを 保護対象および保護対象グループ として WAF 3.0 に追加済みであること。
ステップ 1: ホワイトリスト保護テンプレートの作成
このステップは、カスタム保護テンプレートを作成する場合にのみ実行する必要があります。デフォルトの保護テンプレートを使用する場合は、このステップをスキップできます。
Web Application Firewall 3.0 コンソールにログインします。トップメニューバーから、WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。
左側のナビゲーションウィンドウで、 を選択します。
Web コア保護 ページで、ホワイトリスト セクションを見つけ、テンプレートの作成 をクリックします。
[テンプレートの作成 - ホワイトリスト] パネルで、次の構成を完了し、[OK] をクリックします。
設定項目
説明
テンプレート名
テンプレートの名前を入力します。
名前は 1～255 文字で、漢字、大文字と小文字の英字、数字、ピリオド (.)、アンダースコア (_)、ハイフン (-) を使用できます。
デフォルトテンプレートとして設定
デフォルトの保護テンプレートは、デフォルトですべての保護対象とグループに適用されます。適用対象を指定する必要はありません。デフォルトのテンプレートからオブジェクトやグループを手動で削除することもできます。各保護モジュールに対して設定できるデフォルトテンプレートは 1 つだけです。テンプレートは作成時にのみデフォルトとして設定できます。
ホワイトリスト保護テンプレートの場合、1 つの保護対象またはオブジェクトグループに対して複数の保護テンプレートを構成することもできます。有効なルールの詳細については、「複数の保護テンプレートの適用例」をご参照ください。
ルール設定
[ルールの作成] をクリックして、現在のテンプレートのホワイトリストルールを作成できます。この設定をスキップして、テンプレートの作成後にテンプレートのルールを作成することもできます。詳細については、「ステップ 2: ホワイトリスト保護テンプレートにホワイトリストルールを追加する」をご参照ください。
適用対象
構成済みの保護対象および保護対象グループ から、このテンプレートを適用するものを選択します。
保護対象またはオブジェクトグループは、複数のホワイトリスト保護テンプレートに関連付けることができます。デフォルトの保護テンプレートを設定した場合、デフォルトですべての保護対象とグループに適用されます。デフォルトのテンプレートを設定しない場合、デフォルトではオブジェクトやグループは選択されません。適用対象は手動で変更できます。
新しい保護テンプレートはデフォルトで有効になっています。保護テンプレートのリストでは、次の操作を実行できます。
テンプレートに関連付けられている 保護対象 / グループ の数を表示します。
ステータス を使用してテンプレートを有効または無効にします。
Create Rule をクリックして、テンプレートの新しいルールを作成します。
保護テンプレートを 編集、削除、または 複製 します。
テンプレート名の横にある
アイコンをクリックして、保護テンプレート内のルールに関する情報を表示します。
説明WAF は、次のシナリオで AutoTemplate という名前の保護テンプレートを自動的に作成し、ホワイトリストルールを追加します。
Web コア保護ルールのインテリジェントホワイトリストエンジンを有効にすると、エンジンはログを分析します。誤検知のリスクを特定した場合、指定されたパスとルール ID のホワイトリストルールを自動的に追加します。詳細については、「インテリジェントホワイトリストエンジン」をご参照ください。
セキュリティレポートを表示するときに、Web コア保護ルールによって検出された攻撃を処理するために [誤検知を無視] を選択すると、WAF はソースが [カスタム] のホワイトリストルールを自動的に追加します。詳細については、「セキュリティレポート」をご参照ください。
セキュリティレポートを表示するときに、ボット管理モジュールによって検出された攻撃を処理するために [ホワイトリストに追加] を選択すると、WAF はソースが [カスタム] のホワイトリストルールを自動的に追加します。詳細については、「セキュリティレポート」をご参照ください。
ステップ 2: ホワイトリスト保護テンプレートにホワイトリストルールを追加する
ホワイトリスト保護テンプレートは、ホワイトリストルールを追加した後にのみ有効になります。すでにテンプレートにホワイトリストルールを追加している場合は、このステップをスキップできます。
Web Application Firewall 3.0 コンソールにログインします。トップメニューバーから、WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。
左側のナビゲーションウィンドウで、 を選択します。
[ホワイトリスト] セクションで、ルールを追加する保護テンプレートを見つけ、[アクション] 列の [ルールの作成] をクリックします。
[ルールの作成] ダイアログボックスで、次の構成を完了し、[OK] をクリックします。
設定項目
説明
ルール名
ルールの名前を入力します。
名前には、漢字、大文字と小文字の英字、数字、ピリオド (.)、アンダースコア (_)、ハイフン (-) を使用できます。
一致条件
ルールに一致させたいリクエストの特徴を指定します。
条件の追加 をクリックして一致条件を追加します。1 つのルールには最大 5 つの一致条件を含めることができます。ルールに複数の条件が含まれている場合、すべての条件が満たされた場合にのみトリガーされます。
各一致条件は、マッチフィールド、論理記号、マッチコンテンツ の 3 つのパラメーターで構成されます。例:
例 1: マッチフィールド を
URIに、論理記号 をContainsに、マッチコンテンツ を/login.phpに設定します。このルールは、URI に/login.phpが含まれている場合にリクエストに一致します。例 2: マッチフィールド が
IPに設定され、論理記号 がBelongs Toに設定され、マッチコンテンツ が192.1X.XX.XXに設定されている場合、クライアント IP アドレス192.1.XX.XXからのリクエストがルールに一致します。
一致フィールドと論理演算子の詳細については、「一致条件」をご参照ください。
バイパスするモジュール
[一致条件] にヒットしたリクエストがバイパスできる保護モジュールを選択します。オプション:
すべて: 一致条件にヒットしたリクエストは、すべての保護モジュールをバイパスしてオリジンサーバーに転送されます。
このオプションは通常、信頼できる脆弱性スキャンツールからのアクセスや認証済みのサードパーティシステムインターフェイスなど、完全に信頼するトラフィックを許可するために使用されます。
重要より高い粒度のホワイトリストルールは、より優れたセキュリティを提供します。ビジネスニーズに基づいて特定の保護モジュールを選択し、Web サイトのリクエストを対象を絞って許可することをお勧めします。
Web コア保護ルール: 一致条件にヒットしたリクエストは、指定された Web コア保護ルールをバイパスします。
[Web コア保護ルール] を選択した後、無視するルールも設定する必要があります。オプション:
すべてのルール: デフォルトで選択されます。このオプションは、すべてのルールが無視されることを示します。
特定のルール ID: 指定された ID のルールを無視します。
無視するルールの ID (6 桁形式) を入力する必要があります。
説明各ルール ID を入力した後、Enter キーを押します。最大 50 個のルール ID を入力できます。
重要イベントサポートのルール ID をホワイトリストに追加することもできます。
特定のルールタイプ: 指定されたタイプのルールを無視します。
アイコンをクリックして、無視するルールタイプを選択する必要があります。
カスタムルール: 一致条件にヒットしたリクエストは、カスタムルールモジュールをバイパスします。
IP ブラックリスト: 一致条件にヒットしたリクエストは、IP ブラックリストモジュールをバイパスします。
スキャン保護: 一致条件にヒットしたリクエストは、スキャン保護モジュールをバイパスします。
ボット管理: 一致条件にヒットしたリクエストは、ボット管理モジュールをバイパスします。
Web 改ざん防止: 一致条件にヒットしたリクエストは、Web 改ざん防止モジュールをバイパスします。
データ漏洩防止: 一致条件にヒットしたリクエストは、データ漏洩防止モジュールをバイパスします。
HTTP フラッド攻撃保護: 一致条件にヒットしたリクエストは、HTTP フラッド攻撃保護モジュールをバイパスします。
地域ブラックリスト: 一致条件にヒットしたリクエストは、地域ブラックリストモジュールをバイパスします。
AI アプリケーション保護: 一致条件にヒットしたリクエストは、AI アプリケーション保護モジュールをバイパスします。
新しいルールはデフォルトで有効になっています。ルールリストでは、次の操作を実行できます。
ルールID や ルール条件 などの情報を表示します。
ステータス スイッチを使用して、ルールを有効または無効にします。
ルールを 編集 または 削除 します。
次のステップ
[セキュリティレポート] ページでは、保護ルールのブロックレコードをクエリして、トリガーされたルールの ID を取得できます。詳細については、「セキュリティレポート」をご参照ください。
関連ドキュメント
ホワイトリストルールを追加するための一致条件と一致フィールドの詳細については、「一致条件」をご参照ください。
WAF 3.0 の保護対象、保護モジュール、および保護プロセスの詳細については、「緩和設定の概要」をご参照ください。
API を使用して保護テンプレートを作成する場合は、「保護テンプレートの作成」をご参照ください。
Web コア保護ルールを作成および構成するには、「Web コア保護ルールの作成」をご参照ください。