Application Real-Time Monitoring Service (ARMS) コンソールでワンクリックするだけで、お使いのアプリケーションをアプリケーションセキュリティに接続できます。アプリケーションを接続した後、そのインスタンスを再起動してアプリケーションセキュリティを有効にします。コードの変更は不要です。
前提条件
現在、アプリケーションセキュリティは Java アプリケーションのみをサポートしています。続行する前に、お使いの Java アプリケーションがすでにアプリケーションモニタリングに接続されていることを確認してください。詳細については、「アプリケーションモニタリングの概要」をご参照ください。
アプリケーションモニタリング用の Java エージェントは、以下のバージョン要件を満たす必要があります。
コンテナサービスや EDAS など、自動アップグレード環境のアプリケーションの場合、エージェントのバージョンは v2.7.1.2 以降である必要があります。
説明自動アップグレード環境とは、アプリケーションまたはその Pod を再起動するとエージェントが自動的にアップグレードされる環境のことです。詳細については、「ARMS エージェントのアップグレード」をご参照ください。
手動アップグレードのシナリオの場合、エージェントのバージョンは v2.7.1.3 以降である必要があります。
ARMSコンソールにログインし、 ページに移動して、接続されているアプリケーションのエージェントのバージョンを確認できます。エージェントをアップグレードする必要がある場合は、「ARMS エージェントのアップグレード」をご参照ください。
サービスの承認
アプリケーションをアプリケーションセキュリティに接続する前に、ARMS が Alibaba Cloud のセキュリティサービスにアクセスすることを承認する必要があります。これにより、ARMS はアプリケーションセキュリティの機能に必要なリソースにのみアクセスできるようになります。
ARMSコンソールにログインします。
左側メニューで、 を選択します。
アプリセキュリティ セクションで、今すぐ承認する をクリックします。
ヒント ダイアログボックスで、確認 をクリックします。
承認を付与すると、ARMS は自動的に AliyunServiceRoleForARMSSecurity サービスリンクロールを作成します。その後、アプリケーション一覧を表示し、対象のアプリケーションを接続できます。このロールの権限に関する詳細については、「アプリケーションセキュリティのサービスリンクロール」をご参照ください。
説明サービスリンクロールを作成する権限がないことを示すメッセージが表示された場合は、Alibaba Cloud アカウントの管理者に、必要なポリシーを RAM ユーザーにアタッチするように依頼してください。詳細については、「よくある質問」をご参照ください。
アプリケーションモニタリング経由でのアプリケーションセキュリティへの接続
エージェントのバージョン 2.7.1.4 以降では、アプリケーションモニタリングへの接続時にアプリケーションセキュリティを有効にできます。
ACKクラスター内のアプリケーションの場合：
armsSecAutoEnable: "on"ラベルを追加します。詳細については、「ack-onepilotを使用したACKおよびACSクラスターのアプリケーションへのJava エージェントのインストール」をご参照ください。その他の環境のアプリケーションの場合：
-Darms.appsec.enable=true起動パラメーターを追加します。詳細については、「エージェントの手動インストール」をご参照ください。
コンソールからのアプリケーションセキュリティへの接続
アプリケーションモニタリングへの初回接続時にアプリケーションセキュリティを有効にしなかった場合は、以下の手順に従ってください。
ARMSコンソールにログインします。
左側メニューで を選択し、上部メニューでリージョンを選択します。
アプリケーションリスト ページには、アプリケーションセキュリティに接続できるすべての Java アプリケーションが一覧表示されます。
説明アプリケーションを接続する前に、そのエージェントのバージョンが 2.7.1.3 以降であることを確認してください。
対象のアプリケーションを接続します。
単一のアプリケーションを接続する場合：対象アプリケーションの 操作 列で アクセス をクリックします。表示されたダイアログボックスで、確認 をクリックします。
複数のアプリケーションを一度に接続する場合：
アプリケーションリスト ページで、左上隅にある アプリケーションへのアクセス をクリックします。
アプリケーションへのアクセス ダイアログボックスで、[Applications Not Connected to Application Security] リストから対象のアプリケーションを選択し、[>] アイコンをクリックして [Applications Connected to Application Security] リストに移動してから、確定する をクリックします。
対象アプリケーションのインスタンスを再起動して、変更を適用します。
アプリケーションリスト ページの 接続ステータス 列で、アプリケーションの接続ステータスを確認できます。すべてのインスタンスが再起動されると、アプリケーションセキュリティがそのアプリケーションのすべてのインスタンスで有効になります。一部のインスタンスのみを再起動した場合、この機能はそれらのインスタンスに対してのみ有効になります。
接続ステータス 列の [Instances Added] フィールドには、接続済みのインスタンス数とインスタンスの総数が表示されます。この数字をクリックすると、各インスタンスの詳細なステータス情報を表示できます。
[アプリケーション一覧] ページの上部には、[Connect Application] ボタン、接続ステータスフィルター、およびアプリケーション名検索機能があります。一覧には、[Tags]、[保護モード] (監視または監視およびブロック)、[脆弱性コンポーネント] の数、[攻撃統計] などの列も含まれます。各行の [Actions] 列には、[保護設定] および [Remove] リンクがあります。
保護モードの設定
アプリケーションをアプリケーションセキュリティに接続した後、その保護モードを設定できます。利用可能なモードは モニタリーグ、[監視およびブロック]、無効にする です。デフォルトでは、保護モードは モニタリーグ です。アプリケーションが一定期間正常に動作することを確認した後、[監視およびブロック] モードに切り替えて攻撃から保護することができます。
ページで、対象のアプリケーションを見つけ、操作 列で Protection Settings をクリックします。
Protection Settings ダイアログボックスで、以下の項目を設定し、確定する をクリックします。
設定
説明
[保護モード]
モニタリーグ：攻撃を監視します。アラートルールが設定されている場合、アラートが発行されます。このモードはアプリケーションのランタイムに影響しません。
[監視およびブロック]：攻撃を監視し、ブロックします。攻撃がブロックされると、アプリケーションは例外をスローします。
無効にする：アプリケーションのすべてのアプリケーションセキュリティ機能をオフにします。攻撃は検出もブロックもされません。
[検出タイムアウト時間]
攻撃検出に許容される最大時間です。値の範囲は 5～200,000 ミリ秒です。デフォルトは 300 ms です。検出がこのタイムアウトを超えた場合、元のビジネスロジックは完了を待たずに続行します。特別な理由がない限り、デフォルト値を使用することを推奨します。
[検出タイプ]
検出対象の攻撃のカテゴリです。デフォルト設定 (すべてのタイプを選択) を使用することを推奨します。各検出タイプの詳細については、「攻撃タイプと保護に関する提案の説明」をご参照ください。
説明保護設定の変更が有効になるまで、最大 30 秒かかる場合があります。
アプリケーションの接続解除
アプリケーションモニタリング経由で接続したアプリケーション
アプリケーションモニタリング経由で接続したアプリケーションの接続を解除するには：
ACKクラスター内のアプリケーションの場合：
armsSecAutoEnable: "on"ラベルを削除します。その他の環境のアプリケーションの場合：
-Darms.appsec.enable=true起動パラメーターを削除します。
コンソール経由で接続したアプリケーション
コンソールから接続したアプリケーションの接続を解除するには、 ページに移動します。対象のアプリケーションを見つけ、操作 列で Remove をクリックし、表示されたダイアログボックスで 確認 をクリックします。その後、アプリケーションのインスタンスを再起動して、アプリケーションセキュリティからの接続解除を完了させる必要があります。
ただし、特別な要件がなく、アプリケーションのパフォーマンスのみを懸念している場合は、アプリケーションセキュリティから接続を解除することは推奨しません。アプリケーションセキュリティに接続した後、デフォルトの保護モードは [監視] です。このモードでは、システムは攻撃アラームを報告するだけで、実際のブロックは実行せず、アプリケーションのパフォーマンスに影響はありません。[無効] モードに切り替えて、すべてのセキュリティ検出機能をオフにすることもできます。このモードでは、セキュリティ攻撃が発生しても、システムは攻撃アラームを報告しません。