Edge Security Acceleration:トラフィック不正利用シナリオの防止

使用量上限ポリシーの設定

使用量上限は、設定に基づいてサイトリソースに対して自動的にアクションを実行することで、予期せぬトラフィックスパイクを管理するのに役立ちます。これにより、高額な後払い請求を防ぐことができます。ただし、この機能はサービスの継続性に影響を与える可能性があるため、注意して使用してください。

1. ESA コンソールで、サイト管理 を選択します。サイト 列で、対象のサイトをクリックします。

2. 左側のナビゲーションウィンドウで、使用量の上限 を選択します。

3. [使用量上限] ページで、ルールを作成 をクリックします。ルール名 を入力し、一致条件と 統計周期 を設定します。

   • 5 分ごと：統計期間は 5 分間のタイムウィンドウです。

   • 1 時間ごと：統計期間は 1 時間の タイムウィンドウです。

   • 毎日：統計期間は暦日で、当日の 00:00 から 23:59 までです。

   • 毎月：統計期間は暦月です (当月の初日から末日まで)。

4. アクションを選択し、OK をクリックします。

   • Web サイトの無効化：トラフィックが設定されたしきい値に達すると、サイトは無効になり、ステータスが一時停止に変わります。その結果、アクセラレーション、セキュリティ、およびコンピューティングサービスが利用できなくなります。このアクションはオンラインビジネスに影響を与えるため、注意して使用する必要があります。サイトが期待どおりに実行されるようにするには、計画された使用量よりも高いしきい値を設定してください。

   • DNS レコードの削除：トラフィックが設定されたしきい値に達すると、このアクションは特定のサブドメインレコードを削除します。サイトをオフラインにすることを避けたい場合は、このオプションを選択してください。

     警告

     サブドメインレコードの削除は元に戻せません。システムは削除されたレコードを復元できません。手動でレコードとその構成を再度追加する必要があります。この機能は注意して使用してください。

リアルタイムログ配信の有効化

リアルタイムログ配信は、ESA の POP (Point of Presence) からご利用の分析システムにアクセスログを転送します。これにより、ホットリンク、トラフィックバースト、不正アクセスなどの異常な動作を迅速に特定できます。これにより、高頻度の IP や空の Referer などの不正利用の原因を正確に特定し、ブロックやレート制限などのルールを適用して攻撃を迅速に停止できます。これにより、帯域幅の消費とセキュリティリスクが大幅に削減されます。リアルタイムログ機能を有効にできます。各ログタイプで記録されるリクエストの範囲は次のとおりです：

ネットワークトラフィック分析

ネットワークトラフィック分析のデータは、ESA のアクセスログから取得されます。これらのログには、クライアント IP、リクエスト時間、リクエストタイプ、レスポンスステータスなど、ESA の POP を通過するすべてのリクエストに関する情報が記録されます。これらのログを集計および分析することで、ESA は正確なトラフィック統計および分析レポートを提供できます。

レポートの表示とダウンロード

1. ESA コンソールで、[サイト管理] を選択し、サイト 列で対象のサイトをクリックします。

2. 左側のナビゲーションウィンドウで、分析とログ > トラフィック分析 を選択します。

3. トラフィック分析 ページで、トラフィックの統計と分析を表示します。また、 アイコンをクリックしてページレポートを印刷したり、 アイコンをクリックしてデータを CSV ファイルとしてローカルマシンにダウンロードしたりすることもできます。フィルターを使用してデータをフィルタリングできます。期間を指定 で、[カスタム時間範囲] を選択し、不正利用が疑われる日付と時間帯を選択します。

   

4. [ネットワークトラフィック分析] ページでは、総トラフィックと ESA によって処理されたトラフィックの折れ線グラフを確認できます。これにより、トラフィックを直感的に可視化し、過去のトラフィック傾向をより良く分析するのに役立ちます。

   

   • トラフィック合計：ESA からクライアントに送信されたすべてのトラフィック。

   • リクエスト総数：ESA がクライアントから受信したリクエストの総数。

   • ページビュー：コンテンツタイプが HTML である成功した HTTP レスポンスの数。

   • メトリック変化率：各データメトリックの変化率は、現在の時間範囲を前の同等の時間範囲と比較したものです。前の時間範囲のデータがない場合、変化率は表示されません。

     例：過去 30 日間 の時間範囲を選択し、リクエスト数が 2.03% 増加したと表示された場合、これは過去 30 日間に ESA が受信したリクエスト数が、60 日前から 30 日前までの 30 日間と比較して 2.03% 増加したことを意味します。

5. このモジュールを使用して、トラフィックの地理的分布をより深く理解し、異常なトラフィックがあるリージョンを特定できます。

6. ネットワークトラフィック分析機能は、複数のディメンションにわたるトラフィックとユーザー行動分析を提供します。 これらのモジュールを組み合わせることで、トラフィックとユーザー行動の包括的な概要を把握できます。時間範囲を選択して、これらのディメンションの詳細なデータと可視化を表示できます。

   説明

   デフォルトでは、ネットワークトラフィック分析には上位 5 件のデータエントリが表示されます。その他 をクリックすると、より多くの情報を表示できます。

   

標準ログの分析

不正利用リクエストの特性を特定するには、アラート期間中の標準ログを詳細に分析する必要があります。複数のフィールドをクロス分析することで、ソース IP、URL パス、リクエストパラメーター、User-Agent、Referer などのディメンションに基づいて不正利用行動のプロファイルを構築できます。これにより、正確な対策を策定するためのデータが提供されます。

1. 標準ログをダウンロードします。詳細については、「標準ログ」をご参照ください。

2. ログファイルをローカルの Linux サーバーにアップロードします。

3. ローカルの Linux サーバーにログインし、ファイル内の行数を数えます。これはリクエストの総数を表します。

   wc -l [Log_Txt]

   1 時間あたりの訪問数を数えることもできます。

   awk -F' ' '{print \$4}' [Log_File] | sed 's/^\[\(.*\/.*\/.*\):\(.*\):.*$/\1 \2:00/' | sort | uniq -c | sort -nr | head -n 10

   リクエストの総数を数えた後、リクエスト量が異常であるかどうかを確認できます。

   重要

   以下の設定は、実際のサービスリクエストに基づいて行う必要があります。通常のユーザーに影響を与えないように、慎重に進めてください。

4. 次のコマンドを実行して、訪問数が多い上位 10 件の IP をクエリします。

   cat [path/to/log.txt] | awk '{print $3}' |sort|uniq -c|sort -nr |head -10

   疑わしい IP からのアクセスを制限します。詳細については、「IP アクセスルール」をご参照ください。

5. 次のコマンドを実行して、訪問数が多い上位 10 件の User-Agent をクエリします。

    grep -o '"Mozilla[^"]*' [Log_File_Path] | cut -d'"' -f2 | sed 's/ ANCHASHI-SCAN[^)]*)//g' | sort | uniq -c | sort -nr | head -n 10

   疑わしい User-Agent をフィルタリングします。詳細については、「カスタムルール」をご参照ください。

6. 次のコマンドを実行して、訪問数が多い上位 10 件のパスをクエリします。

   grep -oP '"https?://[^"]+"' [Log_File] | sort | uniq -c | sort -nr | head -n 10

ゲームインストールパッケージの不正利用

ウェブサイトリソースの盗用