サイトでカスタムのアクセス制御ポリシーが必要な場合は、カスタムルールを作成できます。特定のユーザーリクエストに一致する条件を設定し、[ブロック] や [監視] などの操作を適用してこれらのリクエストを制御します。これにより、ユーザーがアクセスできるコンテンツを柔軟に制御できます。
カスタムルールの構成
ESA コンソールで、サイト管理 に移動します。サイト 列で、ターゲットサイトをクリックします。
左側のナビゲーションウィンドウで、 を選択します。
カスタムルール タブをクリックします。カスタムルール タブで、ルールを追加 をクリックします。
ルール名 を入力します。
リクエストが以下のルールと一致する場合... セクションで、ユーザーリクエストに一致する条件を設定します。ルール式の詳細については、「ルール式のコンポーネント」をご参照ください。
以下を実行する... セクションで、リクエストがルールにヒットしたときに適用する保護操作を設定します。詳細については、「操作の説明」をご参照ください。
OK をクリックします。
操作の説明
ブロック: ルールにヒットしたリクエストをブロックし、ブロック応答ページをクライアントに返します。
説明詳細については、「カスタムページの設定」をご参照ください。
監視: ルールにヒットしたリクエストをブロックしません。代わりに、イベントをログに記録するだけです。WAF ログをクエリして、ルールにヒットしたリクエストを検索し、その有効性を分析できます (誤検知のチェックなど)。監視モードは、新しく構成されたルールをテストするのに役立ちます。ルールが誤検知を引き起こさないことを確認したら、操作を [ブロック] に設定します。
説明ログクエリ機能を使用するには、Simple Log Service をアクティブ化する必要があります。
JavaScript チャレンジ: WAF は、標準のブラウザが自動的に実行できる JavaScript コードを返します。クライアントが JavaScript コードを正しく実行した場合、WAF はそのクライアントからの後続のすべてのリクエストを、別のチャレンジなしで一定期間 (デフォルトで 30 分) 許可します。それ以外の場合、WAF はリクエストをブロックします。
スライダー CAPTCHA: WAF はスライダー検証ページをクライアントに返します。クライアントがスライダー検証を正常に完了した場合、WAF はそのクライアントからの後続のすべてのリクエストを、デフォルトで 30 分間許可します。それ以外の場合、WAF はリクエストをブロックします。
説明検証が成功した場合 (ユーザーがスライダーチャレンジを正常に完了した場合)、トラフィックはカウントされます。検証が失敗した場合、トラフィックはカウントされません。
WAF カスタムルールとレート制限ルールの JavaScript チャレンジおよびスライダー操作は、静的ページにのみ適用されます。
XMLHttpRequestやFetchなどの非同期 API 応答をサポートするには、ボット管理で JavaScript チャレンジとスライダーを有効にします。これらを有効にすると、リクエストがルールにヒットしたときに、ESA はクライアントに対して JavaScript チャレンジまたはスライダー検証を開始します。クライアントが検証に合格すると、ESA は HTTP メッセージに、それぞれCookie acw_sc__v2ヘッダーとacw_sc__v3ヘッダーを追加します。これらのヘッダーは、クライアントが認証されたことを示します。
構成例
サブスクリプションプラン別の機能サポート
機能 | Entrance | Pro | Premium | Enterprise |
カスタムルールの数 | 5 | 20 | 100 | 100 |
リファレンス
ルール関連の機能は、実行優先度、ルール動作、構成範囲が異なります。詳細については、「ESA ルールが有効になる仕組み」をご参照ください。