グローバル設定 のリストを使用すると、IP アドレス、CIDR ブロック、ASN、またはホスト名の再利用可能なコレクションを定義できます。リストを一度作成すれば、複数の WAF ルールやボット管理ルールで参照できます。リストを更新すると、変更は関連するすべてのポリシーに自動的に反映されます。
メリット
一元管理 -- IP アドレス、CIDR ブロック、ASN、またはホスト名を一か所で管理します。リストを一度更新するだけで、それを参照するすべてのルールに変更が適用されます。
ポリシーの一貫性 -- 複数のルールで同じ値を手動で入力する代わりに、標準化されたリストを参照することで、不一致をなくします。
環境間での再利用 -- ビジネスシナリオに基づいてリストを柔軟に作成・調整し、環境間で再利用することで、セキュリティポリシーを効率的かつ階層的に制御できます。
サポートされるリストタイプ
| タイプ | 説明 | 制限 |
|---|---|---|
| IP アドレス/CIDR ブロック | IPv4 または IPv6 アドレスおよび CIDR ブロック。複数指定する場合は、カンマ (,) で区切ります。 | 最大 10 リスト、各リストに最大 5,000 エントリ |
| ASN | 自律システム番号 (ASN) とは、ISP、エンタープライズ、機関などの単一のネットワーク管理組織によって管理される IP ネットワークとルーターのグループである「自律システム」を、一意に識別するための番号です。リクエストから ASN をクエリできます。詳細については、「IP アドレスの ASN を照会する方法」または「インスタントログ」をご参照ください。 | 各リストに最大 500 エントリ |
| ホスト名 | リクエストの Host ヘッダーの値。リクエスト先のドメイン名を指定します。 | 各リストに最大 500 エントリ |
リストの使用箇所
リストを作成した後、以下のいずれかの機能のルールを設定する際に、一致する値として参照できます。
ルールでリストを参照するには、リクエストが次と一致する場合... セクションで、論理演算子を リストに含まれる または リストに含まれない に設定します。一致フィールドはリストのタイプによって異なります。
IP アドレス/CIDR ブロック リスト：一致フィールドを クライアント IP に設定します。
ASN リスト：一致フィールドを ASN に設定します。
ホスト名 リスト：一致フィールドを ホスト名 に設定します。
リストは、参照されるウェブサイトの範囲に限定されます。たとえば、example.comでリストを参照した場合、そのリストはexample.comとそのサブドメインにのみ有効です。リストを参照していない他のウェブサイトには影響しません。
リストの作成
ESA コンソールにログインします。左側のナビゲーションウィンドウで、グローバル設定 > リスト を選択します。
リスト ページで、リストの作成 をクリックします。
[リストの作成] ダイアログボックスで、次のパラメーターを指定します。
リスト名：リストの名前を入力します。
タイプ：IP アドレス/CIDR ブロック、ASN、または ホスト名 を選択します。
入力フィールドに、一致する値を入力します。
OK をクリックします。
WAF カスタムルールでのリストの参照
以下の手順では、ローカルサーバーの IP アドレスを含むリストを作成し、一致するリクエストをブロックするカスタムルールでそのリストを参照し、ルールが有効であることを確認する方法を説明します。
ステップ 1：リストを参照するカスタムルールの作成
ESA コンソールで、ウェブサイト を選択し、管理したいウェブサイト名をクリックします。
左側のナビゲーションウィンドウで、セキュリティ > WAF を選択します。WAF ページで、カスタムルール タブをクリックし、ルールの作成 をクリックします。
[カスタムルールの作成] ページで、ルール名 を指定します。
リクエストが次と一致する場合... セクションで、次の設定を構成します。
一致タイプを クライアント IP に設定します。
一致条件を リストに含まれる に設定します。
作成したリストを選択します。
次に実行... セクションで、次の設定を構成します。
アクション を ブロック に設定します。
エラーページ を デフォルトのエラーページ に設定します。ステータスコード 403 は変更できません。
OK をクリックします。
ステップ 2：ルールの検証
リストが参照された後、次のコマンドを実行して、リストにある IP アドレスからのリクエストがブロックされることをテストします。
curl -I http://esa.xxx.top/pic_03.jpgレスポンスでステータスコード HTTP 403 が返された場合、ルールは期待どおりに機能しています。
次のステップ
高度なリクエスト一致ロジックを カスタムルール で構築します。
特定のIP範囲からの過剰なトラフィックを、レート制限ルールで制限できます。
自動化された脆弱性スキャナーを、スキャン保護ルールでブロックします。
ホワイトリストルールを使用すると、信頼できる IP アドレスをセキュリティチェックから除外できます。
ボットのトラフィックを Bots で管理します。