Edge Security Acceleration:マネージド変換

概要

マネージド変換を有効にすると、ESA は POP (Point of Presence) で一連の一般的なオリジンリクエストヘッダーとセキュリティレスポンスヘッダーを追加します。ワークフローは次のとおりです：

• HTTP リクエストヘッダー (クライアント → ESA → オリジンサーバー)：POP がクライアントリクエストを受信すると、設定に基づいて特定の HTTP リクエストヘッダーを追加してから、リクエストをオリジンサーバーに転送します。これらのヘッダーには次のものが含まれます：

  タイプ	含まれるヘッダー	説明
  クライアントのリアル IP ヘッダーの追加	ali-real-client-ip	TCP 接続を確立したクライアントの送信元 IP アドレスを記録します。このヘッダーは POP で ESA によって追加され、クライアントによって偽造される可能性のある X-Forwarded-For ヘッダーよりも信頼性が高くなります。
  訪問者の位置情報ヘッダーの追加	ali-ip-country ali-ip-city	クライアントの送信元 IP アドレスに基づいて IP 地理位置情報データベースを照会し、対応する国/リージョンおよび都市コードをヘッダー値として追加します。ヘッダー値は、ISO 3166-1 で定義されている 2 文字の Alpha-2 国/リージョンコードです。たとえば、ali-ip-country=cn は、クライアントが中国本土にいることを示します。
  セキュリティリクエストヘッダーの追加	Tls-Hash Tls-Ja3 Tls-Ja4	クライアントの TLS ハンドシェイク情報を分析して、JA3 および JA4 指紋を生成します。これらの指紋は、クライアントの種類を識別したり、ボットを検出したりするために使用されます。ヘッダーには Tls-Hash、Tls-Ja3、および Tls-Ja4 が含まれます。 TLS 指紋ヘッダーは、Enterprise プランのサイトでのみ値を持つことにご注意ください。

• HTTP 応答ヘッダー (ESA → クライアント)：ESA がオリジンサーバーから応答を受信すると、設定に基づいて一連の標準的なセキュリティレスポンスヘッダーを追加してから、応答をクライアントに返します。

  説明

  オリジンサーバーの応答に同じ名前のセキュリティヘッダーがすでに含まれている場合、ESA はデフォルトでオリジンサーバーからのヘッダー値を上書きします。これにより、ポリシーの一貫性が確保されます。

  タイプ	含まれるヘッダー	説明
  セキュリティレスポンスヘッダーの追加	x-content-type-options: nosniff	MIME (Multipurpose Internet Mail Extensions) タイプの混乱攻撃から保護します。ブラウザは Content-Type 応答ヘッダーで宣言されたタイプに厳密に従う必要があります。nosniff 値は厳格モードを有効にします。
  	x-xss-protection: 1; mode=block	URL パラメーターを介して悪意のあるスクリプトが挿入される、反射型クロスサイトスクリプティング (XSS) 攻撃から保護します。値 1 は XSS フィルタリングを有効にします。値 mode=block は、攻撃が検出された場合にページのレンダリングを防止します。
  	x-frame-options: SAMEORIGIN	クリックジャッキング攻撃から保護するために、ページの埋め込み権限を制限します。SAMEORIGIN 値は、同一オリジンのページによってのみページが埋め込まれることを許可します。たとえば、example.com のページは、example.com の他のページ内にのみネストできます。
  	referrer-policy: same-origin	Referer ヘッダー情報の漏洩を制御します。これにより、クロスオリジンリクエスト中にユーザーの行動パスが公開されるのを防ぎます。same-origin 値は、同一オリジンリクエストに対してのみ完全な Referer を送信します。クロスオリジンリクエストでは Referer は送信されません。
  	expect-ct: max-age=86400, enforce	異常な証明書を検出するために使用されます。値 max-age=86400 は、ポリシーの有効期間を 24 時間に設定します。値 enforce は、ブラウザに Certificate Transparency (証明書の透明性) の要件を満たさない接続を拒否させます。

リクエスト分析のためのクライアント情報の設定

クライアントの送信元 IP アドレス、地理位置情報、TLS 指紋を含む HTTP ヘッダーをオリジンリクエストに自動的に追加できます。これにより、オリジンアプリケーションはクライアントに関するより多くのコンテキストを取得できます。

クライアントセキュリティを強化するためのセキュリティレスポンスヘッダーの設定

標準のセキュリティヘッダーのセットをクライアント応答に自動的に追加して、クロスサイトスクリプティング (XSS) やクリックジャッキングなどの攻撃から保護できます。これにより、Web アプリケーションのセキュリティが強化されます。