SNI (Server Name Indication) ホワイトリストは、Edge Security Accelerator (ESA) のセキュリティ機能です。この機能を有効にすると、ESA は SSL/TLS ハンドシェイク中の SNI と HTTP リクエストの HOST ヘッダーとの整合性を検証します。値が一致しないリクエストは拒否されます。ドメインの不正使用を防止し、ドメインフロント攻撃を軽減するため、この検証をスキップするドメインのホワイトリストを構成できます。
概要
SNI ホワイトリスト機能により、ESA セキュリティ管理者は HTTPS リクエストに対して SNI と HOST の整合性を強制できます。この機能がアクティブな場合、ESA は TLS ハンドシェイク中に提供された SNI 値と HTTP リクエストの HOST ヘッダーを比較します。両者の値が一致せず、かつそのドメインがホワイトリストに登録されていない場合、リクエストは拒否されます。
背景情報
ドメインフロント攻撃では、HTTPS 接続における SNI フィールドと HOST ヘッダーの不整合を利用して、実際の送信先ドメインを隠蔽します。攻撃者はこの手法を用いてネットワーク制限を回避したり、悪意ある活動を実行したりします。
SNI ホワイトリストを有効にすると、ESA はすべてのリクエストに対して SNI と HOST の整合性検証を強制します。ホワイトリストに明示的に追加されたドメインのみがこの検証をバイパスできるため、ドメインフロント攻撃のベクターを効果的にブロックできます。
SNI ホワイトリストの構成
ESA コンソールで、Websites に移動します。サイト 列で、対象のサイトをクリックします。
左側のナビゲーションウィンドウで、 を選択します。
SNI ホワイトリスト セクションの右上隅にある 設定 をクリックして、編集モードに入ります。
ステータス スイッチを On に設定します。
ホワイトリスト 入力フィールドに、SNI-HOST 整合性検証をスキップするドメインを入力します。
サイトのプレフィックス（例：
www）を入力すると、システムが自動的に完全なドメイン名（例：www.example.com）に補完します。
OK をクリックして構成を保存します。構成は数分以内に適用されます。
構成パラメーター
パラメーター | 説明 |
ステータス | SNI ホワイトリスト機能の有効/無効を制御します。有効（On）の場合、ESA はホワイトリストに含まれないドメインに対して SNI と HOST の整合性検証を実施し、検証に失敗したリクエストを拒否します。無効（Off）の場合、整合性検証は実行されません。 |
ホワイトリスト | SNI-HOST 整合性検証をスキップするドメインのリストです。ホワイトリストに登録されたドメインはリクエスト時に検証をバイパスします。ドメインは現在のサイトと一致している必要があります。最大 50 ドメインまで登録可能です。 |