Security Center:保護ポリシーの管理

モニターからブロックへの移行

ブロックを有効にする前に、新しいアプリケーショングループを [モニター] モードで実行します。これにより、正当なビジネスリクエストを中断することなく、トラフィックパターンを観察し、誤検知を解決できます。

チューニングワークフロー：

1. アプリケーショングループを [モニター] モードでデプロイします。ブロックに切り替える前に、2～5日間実行することを推奨します。

2. アラートを毎日確認し、誤検知（実際には正当なトラフィックであるリクエストで検出された攻撃）を特定します。

3. 各誤検知について、アラートを抑制するためのホワイトリストルールを追加します。「保護ホワイトリストの構成」をご参照ください。

4. 新しい誤検知が表示されなくなったら、保護モードを [ブロック] に切り替えます。

組み込みポリシーグループ

次の3つの組み込みグループが利用可能です。

検出モード

検出モードは、ルールが攻撃パターンにどの程度積極的に一致するかを制御します。保護機能と偽陽性率の昇順でリストされています。

• 緩い：既知の攻撃シグネチャのみに一致します。偽陽性率が非常に低いです。

• 標準 (デフォルト)：一般的な攻撃パターンに一致し、一般的な推論を適用します。日常の運用保守に適しています。

• Strict：より隠れた攻撃動作を検出します。重要イベントサポートシナリオに適していますが、誤検知のリスクがあります。

保護ポリシーグループの作成

組み込みのポリシーグループがお客様のニーズに合わない場合は、カスタムグループを作成します。既存の構成に基づいて新しいグループを作成するには、そのグループの[アクション]列の[コピー]をクリックします。

1. セキュリティセンター コンソールにログインします。セキュリティセンター コンソールセキュリティセンター コンソールセキュリティセンター コンソール。セキュリティセンター コンソールにログインします。セキュリティセンター コンソール。

2. 左側のナビゲーションウィンドウで、[保護設定] > [アプリケーション保護] を選択します。 左上隅で、アセットが配置されているリージョンとして、中国本土 または 中国本土以外 を選択します。

3. [アプリケーション設定] タブの右上隅にある [管理設定] をクリックします。

4. 「[管理設定]」パネルの「[保護ポリシーの管理]」タブで、「[保護ポリシーグループの作成]」をクリックします。

5. 「保護ポリシーグループの作成」パネルで、名前を入力し、アプリケーション言語を選択してから、脅威タイプ の右側にある 選択 をクリックします。

6. [脅威タイプの選択] パネルで、含める検出タイプを選択し、各タイプの [検出モード] を設定して、[OK] をクリックします。

   ヒント: SQL インジェクションなどの特定の攻撃タイプに対するアラートに多くの誤検知が含まれる場合、そのタイプの検出モードを [緩い] に設定し、全体のグループを調整しないでください。

   

7. [OK] をクリックします。

アラートからホワイトリストルールを追加

アラートが誤検知として確認された場合は、直接ホワイトリストに追加します。ルールはアラートの詳細から自動的に作成され、影響を受けるプロセスを含むアプリケーショングループに適用されます。

手順については、「アラートをホワイトリストに追加」をご参照ください。

ホワイトリストルールを手動で作成

手動で作成されたルールを使用すると、単一のルールで複数のアプリケーショングループにわたる複数の検出タイプを抑制できます。

1. セキュリティセンター コンソールにログインします。セキュリティセンター コンソールセキュリティセンター コンソールセキュリティセンター コンソール。セキュリティセンター コンソールにログインします。セキュリティセンター コンソール。

2. 左側のナビゲーションウィンドウで、[保護設定] > [アプリケーション保護] を選択します。左上隅で、アセットが配置されているリージョンを選択します：中国本土 または 中国本土以外。

3. [アプリケーション設定] タブで、右上隅の [管理設定] をクリックします。または、[攻撃アラート] タブで、[保護ホワイトリスト] をクリックします。

4. [管理設定] パネルの [保護ポリシーの管理] タブの [保護ホワイトリスト] タブで、[ホワイトリストの作成] をクリックします。

5. [ホワイトリストの作成] パネルで、ルールパラメーターを設定し、[OK] をクリックします。

一致方法 オプション：

[一致するコンテンツ]：アラート詳細ページから [悪意のある特性]、[指定されたパラメーター]、または [リクエスト URL] の値と一致コンテンツとして使用します。

例：/api/health?token=<value> の内部ヘルスチェックエンドポイントが SQL インジェクションアラートを繰り返しトリガーする場合、[プレフィックス一致] を使用し、/api/health を一致コンテンツとして使用します。これにより、他のルートを公開することなく、そのパスへのすべてのリクエストのアラートが抑制されます。

ホワイトリストルールの表示と管理

1. セキュリティセンター コンソールにログインします。セキュリティセンター コンソールセキュリティセンター コンソールセキュリティセンター コンソール。セキュリティセンター コンソールにログインします。セキュリティセンター コンソール。

2. 左側のナビゲーションウィンドウで、[保護設定] > [アプリケーション保護] を選択します。左上隅で、資産が配置されているリージョンを選択します：[中国本土] または [中国本土以外]。

3. [アプリケーション設定] タブで、右上隅にある [管理設定] をクリックします。 または、[攻撃アラート] タブで [保護ホワイトリスト] をクリックします。

4. 「管理設定」パネルの「保護ポリシーの管理」タブの「保護ホワイトリスト」タブで、ホワイトリストルールの一覧を表示できます。

一覧から、次の操作を実行できます。

• 有効化または無効化: [ルールスイッチ] 列でスイッチを切り替えます。

• 編集または削除: [編集] または [削除] を [操作] 列でクリックします。

バッチ操作

複数のアプリケーショングループに一度に変更を適用するには、[アプリケーション設定] タブで1つ以上のグループを選択し、以下の操作を使用します：