Web Application Firewall (WAF) 3.0 は全く新しいバージョンです。WAF 2.0 と比較して、WAF 3.0 では統合方法、保護設定、課金方法が最適化されています。このトピックでは、2 つのバージョンを比較し、WAF 3.0 の主要な最適化について説明します。
WAF 3.0 は、WAF 2.0 とは異なる基盤アーキテクチャ、エディション、コンソール設定ロジック、インタラクティブエクスペリエンスを採用しています。そのため、同じ Alibaba Cloud アカウント ID で WAF 2.0 と共存することはできません。WAF 2.0 インスタンスを購入している場合は、バージョン 2.0 コンソールにログインします。WAF 3.0 インスタンスを購入している場合は、バージョン 3.0 コンソールにログインします。
現在、WAF 2.0 から WAF 3.0 への自動移行はサポートされていません。移行プロセスについてお問い合わせの場合は、チケットを送信して、製品および技術の専門家にご相談ください。
アクセスモード
WAF は、CNAME レコードモードとクラウドネイティブアクセスモードの 2 つのアクセスモードをサポートしています。
アクセスモード | WAF 3.0 | WAF 2.0 |
CNAME レコードモード (図①) | サポートされています。
詳細については、「CNAME レコードモード」をご参照ください。 | サポートされています。 |
クラウドネイティブアクセスモード (透過型プロキシクラスターとしての WAF) (図②) | サポートされています。
詳細については、「CLB インスタンスの WAF 保護を有効にする」および「ECS インスタンスの WAF 保護を有効にする」をご参照ください。 | サポートされていますが、以下の制限があります。
|
クラウドネイティブアクセスモード (SDK 統合としての WAF) (図③) | サポートされています。 サービスがApplication Load Balancer (ALB)、Microservices Engine (MSE)、または Function Compute (FC) で実行されている場合は、このアクセスモードが推奨されます。
詳細については、「ALB インスタンスの WAF 保護を有効にする」、「MSE クラウドネイティブゲートウェイインスタンスの WAF 保護を有効にする」、および「Function Compute のカスタムドメイン名の WAF 保護を有効にする」をご参照ください。 | サポートされていません。 |
保護設定
保護設定 | WAF 3.0 | WAF 2.0 |
保護ルールの一括設定 | サポートされています。 WAF 3.0 では、ドメインまたはインスタンスを保護対象として定義し、それらを保護対象グループにグループ化できます。
| サポートされていません。 WAF 2.0 は、ドメインを保護対象とし、一度に 1 つのドメインに対してのみルールを設定できます。100 個のドメインに同じルールを適用するには、設定を 100 回繰り返す必要があります。 |
ドメイン以外のソースからのトラフィックに対する保護ルール (透過的に接続されたインスタンスなど) | サポートされています。 クラウドネイティブアクセスモードで追加されたインスタンスは、自動的に保護対象となり、保護ルールを設定および変更できます。 | サポートされていません。透過型プロキシが有効になっているが、特定のドメインが追加されていない場合、トラフィックは組み込みのデフォルトルールセットによって自動的に保護されます。このルールセットは表示できず、カスタマイズもできません。 ドメインクォータの消費
ルール変更の前提条件 透過型プロキシモードでは、インスタンスに 100 個のドメインが含まれている場合、保護ルールを変更する前に、100 個すべてのドメインを WAF に追加する必要があります。そうしないと、すべてのトラフィックが変更できないデフォルトの保護ルールの対象になります。 |
保護ルールの一元的な表示 | サポートされています。 WAF 3.0 は、各保護モジュールのルールを表示および管理できるカードベースのレイアウトを提供します。このレイアウトは、どの保護テンプレートがどの保護対象または保護対象グループに適用されるかを明確に示します。ルール ID で保護ルールを検索することもできます。 | サポートされていません。 特定のドメインに適用される保護ルールを確認するには、各保護ルールを個別に確認する必要があります。 |
デフォルト保護ルールの変更 | サポートされています。 WAF 3.0 の保護ルールテンプレートにはデフォルトプロパティがあります。新しく追加されたドメインのデフォルト保護ルールを監視モードに設定する場合は、デフォルトテンプレートを監視モードに設定できます。そうすると、新しく追加されたすべての保護対象の保護アクションが監視モードに設定され、毎回手動で変更する必要がなくなります。 | サポートされていません。 新しく追加されたすべてのドメインのデフォルト保護ルールを監視モードに設定する場合、WAF 2.0 ではそれを行うことができません。ドメインを追加した後、保護ルールを手動で変更する必要があります。 |
機能強化
WAF 2.0 と比較して、WAF 3.0 では以下の機能強化が導入されています。
カスタムレスポンスルール
この機能により、WAF がクライアントに返すブロックページをカスタマイズできます。これには、レスポンスヘッダー、本文、ステータスコードが含まれます。詳細については、「カスタムレスポンスページの設定」をご参照ください。
重要イベント保護
この機能は、Alibaba Cloud の重要イベントを保護する豊富な経験に基づいたインテリジェントな保護ポリシーを提供します。複雑なルールを手動で設定することなく、ワンクリックで高レベルの保護を有効にできます。詳細については、「重要イベント保護」をご参照ください。
新しい資産センター
この機能は、オンプレミス環境とクラウド環境全体でドメイン資産を管理するのに役立ちます。攻撃傾向に基づいてリスクレベルを評価し、セキュリティ体制の全体像を提供します。詳細については、「ドメイン資産センター」をご参照ください。
新しいセキュリティレポート
セキュリティレポートでは、有効になっているすべてのモジュールからの保護データを表示し、サービスのセキュリティ分析を実行できます。詳細については、「セキュリティレポート」をご参照ください。
統一されたホワイトリスト
この機能は、グローバルホワイトリストルールの一元管理をサポートします。詳細については、「ホワイトリスト」をご参照ください。
課金方法
WAF 3.0 では、サブスクリプションおよび従量課金の課金方法において、以下の点が最適化されています。
サブスクリプション
WAF 3.0 では、トラフィックが少ないユーザーに適した Basic エディションが導入されています。
課金が簡素化されました。
トラフィックは、bps ではなく QPS のみで測定されるようになりました。QPS の超過によるサービス中断を防ぐために、従量課金ベースで弾力的なキャパシティを利用できます。
WAF は、課金のためにプライマリドメインとその他のドメインを区別しなくなりました。代わりに、追加ドメインは段階的価格設定を使用し、ドメインを追加するにつれて単価が下がります。
[ハイブリッドクラウド保護]がより多くのエディションで利用可能になりました。
従量課金
この課金方法は、Security Capacity Unit (SeCU) を使用して課金を簡素化します。SeCU リソースプランは段階的価格設定を採用しており、使用量が増えるにつれて価格が下がります。
WAF 3.0 は時間単位の課金をサポートしています。機能を無効にするか、その設定を削除すると、課金は自動的に停止し、手動でのプロビジョニング解除は不要です。
従量課金の課金方法が新たにサポートされました。
Related documents
Access overview: Learn about the access modes and onboarding procedures for WAF 3.0.
Protection configuration overview: Learn about the protection configuration workflow and supported settings in WAF 3.0.
Subscription billing: Learn about the WAF 3.0 subscription billing method.
Pay-as-you-go billing: Learn about the WAF 3.0 pay-as-you-go billing method.