このトピックでは、Web Application Firewall (WAF) の新機能およびドキュメント更新内容について説明します。
2023 年
リリース日 | 機能 | 説明 | 参考情報 |
2023-07-14 | DNS ステータス確認 | WAF は、保護対象のドメイン名の DNS ステータスを確認し、異常な DNS 解決を検出することで、サービス中断を防止します。 | |
2023-06-21 | ドメイン所有権の検証 | 初めて WAF にドメイン名を追加する際には、そのルートドメインの所有権を検証する必要があります。検証が完了すると、追加の検証なしで、当該ルートドメインの任意のサブドメインを追加できます。 |
2022 年
リリース日 | 機能 | 説明 | 参考 |
2022-09-23 | カスタムヘッダーからの送信元ポートの取得 | WAF のアクセス構成において、「トラフィックマーキング」を有効化し、「送信元ポート」を選択できます。これにより、送信元ポートを含むカスタムヘッダーのフィールドを指定できます。WAF はこのヘッダーを記録し、オリジンサーバーへ転送します。 | |
2022-08-24 | オリジンサーバーへのタイムアウトのカスタマイズ | WAF のアクセス設定において、新規接続、読み取り接続、書き込み接続のタイムアウトをビジネス要件に応じてカスタマイズできます。 | |
2022-08-12 | WAF 2.0 にて透過型プロキシモードを導入 | オリジンサーバーが ECS インスタンスである場合、またはパブリック向けの Server Load Balancer (SLB) インスタンス上に展開されている場合、透過型プロキシモードを使用して Web サイトを WAF に追加できます。 | |
2022-04-18 | WAF 2.0 にてクローラー対策機能に動的トークンを導入 | この機能は、シナリオベースのクローラー対策構成に動的トークン検証を追加します。これにより、人間と機械の識別（Human-Machine Verification）のセキュリティ性および互換性が向上します。具体的には、Web リクエストに署名を付与することで動作します。クライアントがリクエストを送信すると、WAF が提供する WebSDK がリクエストに署名し、署名を含めて送信します。署名が有効な場合は、リクエストがオリジンサーバーへ転送されます。署名検証に失敗した場合は、WAF がクライアントに対して動的トークン処理を実行し、署名付きリクエストを再送信するよう指示するコードスニペットを返します。 | |
2022-01-19 | 保護ルールエンジンにインテリジェントなルールホスティングを追加 | 保護ルールエンジンを構成することで、SQL インジェクション、クロスサイトスクリプティング (XSS)、Web シェルアップロード、コマンドインジェクション、バックドア隔離、無効なファイル要求、パストラバーサル、および一般的なアプリケーション脆弱性など、一般的な Web 攻撃から自動的に Web サイトを防御できます。 |
2021 年
リリース日 | 機能 | 説明 | リファレンス |
2021 年 9 月 18 日 | カスタムヘッダーによるクライアント IP アドレスの記録対応 | Web サイトを WAF に追加する際に、「トラフィックマーキング」機能を有効化できます。この機能により、WAF は指定したカスタムヘッダーのフィールドにクライアント IP を挿入します。オリジンサーバーは、back-to-origin リクエストにおいてこのヘッダーからクライアント IP を取得できます。 この機能は、カスタムヘッダーを用いてクライアント IP アドレスを記録するオリジンサーバーで有効です。 この機能は、CNAME レコードモードおよび透過型プロキシモードの両方でサポートされています。 | |
2021 年 8 月 13 日 | WAF 向け Log Service のアップグレード | WAF 向け Log Service が以下の機能強化とともにアップグレードされました：
| |
2021 年 7 月 30 日 | オリジン SNI の設定対応 | CNAME レコードモードで Web サイトを追加する際に、「Origin SNI の有効化」設定を有効化できます。Web サイトが HTTPS を使用し、オリジンサーバーが複数の仮想ホストをホストしている場合、この設定を有効化できます。WAF は、back-to-origin リクエストにサーバー名表示 (SNI) フィールドを追加し、意図するホストを指定します。 | |
2021 年 6 月 22 日 | カスタム保護ポリシーにおけるサーバーポートの一致条件としての利用対応 | Business エディション以上の WAF インスタンスでは、カスタム保護ポリシーを作成する際に、Server-Port を一致条件として使用できます。これにより、リクエストの宛先ポートに基づいたアクセス制御または HTTP フラッド攻撃対策ポリシーを定義できます。 | |
2021 年 5 月 11 日 | ハイブリッドクラウド WAF にてコンソールベースのクラスターデプロイおよびノード管理をサポート | ハイブリッドクラウド WAF ソリューションには、以下の新機能が追加されました：
| |
2021 年 5 月 8 日 | カスタムヘッダーからのクライアント IP の取得対応 | CNAME レコードモードでは、「クライアント IP 取得方法」パラメーターが利用可能になりました。WAF の前に Anti-DDoS Pro や Alibaba Cloud CDN などのレイヤー 7 プロキシが配置されている場合、WAF を構成して特定のヘッダーフィールドからクライアント IP を取得できます。複数のヘッダーフィールドを指定でき、WAF はそれらを順次試行してクライアント IP を取得しようとします。 | |
2021 年 4 月 1 日 | IPv6 オリジンサーバー IP アドレスの対応 | CNAME レコードモードで Web サイトを追加する際に、「サーバー IP 」パラメーターがオリジンサーバーの IPv6 アドレスをサポートするようになりました。この機能は、金融や政府など、エンドツーエンドの IPv6 対応を要する業界に最適です。 | |
2021 年 3 月 23 日 | 概要ページに脅威イベント分析機能を追加 | WAF の 概要 ページに脅威イベント分析モジュールが追加されました。このモジュールは大量の攻撃アラートを分析し、脅威イベントレコードを生成することで、脅威の発生源および緩和戦略をより明確かつ直感的に把握できるようにします。多数のアラートから最も重大な脅威を特定するのに役立ちます。 | |
2021 年 3 月 18 日 | Web セキュリティレポートにおける誤検知抑制機能を追加 | Web 攻撃のセキュリティレポートは、誤検知抑制機能をサポートしています。この機能は、特定のルール ID に対してホワイトリストルールを自動生成します。また、Web 侵入防止設定で、特定のルール ID またはルールタイプに基づいて手動でホワイトリストルールを追加することも可能です。これにより、誤検知の対応が簡素化されます。この機能は、誤検知に敏感な企業向けサービスや、保護を損なわず細かい制御を必要とするユースケースに最適です。 | |
2021 年 1 月 29 日 | WAF にてクローラー対策ルールのシナリオベース構成を提供 | WAF は、クローラー対策機能のためのシナリオベース構成を提供します。ビジネスのシナリオに応じてクローラー対策ルールをカスタマイズすることで、悪意あるクローラーに対するより的確な保護を実現できます。 | |
2021 年 1 月 15 日 | カスタム TLS バージョンおよび暗号スイートの対応 | WAF では、保護対象のドメイン名に対して TLS プロトコルのバージョンおよび暗号スイートをカスタマイズできます。これにより、さまざまなシナリオにおける HTTPS 通信のセキュリティコンプライアンスおよび互換性要件を柔軟に満たすことができます。 |
2020 年
リリース日 | 機能 | 説明 | 参照情報 |
2020-10-21 | セキュリティレポートの機能強化 | セキュリティレポート機能が更新され、ルール ID による攻撃レコードのフィルタリングが可能になりました。 | |
2020-06-04 | カスタム保護ルールグループおよび概要ページの機能強化 |
| |
2020-05-18 | Terraform の対応 | 大規模企業の運用・保守 (O&M) 要件に対応するため、WAF は Terraform を完全にサポートするようになりました。ドメイン名およびポリシー管理などの基本的な WAF 操作をコードで管理できます。 説明 この機能により、コンソール上で手動で行う必要があった作業を自動化できます。これにより、作業効率が向上し、エラーが減少します。詳細については、「Terraform ドキュメント」をご参照ください。 | 該当なし |
2020-04-10 | ユーザーエクスペリエンスの機能強化 | 概要ページからセキュリティレポートへ、さらにセキュリティレポートから Log Service へドリルダウンできるようになりました。これにより、データ操作のシームレスなワークフローが実現します。
| |
2020-04-02 | ボット管理をリリース | WAF は、ボット管理およびアプリ保護を付加価値サービス (VAS) として提供するようになりました。これらのサービスは、自動化された攻撃およびボットトラフィックに対するインテリジェントな保護を提供し、ネイティブアプリとの信頼された通信を確保することで、ボットスクリプトによる悪用を防止します。 説明 ボット管理およびアプリ保護モジュールは、2020 年 1 月にリリースされた新しい保護エンジンでのみ利用可能です。古い保護エンジンをご利用の場合、できるだけ早くアップグレードすることを推奨します。 | |
2020-03-04 | インテリジェント負荷分散をリリース | インテリジェント負荷分散は、複数のノードおよびルートにわたる自動ディザスタリカバリを提供し、最適なルーティングを通じて低遅延アクセスを実現します。 | |
2020-02-14 | Log Service の機能強化 | カスタムドメインに対して、全量ログを迅速に有効化できるようになりました。 | 該当なし |
2020-02-10 | イベントアラートのアップグレード | WAF のアラート通知機能は、ベースラインデータおよびイベント生成に焦点を当てています。セキュリティイベントおよびサービス監視のアラートをサポートしており、日常の O&M を支援します。 | |
2020-01-15 | アプリケーション保護のアップグレード | WAF の次世代保護エンジンは、悪意あるトラフィックに対する堅牢な保護を実現するための詳細な速度制限を提供します。また、HTTP フラッド攻撃、辞書攻撃、弱いパスワードの悪用など、一般的な脅威に対するアカウントセキュリティ保護もサポートします。 説明 これらの保護機能はすべてのユーザーに利用可能です。ただし、コンソール内の設定オプションは新規顧客のみが利用できます。既存の顧客は、2020 年 3 月以降にインスタンスをアップグレードすることで、これらの機能を利用できます。 |
2019 年
リリース日 | 機能 | 説明 | 参考資料 |
2019 年 12 月 20 日 | 専用エディションの機能強化 | WAF 専用エディションの機能強化により、ドメイン名ごとにカスタムタイムアウト期間を設定できるようになり、ユーザーエクスペリエンスが向上しました。 | |
2019 年 11 月 28 日 | アカウントセキュリティ検出をリリース | WAF のアカウントセキュリティモジュールは、ログイン関連のエンドポイントにおけるセキュリティリスクを特定するのに役立ちます。これらのリスクには、辞書攻撃、ブルートフォース攻撃、迷惑登録、弱いパスワードの検出、SMS 認証コードの洪水などが含まれます。 | |
2019 年 10 月 25 日 | 仮想化専用エディションをリリース | WAF 専用エディションでは、保護ポート、TLS バージョン、暗号スイート、ブロックされたリクエストに対する応答ページなど、Web セキュリティ要件に応じた保護設定をカスタマイズできます。 | |
2019 年 10 月 22 日 | 保護対象 Web サイトの URL プロファイリングをリリース | WAF は、過去のデータに基づいて、ビジネスの URL プロファイルおよびトラフィック量を自動的に特定できます。これにより、高度にカスタマイズされた保護ポリシーを作成および実装できます。 | 該当なし |
2019 年 10 月 16 日 | 概要ページにスキャン保護データを表示 | WAF の概要ページには、スキャン保護モジュールのデータが表示されるようになりました。これには、ブロックされたリクエストの総数、ブロックされたスキャン攻撃イベントの一覧、攻撃の詳細、およびセキュリティ専門家による緩和策の提案が含まれます。 | |
2019 年 8 月 22 日 | ポジティブセキュリティモデルをリリース | WAF は、インテリジェントでビッグデータ駆動の学習アルゴリズムを採用したポジティブセキュリティモデルを導入します。これは、過去のトラフィックを継続的に分析し、自動化・カスタマイズされた保護ポリシーを構築・反復します。 | |
2019 年 7 月 18 日 | セキュリティレポートに Web 攻撃の詳細を追加 | WAF のセキュリティレポートには、Web 攻撃の詳細ページが追加されました。このページでは、WAF が特定の攻撃をブロックした理由を詳しく説明し、セキュリティ運用の効率性および有効性を向上させます。 | |
2019 年 6 月 27 日 | HTTP/2 アプリケーション保護をサポート | WAF は、HTTP/2 プロトコルを使用するアプリケーショントラフィックの保護をサポートし、より包括的なアプリケーション保護を実現するためのプロトコル対応範囲を拡大しました。 | |
2019 年 6 月 13 日 | カスタム Web デコーディング方式の対応 | WAF では、保護構成設定でカスタム Web デコーディング方式を構成できます。 | |
2019 年 5 月 30 日 | ACL ルールの機能強化 | アクセス制御リスト (ACL) ルールでは、一致条件として複数の IP アドレスまたは CIDR ブロックを追加できるようになりました。 | |
2019 年 5 月 30 日 | 概要ページの機能強化 | 強化された WAF 概要ページは、大量のログデータからセキュリティイベントを集約し、専門家の緩和策のアドバイスを提供します。また、攻撃の種別ごとの統計および最も攻撃を受けているドメイン名を表示することで、セキュリティ運用の改善を支援します。 | |
2019 年 3 月 19 日 | 脅威インテリジェンスをリリース | WAF は、Web スキャンの指紋を含む脅威インテリジェンスライブラリを提供します。Web スキャンのブロック頻度および持続時間をカスタマイズできます。また、パス トラバーサルなどの一般的なスキャン署名に一致するリクエストは、WAF が自動的にブロックします。 | |
2019 年 1 月 3 日 | カスタム地域ブラックリスト | WAF の地域ブラックリスト機能では、世界中の特定の国および地域からのリクエストをブロックできます。 |
2018 年
リリース日 | 機能 | 説明 | 関連ドキュメント |
2018 年 12 月 20 日 | Web サイト改ざん防止機能の API をリリース | WAF は、Web サイト改ざん防止機能の API を提供します。キャッシュの更新や Web サイト改ざん防止保護の有効化などの共通タスクを実行できます。 | 該当なし |
2018 年 12 月 13 日 | カスタム保護ルールグループをリリース | WAF は、カスタム保護ルールグループをサポートします。デフォルトルールによる誤検知を回避し、サービスのセキュリティを確保するために、サービス固有のルールを作成できます。 | |
2018 年 11 月 16 日 | 1 年間のログ保持をサポート | WAF は、Log Service と統合し、保護対象の Web サイトからリアルタイムでビジネスログを収集し、ログ検索および分析を提供します。 | |
2018 年 10 月 24 日 | トラフィックマーキングをサポート | WAF は、トラフィックマーキングをサポートし、WAF によって転送されたトラフィックを識別するために、リクエストに特定のヘッダー値を挿入できます。 | |
2018 年 10 月 1 日 | セキュリティイベントアラート機能をサポート | WAF は、SMS またはメールでセキュリティイベントおよびシステムアラートを通知できます。サービスの異常を迅速に検出するために、監視対象のメトリックをカスタマイズできます。 | |
2018 年 7 月 27 日 | API をリリース | WAF は、コンソールで通常実行される共通タスクのための API を提供します。これにより、タスクの自動化および一括操作が可能になります。 | |
2018 年 4 月 27 日 | 精密アクセス制御の機能強化 | WAF は、ACL ルールの構成に使用できる HTTP ヘッダーフィールドをさらに増やしました。これにより、アクセスリクエストのより細かいフィルタリングが可能になります。 | |
2018 年 3 月 15 日 | インスタンスの終了をサポート | コンソールから WAF インスタンスを終了できるようになりました。 |
2017 年
リリース日 | 機能 | 説明 |
2017 年 12 月 28 日 | より多くの非標準ポートをサポート | WAF は、非標準ポートを使用するより多くのサービスを保護できるようになりました。 |
2017 年 11 月 24 日 | 複数の負荷分散アルゴリズムをサポート | 特定のニーズに合わせて、複数の負荷分散アルゴリズムから選択できるようになりました。 |
2017 年 10 月 30 日 | アプリケーションセキュリティソリューション | WAF は、ボットの悪用および Web スクレイピングといった脅威からモバイルアプリを保護するアプリケーションセキュリティソリューションを導入します。 |
2017 年 10 月 26 日 | WebSocket をサポート | WAF は、WebSocket サービスを保護できるようになりました。 |
2017 年 8 月 31 日 | エラーコード監視をサポート | WAF は、オリジンサーバーからのエラーコードを監視できるようになりました。 |
2017 年 8 月 31 日 | サービス帯域幅の照会をサポート | インバウンドおよびアウトバウンドのサービス帯域幅を照会できるようになりました。 |
2017 年 8 月 31 日 | QPS の照会をサポート | インスタンスレベルおよびドメイン名レベルの QPS を照会できるようになりました。 |
2017 年 8 月 16 日 | ブラックホールイベントの詳細表示をサポート | ブラックホールイベントの詳細（ breached attack threshold およびその他のイベント固有の情報）を表示できるようになりました。 |
2017 年 7 月 27 日 | 専用 IP を提供開始 | ドメイン名の IP アドレスを分離するために、専用 IP リソースを購入できます。 |
2017 年 7 月 25 日 | 精密アクセス制御の機能強化 | リスク管理および地域ブロッキングポリシーをバイパスする精密アクセス制御ルールを作成できるようになりました。 |
2017 年 7 月 25 日 | CAPTCHA アルゴリズムの最適化 | カスタム HTTP フラッド攻撃対策ルール向けに最適化された CAPTCHA アルゴリズムにより、HTTP フラッド攻撃のブロック率が向上しました。 |
2017 年 7 月 25 日 | ルールにおける論理演算子の追加対応 | 精密アクセス制御ルールは、「存在しない」と「値の長さ範囲」などの追加の論理条件をサポートするようになりました。 |
2017 年 7 月 25 日 | より多くの HTTP フィールドをサポート | より広範な HTTP フィールドに基づいて精密アクセス制御ルールを構成できるようになりました。 |
2017 年 6 月 7 日 | ドメイン名をオリジンアドレスとして使用する対応 | Web サイト構成において、ドメイン名をオリジンアドレスとして使用できるようになりました。 |
2017 年 5 月 25 日 | データ漏えい防止を提供開始 | WAF は、セキュリティ規制への準拠および機密データの保護を支援するデータ漏えい防止機能を提供します。 |
2017 年 4 月 12 日 | ワンクリック HTTPS をサポート | WAF コンソールでワンクリック操作により、サーバー構成を変更せずに Web サイトの HTTPS を有効化できます。 |
2017 年 4 月 12 日 | 複数のエディションで非標準ポートをサポート | WAF の複数のエディションが、非標準ポートを使用するサービスを保護できるようになりました。 |
2017 年 3 月 28 日 | 脅威インテリジェンスを提供開始 | WAF は、ビッグデータを活用した脅威インテリジェンス機能を導入します。これにより、セキュリティスコア評価、高リスク警告、リアルタイム攻撃の詳細が提供されます。 |
2017 年 3 月 8 日 | ドメイン登録の簡素化 | 簡素化されたドメイン登録プロセスにより、DNS レコードをワンクリックで追加できます。 |
2017 年 2 月 9 日 | Web サイト改ざん防止を提供開始 | WAF は、Web ページの悪意ある改ざんを防止する Web サイト改ざん防止機能を導入します。 |
2017 年 1 月 5 日 | 仮想ホストをサポート | HiChina の仮想ホスト上でホストされる Web サイトを WAF に追加できるようになりました。 |
2016 年
リリース日 | 機能 | 説明 |
2016-12-21 | WAF V3.1 | WAF V3.1 では、エンジンのコア保護機能が強化されています。このバージョンでは、地域別の IP アドレスブロッキングおよび HTTP フラッド攻撃の緩和のためのカスタムルールの構成が可能です。 |
2016-12-01 | インテリジェント意味解析エンジン | WAF 保護エンジンには、インテリジェント意味解析エンジンが組み込まれました。従来の正規表現ベースのルールと比較して、この新しいエンジンは誤検知および偽陰性の両方の発生率を大幅に削減します。 |