保護ルールエンジンは、SQL インジェクション、クロスサイトスクリプティング (XSS)、リモートコード実行、Web シェル攻撃などの一般的な Web 攻撃から Web サイトを保護します。このページでは、トラフィックに応じたエンジンの設定方法、保護結果の解釈方法、正当なリクエストがブロックされた場合の対応方法について説明します。
保護ルールエンジンは、ApsaraDB for Redis や ApsaraDB RDS for MySQL への不正アクセスなど、ホストセキュリティの問題によるサーバー侵入には対応していません。
仕組み
Web サイトを Web Application Firewall (WAF) に追加すると、保護ルールエンジンがデフォルトで有効になり、標準ルールグループが適用されます。受信リクエストはアクティブなルールグループによって評価されます。選択したモードに応じて、以下のように動作します。
-
[ブロック] — WAF は一致したリクエストをブロックし、攻撃をログに記録します。
-
[警告] — WAF は攻撃をログに記録しますが、リクエストは通過させます。
保護ルールエンジンの設定
Web サイト保護 ページで、保護ルールエンジンの設定を表示および更新できます。詳細な手順については、「保護ルールエンジンの設定」をご参照ください。
ステップ 1： ルールグループの選択
トラフィックと誤検知の許容範囲に適したルールグループを選択してください。
| ルールグループ | 説明 | トレードオフ |
|---|---|---|
| 緩いルールグループ | 一般的な Web アプリケーション攻撃をブロックします | 検出範囲は狭いですが、誤検知率は低くなります |
| 標準ルールグループ (デフォルト) | 一般的な Web アプリケーション攻撃を標準的な方法でブロックします (攻撃が保護ポリシーを回避する可能性があります) | 一般的な Web 攻撃に対してバランスの取れた検出を提供します |
| 厳格なルールグループ | Web アプリケーション攻撃を厳格な方法でブロックします (攻撃が複雑な保護ポリシーを回避する可能性があります) | より積極的なマッチングを行いますが、誤検知のリスクが高くなります |
まずはデフォルトの 中程度のルールグループ から始めてください。[厳格] への切り替えは、警告モードで正常なトラフィックに影響がないことを検証した後にのみ行ってください (ステップ 2 を参照)。厳格なルールグループはより広範なマッチングパターンを使用するため、正当なリクエストを誤検知する可能性が高くなります。
中国本土で WAF Business または Enterprise を使用している場合、または中国本土以外で WAF Enterprise を使用している場合は、保護ルールグループをカスタマイズし、特定の要件に合わせてルールを組み合わせることもできます。
ステップ 2： ブロックする前に警告モードで検証
ブロックを有効にする前に、モード を 警報 に設定してください。このモードでは、WAF はトラフィックに影響を与えることなく潜在的な攻撃をログに記録するため、ユーザーに影響を与える前に誤検知を特定できます。警告モードで 1〜2 週間実行することで、エッジケースのリクエストを含む十分なトラフィックの多様性が得られ、ブロックされるパターンを洗い出すことができます。
1〜2 週間後、Web 侵入防止 タブで攻撃ログを確認してください。
-
ログに正常なトラフィックが表示されない場合は、モード を ブロック に設定してください。
-
正常なトラフィックが誤検知されている場合は、ブロックに切り替える前に誤検知に対処してください (「誤検知への対処」を参照)。
phpMyAdmin や開発技術フォーラムを WAF に追加して保護する場合、WAF が正常なトラフィックをブロックする可能性があります。この問題が発生した場合は、Alibaba Cloud のセキュリティ専門家にお問い合わせの上、解決を依頼することを推奨します。
ステップ 3： アプリケーションにおける検出ルールのトリガー回避
特定のアプリケーションの動作は、ルールグループに関係なく誤検知のリスクを高めます。通常のビジネストラフィックでは、以下のパターンを避けてください。
-
HTTP リクエストパラメータに生の SQL ステートメントや JavaScript コードを渡すこと。
-
URL パスで
UPDATEやSETなどの SQL キーワードを使用すること。例：www.example.com/abc/update/mod.php?set=1 -
ブラウザを通じて 50 MB を超えるファイルをアップロードすること。代わりに Object Storage Service (OSS) を使用してください。
保護結果の表示
保護ルールエンジンを有効にした後、セキュリティレポート > Web セキュリティ > Web 侵入防止 タブで結果を表示できます。
このタブには、過去 30 日間の攻撃記録がグラフと詳細な記録リストで表示されます。特定のイベントを調査するには、次の手順を実行してください。
-
フィルタで 保護ルールエンジン を選択してください。
-
攻撃記録を見つけて、詳細はこちら をクリックしてください。
次の図は、WAF がブロックした SQL インジェクションリクエストの例を示しています。
誤検知への対処
WAF が正当なトラフィックをブロックする場合は、Web 侵入防止セクションでブロックされた URL のホワイトリストを設定した上で、Alibaba Cloud のセキュリティ専門家にご連絡いただき、解決策を相談することを推奨します。
-
ブロックされた URL を特定してください。 Web 侵入防止 タブの攻撃ログで特定のリクエストを見つけ、どの URL がブロックされているかを確認してください。
-
影響を受けた URL のホワイトリストを設定してください。 Web 侵入防止セクションでホワイトリストに URL を追加してください。これにより、Web サイトの他の部分の保護を無効にすることなく、これらのリクエストをエンジンの検査から除外できます。手順については、「Web 侵入防止のホワイトリストの設定」をご参照ください。
-
Alibaba Cloud のセキュリティ専門家にお問い合わせください。 ホワイトリストで問題が完全に解決しない場合、または誤検知の範囲が広い場合は、Alibaba Cloud のセキュリティ専門家に連絡して分析とカスタマイズされたソリューションを依頼してください。
最新のルール更新の確認
WAF は保護ルールを更新し、既知およびゼロデイ脆弱性に対処するための保護情報を公開しています。最新の更新を確認するには、プロダクト情報 ページにアクセスしてください。手順については、「サービス情報の表示」をご参照ください。
Web 攻撃には複数の概念実証 (PoC) が存在します。Alibaba Cloud のセキュリティ専門家は、公開された保護ルールがすべての公開済みおよび未公開の脆弱性を網羅することを保証するため、脆弱性の原理を徹底的に分析しています。