保護ルールエンジンは、SQL インジェクション、クロスサイトスクリプティング (XSS)、リモートコード実行、Web シェル攻撃など、一般的な Web アプリケーション攻撃からご利用の Web サイトを防御します。このページでは、ご利用のトラフィックに対して保護ルールエンジンを設定する方法、保護結果を解釈する方法、および正当なリクエストがブロックされた場合の対応方法について説明します。
保護ルールエンジンは、ApsaraDB for Redis や ApsaraDB RDS for MySQL への不正アクセスなど、ホストセキュリティの問題によって引き起こされるサーバー侵入をカバーしません。
仕組み
Web サイトを WAF に追加すると、保護ルールエンジンはデフォルトで有効になり、標準ルールグループが適用されます。受信リクエストは、アクティブなルールグループに対して評価されます。選択したモードに応じて、次のようになります。
Block — WAF は一致するリクエストをブロックし、攻撃をログに記録します。
Warn — WAF は攻撃をログに記録しますが、リクエストを通過させます。
保護ルールエンジンの設定
[Web サイト保護] ページに移動して、保護ルールエンジンの設定を表示および更新します。手順については、「保護ルールエンジンの設定」をご参照ください。
ステップ 1: ルールグループの選択
ご利用のトラフィックと誤検知の許容範囲に一致するルールグループを選択します。
| ルールグループ | 説明 | トレードオフ |
|---|---|---|
| 緩いルールグループ | 一般的な Web アプリケーション攻撃をブロックします | 低い検出カバー率、低い誤検知レート |
| 標準ルールグループ (デフォルト) | 一般的な Web アプリケーション攻撃を標準的な方法でブロックします (攻撃は保護ポリシーをバイパスする可能性があります) | 一般的な Web 攻撃に対するバランスの取れた検出 |
| 厳格ルールグループ | 厳格な方法で Web アプリケーション攻撃をブロックします (攻撃は複雑な保護ポリシーをバイパスする可能性があります) | より積極的なマッチング。誤検知のリスクが高くなります |
デフォルトの [Medium ルールグループ] から開始します。通常のトラフィックが Warn モードで影響を受けないことを検証した後（手順 2 を参照）にのみ、Strict に切り替えます。これは、Strict ルールグループのより広範なマッチングパターンにより、正当なリクエストがフラグ付けされる可能性が高くなるためです。
中国本土で WAF Business または WAF Enterprise を使用している場合、または中国本土以外で WAF Enterprise を使用している場合は、「保護ルールグループをカスタマイズする」こともできます。
ステップ 2: ブロックする前に Warn モードで検証
ブロッキングを有効にする前に、[モード] を [警告] に設定します。このモードでは、WAF がトラフィックに影響を与えることなく潜在的な攻撃をログに記録するため、ユーザーに影響が及ぶ前に誤検知を特定できます。1～2 週間警告モードで実行すると、ブロックされる可能性のあるパターンを明らかにするのに十分な多様性（エッジケースのリクエストを含む）を持つトラフィックが得られます。
1～2 週間後に、[Web イントルージョン防止] タブで攻撃ログを確認してください:
ログに正常なトラフィックが表示されない場合は、[モード] を [ブロック] に設定します。
通常のトラフィックがフラグ付けされている場合は、ブロックに切り替える前に誤検知を処理します (「誤検知の処理」をご参照ください)。
phpMyAdmin と開発テクノロジーフォーラムを保護のために WAF に追加すると、WAF が通常のトラフィックをブロックする可能性があります。この問題が発生した場合は、Alibaba Cloud セキュリティ専門家にご連絡いただき、問題を解決することをお勧めします。
ステップ 3: アプリケーションでの検出ルールトリガーの回避
特定のアプリケーション動作は、ルールグループに関係なく誤検知のリスクを高めます。通常のビジネストラフィックでは、次のパターンを避けてください。
HTTP リクエストパラメーターで生の SQL ステートメントまたは JavaScript コードを渡す。
URL パスで
UPDATEやSETなどの SQL キーワードを使用する — 例:www.example.com/abc/update/mod.php?set=1。ブラウザ経由で 50 MB を超えるファイルをアップロードする。代わりに Object Storage Service (OSS) を使用します。
保護結果の表示
保護ルールエンジンを有効化した後は、セキュリティレポート > Web セキュリティ > Web イントラージョン防止 タブでその結果を表示できます。
このタブには、過去 30 日間の攻撃レコードがチャートと詳細なレコードリストで表示されます。特定のイベントを検査するには、次の手順を実行します。
フィルターで [通常保護] を選択します。
攻撃レコードを探し、[詳細を表示] をクリックします。
次の図は、WAF がブロックした SQL インジェクションリクエストの例を示しています。
誤検知の処理
WAF が正当なトラフィックをブロックする場合、Web 侵入防止セクションでブロックされた URL のホワイトリストを設定し、Alibaba Cloud セキュリティ専門家にご連絡いただき、ソリューションを見つけることをお勧めします。
ブロックされた URL を特定します。[Web 侵入防止] タブの攻撃ログから特定のリクエストを見つけ、どの URL がブロックされているかを確認します。
影響を受ける URL のホワイトリストを設定します。 Web 侵入防止セクションのホワイトリストに URL を追加します。これにより、Web サイトの残りの部分の保護を無効にすることなく、これらのリクエストがエンジン検査から除外されます。手順については、「Web 侵入防止のホワイトリストを設定する」をご参照ください。
Alibaba Cloud セキュリティ専門家にご連絡ください。 ホワイトリストで問題が完全に解決しない場合、または誤検知の範囲が広い場合は、Alibaba Cloud セキュリティ専門家にご連絡いただき、分析とカスタマイズされたソリューションをご依頼ください。
ルール更新の維持
WAF は、既知およびゼロデイ脆弱性に対応するため、保護ルールを更新し、保護情報掲示を発行します。最新の更新情報を確認するには、[製品情報] ページに移動します。手順については、「サービス情報の表示」をご参照ください。
Web 攻撃には複数の概念実証 (POC) があります。Alibaba Cloud セキュリティ専門家は、公開済みおよび未公開の脆弱性をすべてカバーする保護ルールを確実にするために、脆弱性の原理を徹底的に分析します。