Web 侵入防止は、一般的な Web 攻撃やゼロデイ脆弱性をブロックしますが、厳格な検出ルールによって、正当なトラフィックが誤って悪意のあるものとしてフラグ付けされることがあります。たとえば、権限付与ヘッダーに特殊文字を含むリクエストを送信する内部ツールは、承認されているにもかかわらずブロックされる可能性があります。ホワイトリストを設定することで、特定のリクエストを保護ルールエンジンの検出から除外できます。
前提条件
開始する前に、以下をご確認ください：
Web Application Firewall (WAF) インスタンス
WAF に追加済みのウェブサイト — 詳細については、「チュートリアル」をご参照ください。
ホワイトリストルールの作成
ステップ 1：ホワイトリストページを開く
WAF コンソールにログインします。
上部のナビゲーションバーで、ご利用の WAF インスタンスがデプロイされているリソースグループとリージョンを選択します。選択可能なリージョンは [中国本土] と [中国本土以外] です。
左側のナビゲーションウィンドウで、[保護設定] > [ウェブサイト保護] を選択します。
[ウェブサイト保護] ページの上部にある [ドメイン名の切り替え] ドロップダウンリストからドメイン名を選択します。
[Web セキュリティ] タブをクリックし、[Web 侵入防止] セクションを見つけて、[設定] をクリックします。
[Web 侵入防止 - ホワイトリスト] ページで、[ルールの作成] をクリックします。
ステップ 2：ルールの設定
[ルールの作成] ダイアログボックスで、以下のパラメーターを設定します。
| パラメーター | 説明 |
|---|---|
| [ルール名] | ルールの名前。1～50 文字の英数字で指定します。 |
| [一致条件] | 除外するリクエストを識別するための条件です。[ルールの追加] をクリックして条件を追加します (ルールごとに最大 5 つ)。複数の条件が設定されている場合、すべての条件が満たされた場合にのみルールがトリガーされます。サポートされているフィールドについては、「一致条件のフィールド」をご参照ください。 |
| [バイパスされるモジュール] | 一致したリクエストに対してバイパスする保護モジュール。有効な値は [保護ルールエンジン] のみです。 |
ステップ 3：バイパスするルールの範囲の選択
[保護ルールエンジン] を選択すると、[すべてのルール] が自動的に選択され、エンジン内のすべてのルールが一致したリクエストに対してバイパスされます。
攻撃対象領域を最小限に抑えるため、バイパスする範囲は可能な限り狭く設定してください。すべてのルールやルールタイプ全体をスキップするのではなく、特定のルール ID をスキップすることを推奨します。
オプション A：特定のルールを ID でスキップ (推奨)
[特定のルールの ID] を選択します。
各ルール ID を入力し、その都度 Enter キーを押します。最大 50 個のルール ID を入力できます。
ルール ID を確認するには、[保護ルールグループ] ページに移動し、[ルールグループの作成] をクリックします。このページには、WAF 内のすべてのルールとその ID が一覧表示されます。詳細については、「保護ルールグループのカスタマイズ」をご参照ください。
ヒント：特定の誤検知に迅速に対応するには、[セキュリティレポート] ページに移動し、[Web 侵入防止] タブを開き、ブロックされたリクエストを見つけて、[操作] 列の [誤検知を無視] をクリックします。WAF は攻撃リクエストの特性に基づいてホワイトリストルールを自動的に生成するため、手動で条件を設定したり、ルール ID を照会したりする必要はありません。詳細については、「Web セキュリティタブでのセキュリティレポートの表示」をご参照ください。
オプション B：特定のルールタイプをスキップ
[特定の種類のルール] を選択します。
バイパスするルールの種類を選択します。
[確認] をクリックします。
ステップ 4：ルールの保存
[保存] をクリックします。
ホワイトリストルールは自動的に有効になります。ルールリストから、いつでもルールの表示、無効化、編集、削除ができます。
ホワイトリストルールに有効期限はありません。ルールが不要になった場合は、意図しない保護の隙間を残さないように、ルールを無効化または削除してください。