アカウントセキュリティ機能は、ログインや登録など、ビジネスエンドポイントにおけるアカウントセキュリティのリスクを特定するのに役立ちます。これらのリスクには、辞書攻撃、ブルートフォース攻撃、スパム登録、弱いパスワードの使用、SMS フラッド攻撃などがあります。このトピックでは、アカウントセキュリティルールを設定し、検出結果を表示する方法について説明します。
前提条件
-
[Pro] 以上のエディションの Web Application Firewall (WAF) インスタンスを購入済みであること。
WebサイトがWAFに追加されます。 詳細については、「チュートリアル」をご参照ください。
背景情報
アカウントセキュリティ保護を設定する前に、アプリケーション内の関連するエンドポイントを特定する必要があります。これには、ドメイン名、アカウント認証情報が送信される URL、およびユーザー名とパスワードフィールドのパラメーター名が含まれます。各 WAF インスタンスは、最大 3 つのエンドポイントを保護できます。
保護対象エンドポイントの追加
にログインします。WAFコンソール.
上部のナビゲーションバーで、リソースグループとWAFインスタンスが属するリージョンを選択します。 リージョンは、中国本土または中国本土以外です。
-
左側メニューで、 の順に選択します。
-
アカウントセキュリティ ページで、エンドポイントの追加 をクリックします。
初めて アカウントセキュリティ ページにアクセスする場合は、このステップをスキップします。
説明各 WAF インスタンスは、最大 3 つのエンドポイントを保護できます。エンドポイントが既に 3 つ追加されている場合、エンドポイントの追加 ボタンは無効になります。
-
[エンドポイントの追加] ダイアログボックスで、エンドポイントパラメーターを設定し、[保護アクション] を [レポート] または [ブロック] に設定した後、保存 をクリックします。 パラメーターには、[検出するエンドポイント] アドレス (例:
/login.do)、[リクエストメソッド]、[アカウントパラメーター名] (例:username)、および [パスワードパラメーター名] (例:pwd) が含まれます。パラメーター
説明
[対象エンドポイント]
保護するドメインを選択し、アカウント認証情報が送信されるエンドポイントの URI を入力します。
エンドポイントは、ログインページのアドレス (例：
/login.html) ではなく、送信された認証情報を受け取る API です。説明アセット検出を有効にしている場合、WAF は追加されたドメインのすべてのエンドポイントを自動的に入力します。リストから保護したいエンドポイントを選択できます。詳細については、「アセット検出」をご参照ください。
[要求方法]
エンドポイントのリクエストメソッドを選択します。有効な値：POST、GET、PUT、DELETE。
[アカウントパラメーター名]
アカウントフィールドのパラメーター名を指定します。
[パスワードパラメーター名]
パスワードフィールドのパラメーター名を指定します。エンドポイントにパスワードが不要な場合は、このパラメーターを空のままにすることができます。
[保護アクション]
アカウントセキュリティリスクとして特定されたリクエストに対するアクションを選択します。有効な値：
-
[検出]
-
[ブロック]
設定例：
-
シナリオ 1: ログインエンドポイントが
/login.doで、POST リクエストボディがusername=Jammy&pwd=123456の場合、アカウントパラメーター名 をusernameに、パスワードパラメーター名 をpwdに設定します。 -
シナリオ 2:
/login.do?username=Jammy&pwd=123456のように、GET リクエストの URL にログイン資格情報が含まれている場合は、要求方法 を GET に設定します。その他の設定はシナリオ 1 と同じです。 -
シナリオ 3: ユーザー登録エンドポイントなど、エンドポイントでパスワードが不要な場合は、アカウントパラメーター名 のみを指定します。パスワードパラメーター名 は空のままにしておくことができます。
-
シナリオ 4: エンドポイントがユーザー認証情報として携帯電話番号を使用する場合、携帯電話番号をアカウントパラメーターとして扱います。 たとえば、リクエストが
/sendsms.do?mobile=1381111****の場合、対象エンドポイント を/sendsms.doに設定し、アカウントパラメーター名 をmobileに設定します。 パスワードパラメーター名 は空のままにできます。
保護対象のエンドポイントを追加すると、WAF は検出タスクをディスパッチします。エンドポイントへのトラフィックが検出ロジックに一致する場合、数時間以内にアカウントセキュリティイベントが生成されます。
説明アカウントセキュリティを有効にすると、WAF はデフォルトで Web サイトへのすべてのリクエストをアカウントセキュリティルールに照らしてチェックします。データセキュリティホワイトリストを設定して、特定の条件を満たすリクエストがこれらのチェックをバイパスさせることができます。詳細については、「データセキュリティホワイトリストの設定」をご参照ください。
-
アカウントセキュリティレポートの表示
アカウントセキュリティ ページで、エンドポイントのレポートを表示するには、[操作] 列の レポートの表示 をクリックします。 または、WAF の セキュリティレポート ページでアカウントセキュリティレポートを表示することもできます。
以下の手順では、セキュリティレポート ページからアカウントセキュリティレポートを表示する方法について説明します。
にログインします。WAFコンソール.
上部のナビゲーションバーで、リソースグループとWAFインスタンスが属するリージョンを選択します。 リージョンは、中国本土または中国本土以外です。
左側のナビゲーションウィンドウで、 を選択します。
-
Web セキュリティ タブで アカウントセキュリティ をクリックし、ドメイン、エンドポイント、時間範囲 (昨日、本日、7 日、または 30 日) を選択して、対応するアカウントセキュリティリスクイベントを表示します。
次の表に、アカウントセキュリティレポートのフィールドを示します。
フィールド
説明
[エンドポイント]
アカウントセキュリティイベントが検出されたエンドポイントの URI。
[ドメイン]
エンドポイントが属するドメイン。
[不正リクエストの発生時間帯]
アカウントセキュリティイベントが検出された期間。
ブロックされたリクエスト
不正リクエストの発生時間帯 で指定された時間範囲内に、WAF 保護ポリシーによってブロックされたエンドポイントへのリクエスト数です。
これらのポリシーには、Web 攻撃対策ルール、カスタム保護ポリシー (ACL)、HTTP フラッド攻撃対策、リージョンブラックリストなど、すべての有効な保護ルールが含まれます。この数は、エンドポイントのアカウントリスクがどの程度効果的に軽減されているかを示すのに役立ちます。
[合計リクエスト数]
不正リクエストの発生時間帯 で指定された時間範囲における、エンドポイントへのリクエストの総数。
[アラート発生原因]
アラートがトリガーされた理由。例：
-
リクエストが、辞書攻撃またはブルートフォース攻撃の行動モデルに一致した。
-
指定された期間中、エンドポイントのトラフィックベースラインが異常であった。
-
指定された期間中、エンドポイントへの多数のリクエストが脅威インテリジェンスデータベースのエントリに一致した。
-
指定された期間中、エンドポイントへの多数のリクエストに弱いパスワードが含まれていた。これはブルートフォース攻撃または辞書攻撃のリスクを示唆します。
-
詳細情報
WAF のアカウントセキュリティ機能は検出専用です。アカウントセキュリティには複雑なビジネスロジックと技術的なシナリオが関わるため、特定のニーズに基づいて保護戦略を選択する必要があります。詳細については、「アカウントセキュリティのベストプラクティス」をご参照ください。