Web サイトを Web Application Firewall (WAF) に追加した後、データ漏えい防止機能を有効にできます。データ漏えい防止機能は、サーバーの応答 (エラーページやキーワードなど) から、ID カード番号、電話番号、銀行カード番号、禁止用語などの機密情報をフィルターします。その後、この機能は機密情報をマスクして表示するか、デフォルトのエラーページを返します。
現在、データ漏えい防止機能は、ID カード番号、携帯電話番号、クレジットカード番号など、中国本土で使用されているデータ形式をサポートしています。中国本土以外のデータ形式はサポートしていません。
前提条件
次の要件を満たす WAF インスタンスを有効化していること：
インスタンスのリージョンが 中国本土 の場合、インスタンスは Pro 以上である必要があります。
インスタンスのリージョンが 中国本土以外 の場合、インスタンスは Enterprise 以上である必要があります。
-
ご利用の Web サイトが WAF に追加されていること。詳細については、「チュートリアル」をご参照ください。
背景情報
WAF のデータ漏えい防止機能は、個人情報を保護し、データセキュリティ規制に準拠するためのセキュリティソリューションです。携帯電話番号、ID カード番号、クレジットカード番号など、Web サイトで見つかった機密データに対して、データマスキングとアラート機能を提供します。この機能では、特定の HTTP ステータスコードに基づいて応答をブロックすることもできます。
機能
データ漏えいの一般的な原因には、不正な URL アクセス、権限昇格の脆弱性、悪意のある Web スクレイピングなどがあります。これらのリスクを軽減するため、データ漏えい防止機能は次の機能を提供します：
Web ページ上の ID カード番号、携帯電話番号、クレジットカード番号などの機密性の高い個人データを検出し、アラートやデータマスキングなどの保護措置を提供して、データ侵害を防ぎます。
重要現在、データ漏えい防止機能は、ID カード番号、携帯電話番号、クレジットカード番号など、中国本土で使用されているデータ形式をサポートしています。中国本土以外のデータ形式はサポートしていません。
Web アプリケーションソフトウェアやオペレーティングシステムの種類やバージョンなど、機密性の高いサーバー情報の漏えいを、そのような応答をブロックすることで防ぎます。
組み込みの禁止用語ライブラリを使用して Web ページ上の禁止用語の存在を検出し、アラートやキーワードのマスキングなどの保護アクションを提供します。
仕組み
データ漏えい防止機能は、設定したルールに基づいて、応答ページに ID カード番号、携帯電話番号、クレジットカード番号などの機密情報が含まれていないか検査します。WAF が一致を検出すると、指定されたアクション (アラートの生成または機密情報のフィルター) を実行します。フィルターアクションは、データの一部をアスタリスク (*) に置き換えることでデータをマスクします。
データ漏えい防止機能は、text/*、image/*、application/* などの Content-Type をサポートしており、Web アプリケーション、モバイルアプリ、API インターフェイスをカバーしています。
操作手順
-
Web Application Firewall (WAF) コンソールにログインします。上部のメニューバーで、WAF インスタンスのリソースグループと、リージョンとして 中国本土 または 中国本土以外 を選択します。
-
左側のナビゲーションウィンドウで、 を選択します。
-
Web サイト保護 ページで、設定対象のドメイン名に切り替えます。
Web セキュリティ タブをクリックし、情報漏洩防止 セクションを見つけ、ステータス スイッチをオンにし、次に 設定 をクリックします。
重要保護ルールを作成する前に、データ漏えい防止を有効にする必要があります。
データ漏えい防止を有効にすると、WAF はデフォルトで Web サイトへのすべてのリクエストを検査します。データセキュリティのホワイトリストを設定して、特定の条件を満たすリクエストがこの検査をバイパスできるようにすることができます。詳細については、「データセキュリティのホワイトリストの設定」をご参照ください。
データ漏えい防止ルールを作成します。
情報漏洩防止 ページで、ルールを追加 をクリックします。
ルールの作成 ダイアログボックスで、次のパラメーターを設定します。
パラメーター
説明
ルール名
ルールの名前を入力します。
マッチング条件
応答で検出する機密情報の種類を定義します。有効な値は次のとおりです：
ステータスコード： 400, 401, 402, 403, 404, 500, 501, 502, 503, 504, 405-499, 505-599
機密情報：ID カード、クレジットカード、電話番号、およびデフォルト機密ワード
重要現在、データ漏えい防止機能は、ID カード番号、携帯電話番号、クレジットカード番号など、中国本土で使用されているデータ形式をサポートしています。中国本土以外のデータ形式はサポートしていません。
ステータスコードと機密情報について、1 つ以上の種類を選択できます。
AND を選択した場合、URL を指定して、検出を特定のページに制限することもできます。
一致アクション
応答で一致が検出されたときに実行するアクションを定義します。
Status Code が Status Code の場合、次の操作が利用可能です。
警報: アラートを生成します。
ブロック: 応答をブロックし、ブロックページを返します。
機密情報 が 機密情報 の場合、次の操作が利用可能です。
警報: アラートを生成します。
機密情報フィルタリング: 機密情報をマスクします。
ルール設定の例
機密情報のマスキング：携帯電話番号や ID カード番号などの機密情報をマスクするには、次の設定でルールを作成します：
一致条件：[機密情報] に [ID カード番号] と [携帯電話番号] が含まれる。
アクション：[機密情報をフィルター]。
このルールを適用すると、Web サイト上のすべての携帯電話番号と ID カード番号が自動的にマスクされます。
重要このルールは、ビジネスに関する問い合わせやサポートホットラインなど、公開されている電話番号もマスクする可能性があります。
ステータスコードによるブロック：特定の HTTP ステータスコードに対してブロックまたはアラートを生成してサーバー情報の漏えいを防ぐには、次の設定でルールを作成します。この例では、HTTP 404 ステータスコードを持つ応答をブロックします。
一致条件：[ステータスコード] に [404] が含まれる。
アクション：[ブロック]。
このルールを適用すると、ユーザーが存在しないページを Web サイトでリクエストした場合、WAF はブロックページを返します。
特定の URL での機密情報のフィルター：特定のページで ID カード番号などの機密情報をフィルターするには、次の設定でルールを作成します。この例では、
admin.phpページで ID カード番号をフィルターします。一致条件：[機密情報] に [ID カード番号] が含まれ、かつ [URL] に
admin.phpが含まれる。アクション：[機密情報をフィルター]。
このルールを適用すると、admin.php ページ上の ID カード番号のみが自動的にマスクされます。
OK をクリックします。
ルールが作成されると、自動的に有効になります。ルールリストからルールを表示、編集、または削除できます。
次のステップ
データ漏えい防止を有効にすると、セキュリティレポート ページの Web セキュリティ > 情報漏洩防止 レポートで、フィルターまたはブロックされたリクエストのログを表示できます。詳細については、「WAF セキュリティレポート」をご参照ください。