スキャン保護は、自動化された脅威 (高頻度の Web 攻撃、ディレクトリトラバーサル、一般的なセキュリティスキャナー、Alibaba Cloud の悪意のある IP ライブラリに記載の IP など) に関連する IP アドレスからのアクセスリクエストを自動的にブロックします。
前提条件
作業を開始する前に、以下の条件を満たしていることを確認してください。
プロ版 以上の WAF インスタンスが実行中であること。
WAF に既に追加済みのウェブサイトです。詳細については、「[チュートリアル]」をご参照ください。
プロ版では、デフォルトのスキャン保護ポリシーのみがサポートされます。高頻度 Web 攻撃のブロック または ディレクトリトラバーサル防御 のカスタムルールを設定するには、ビジネス版以上にスペックアップする必要があります。
スキャン保護ポリシー
スキャン保護には 4 つのポリシーが含まれており、それぞれを個別に有効化または無効化できます。
| ポリシー | ブロック対象 | カスタマイズ可否 | 必要なエディション |
|---|---|---|---|
| 高頻度 Web 攻撃を開始する IP のブロック | 設定されたタイムウィンドウ内で複数の Web 攻撃を開始するクライアント IP | 可 | ビジネス版以上 |
| ディレクトリトラバーサル防御 | 多くのディレクトリを探索する大量のリクエストを送信し、404 応答率が高いクライアント IP | 可 | ビジネス版以上 |
| スキャンツールのブロック | 一般的なスキャナー (`sqlmap`、`AWVS`、`Nessus`、`AppScan`、`WebInspect`、`Netsparker`、`Nikto`、`RSAS`) の動作の指紋に一致するリクエスト | 不可 | プロ版以上 |
| 連携防御 | Alibaba Cloud の悪意のある IP ライブラリにリストされている IP | いいえ | プロ版以上 |
スキャン保護の設定
WAF コンソールにログインします。
上部のナビゲーションバーで、WAF インスタンスがデプロイされているリソースグループとリージョンを選択します。中国本土 または 中国本土以外 を選択します。
左側のナビゲーションウィンドウで、保護設定 > Web サイト保護 を選択します。
Web サイト保護 ページの上部にある ドメイン名の切り替え ドロップダウンリストからドメイン名を選択します。
アクセス制御/レート制限 タブで、スキャン保護 セクションを見つけます。
いずれかのスキャン保護ポリシーが有効になっている場合、Web サイトへのすべてのリクエストはそのポリシーのチェックを通過します。特定の条件に一致するリクエストを除外するには、アクセス制御/レート制限のホワイトリストを設定します。詳細については、「アクセス制御/レート制限のホワイトリストの設定」をご参照ください。
必要に応じて各ポリシーを有効にし、設定します。
高頻度 Web 攻撃を開始する IP のブロック
このポリシーは、ローリングタイムウィンドウ内で各クライアント IP からの Web 攻撃をモニターします。単一の IP からの攻撃回数が設定されたしきい値を超えると、WAF はその IP を指定された持続時間ブロックします。
高頻度 Web 攻撃を開始する IP のブロック をオンにします。
設定項目 をクリックします。
ルール設定 ダイアログボックスで、次のパラメーターを設定します。
まずは、モード セクションから組み込みモードを選択して、適切なベースラインから始めることを推奨します。必要に応じて、モードを選択した後に個別のパラメーターを調整してください。パラメーター 説明 検査時間範囲 WAF が各クライアント IP からの Web 攻撃をカウントするローリングタイムウィンドウ。ウィンドウを長くすると、持続的で低レートの攻撃キャンペーンをキャッチできます。 攻撃数が超過する 検査時間範囲内での IP ごとの攻撃回数のしきい値。単一の IP がこの回数を超えると、WAF はブロックをトリガーします。この値を低く設定すると、より攻撃的な攻撃者をキャッチできます。高く設定すると、ノイズが多いが正当なトラフィックからの誤検知を減らすことができます。 ブロックされた IP アドレス しきい値を超えた後、IP がブロックされ続ける時間。持続時間を長くすると保護が強化されますが、誤ってフラグが立てられた正当な IP の回復が遅れます。 モード 使用する状況 通常モード 一般的な攻撃ボリュームを持つほとんどの本番環境に推奨されます。 厳格モード 攻撃活動が活発化している期間に使用します。しきい値を下げて、より積極的にブロックします。 柔軟モード 環境内に、誤検知をトリガーするような攻撃的だが正当なクローラーや高ボリュームの自動化クライアントが存在する場合に使用します。 確認 をクリックします。
このポリシーによってブロックされた IP のブロックを解除するには、IP アドレスのブロックを解除 をクリックします。
ディレクトリトラバーサル防御
このポリシーは、クライアント IP が多くの異なるディレクトリにまたがる大量のリクエストを送信し、その大部分が HTTP 404 を返す場合に、そのクライアント IP をブロックします。これは、自動化されたディレクトリスキャンの典型的なパターンです。ブロックをトリガーするには、3 つすべての条件を同時に満たす必要があります。
ディレクトリトラバーサル防御 をオンにします。
設定項目 をクリックします。
ルール設定 ダイアログボックスで、次のパラメーターを設定します。
まずは、モード セクションから組み込みモードを選択して、開始点とすることを推奨します。パラメーター 説明 検査時間範囲 WAF がクライアント IP のリクエストパターンを評価するタイムウィンドウ。 合計リクエスト数が次を超える 検査時間範囲内での単一 IP からの最小合計リクエスト数。これにより、たまたまいくつかの存在しないパスにヒットした低ボリュームのクライアントが除外されます。 かつ 404 応答の割合が次を上回る HTTP 404 を返す必要があるリクエストの割合。正当なユーザーも時々存在しないページにアクセスしますが、高い 404 率は体系的な探索を示します。 ディレクトリ番号 IP が探索した必要がある個別のディレクトリの数。高いディレクトリ数は、単一の存在しないパスへの繰り返しのヒットと、体系的なトラバーサルを区別します。 ブロックされた IP アドレス すべてのしきい値を満たした後に IP がブロックされ続ける時間。 モード 使用する状況 通常モード ほとんどの本番環境に推奨されます。 厳格モード サイトがアクティブなディレクトリトラバーサル攻撃を受けている場合に使用します。すべてのしきい値を厳しくします。 柔軟モード 設計上、正当な 404 応答が多いサイト (動的なリソースパスを持つ REST API など) で使用します。 確認 をクリックします。
このポリシーによってブロックされた IP のブロックを解除するには、IP アドレスのブロックを解除 をクリックします。
スキャンツールのブロック
WAF は、既知のスキャナーの動作の指紋と照合することでリクエストを識別します。リクエストがスキャナーの指紋に一致すると、WAF は常にそれをブロックします。
この検出を有効にするには、スキャンツールのブロック をオンにします。スキャナーからのリクエストのブロックを停止するには、オフにします。
追加の設定は不要です。
連携防御
WAF は、Alibaba Cloud の悪意のある IP ライブラリにある IP からのすべてのアクセスリクエストをブロックします。リクエストがこのライブラリ内の IP から発信された場合、WAF はそれをブロックします。
このブロックを有効にするには、連携防御 をオンにします。悪意のある IP ライブラリからの IP のブロックを停止するには、オフにします。
追加の設定は不要です。
次のステップ
スキャン保護のチェックから特定の IP またはリクエストパターンを除外するには、「アクセス制御/レート制限のホワイトリストの設定」をご参照ください。