すべてのプロダクト
Search

このプロダクト

    Web Application Firewall:カスタム保護ポリシーの設定

    ドキュメントセンター

    Web Application Firewall:カスタム保護ポリシーの設定

    最終更新日:Aug 22, 2026

    カスタム保護ポリシーを使用すると、精密なマッチ条件に基づいて、カスタマイズされたアクセスコントロールルールとレート制限ルールを作成できます。これらのポリシーは、ホットリンク対策や Web サイトの管理バックエンドの保護などのシナリオで使用できます。本トピックでは、カスタム保護ポリシーの設定方法について説明します。

    背景情報

    カスタム保護ポリシーでは、カスタムルールを使用します。カスタムルールには次の 2 つのカテゴリがあります。

    • ACL ルール：クライアント IP アドレス、リクエスト URL、一般的なリクエストヘッダーなどのフィールドに対して定義した精密なマッチ条件に基づいて、リクエストをフィルタリングします。

    • HTTP フラッド攻撃対策ルール：精密なマッチ条件に加えて、レート制限条件を定義することで、悪意のあるリクエストをフィルタリングします。

    制限事項

    設定できるカスタムルールの数と仕様は、ご契約の Web Application Firewall (WAF) インスタンスのエディションによって異なります。

    仕様

    説明

    Pro edition

    Business edition

    Enterprise edition 以降

    カスタムルールの数

    追加できるカスタムルールの最大数。

    ドメイン名あたり 200 件

    ドメイン名あたり 200 件

    ドメイン名あたり 200 件

    高度なマッチフィールド

    ルールのマッチ条件で、IP および URL 以外の高度なマッチフィールドを使用できます。

    サポート対象外

    サポート対象

    サポート対象

    レート制限

    カスタムルールでレート制限を有効にすることで、HTTP フラッド攻撃対策ルールを作成できます。

    サポート対象外

    サポート対象

    サポート対象

    カスタム統計オブジェクト

    レート制限で、IP およびセッション以外のカスタム統計オブジェクトを使用できます。

    サポート対象外

    サポート対象

    サポート対象

    前提条件

    • WAFインスタンスが購入されました。

    • WebサイトがWAFに追加されます。 詳細については、「チュートリアル」をご参照ください。

    操作手順

    1. にログインします。WAFコンソール.

    2. 上部のナビゲーションバーで、リソースグループとWAFインスタンスが属するリージョンを選択します。 リージョンは、中国本土または中国本土以外です。

    3. 左側のナビゲーションウィンドウで、[保護設定] > [Webサイト保護] を選択します。

    4. [Webサイトの保護] ページの上部で、保護ルールを設定するドメイン名を選択します。 Switch Domain Name

    5. アクセス制御/スロットリング タブをクリックし、カスタム保護ポリシー セクションで ステータス スイッチをオンにして、設定 をクリックします。

      説明

      カスタム保護ポリシーを有効にすると、デフォルトでは、ポリシーは Web サイトへのすべてのリクエストを検査します。特定のリクエストがこの検査をバイパスできるように、アクセスコントロールとスロットリングのホワイトリストを設定できます。詳細については、「アクセスコントロールとスロットリングのホワイトリストの設定」をご参照ください。

    6. カスタムルールを作成します。

      1. カスタム保護ポリシー ページで、カスタム保護ポリシーの作成 をクリックします。

      2. ルールの作成 ダイアログボックスで、[ルール名]、[一致条件] (一致フィールド、論理演算子、一致内容を設定します。AND 演算子を使用して最大 5 つの条件を組み合わせます)、[レート制限] (スイッチでこの機能を有効にします。レート制限は、正確な条件が満たされるとトリガーされます)、[アクション] ([監視] など)、および[保護タイプ] ([HTTP フラッド保護] または [ACL]) を設定します。

        パラメータ

        説明

        [ルール名]

        ルールの名前を指定します。

        [一致条件]

        ルールの検出ロジックを定義します。一致条件を満たすリクエストのみがルールをトリガーします。ルールを追加 をクリックして、最大 5 つの条件を設定します。複数の条件を指定した場合、リクエストが一致したとみなされるには、すべての条件を満たす必要があります。

        フィールドの詳細については、「マッチ条件フィールド」をご参照ください。

        [レート制限]

        レート制限を有効または無効にします。レートチェックは、リクエストがマッチ条件を満たした後に実行されます。この機能を有効にする場合は、レート制限のパラメータを設定する必要があります。レート制限パネルには次のパラメータが含まれます：[統計オブジェクト] (IP など)、[間隔 (秒)]、[しきい値 (回数)]、[ステータスコード] (オプション、数量またはパーセンテージで設定可能)、[有効範囲] (現在の機能マッチ範囲または現在のルールのドメイン範囲)、[アクション] (監視など)、[タイムアウト (秒)]、および [保護タイプ] (HTTP フラッド攻撃対策または ACL)。

        詳細については、「レート制限パラメータ」をご参照ください。

        [操作]

        ルールをトリガーしたリクエストに対して実行するアクションを指定します。有効な値：

        • [モニター]: アラートを記録しますが、リクエストは許可します。

        • [ブロック]：リクエストをブロックします。

        • [CAPTCHA]: リクエストを CAPTCHA 認証用のページにリダイレクトします。

        • [厳格な Captcha]: リクエストを厳格な CAPTCHA 認証用のページにリダイレクトします。

        • [JavaScript 検証]: JavaScript 検証を実行します。

        レート制限 を有効にする場合は、アクションを有効にしておく期間として、TTL (秒) も指定する必要があります。

        説明

        • WAF はクラスター内の複数のサーバーからのデータを集約してリクエストレートを計算するため、統計プロセスにわずかな遅延が発生する場合があります。その結果、アクションが有効になるまでに短いレイテンシが生じることがあります。

        • カスタム保護ポリシーの JS 検証および CAPTCHA アクションは、静的ページにのみ適用されます。XMLHttpRequest や Fetch によって開始される非同期リクエストをサポートするには、Bot Management モジュールで JS 検証と CAPTCHA を有効にする必要があります。詳細については、「Web ブラウザのシナリオベースのボット保護ルールの設定」をご参照ください。

        [攻撃のタイプ]

        カスタムルールの種類です。このパラメーターは、レート制限 を有効にするかどうかに基づいて自動的に設定されます。

        • レート制限が有効な場合、値はHTTP Flood 防御です。

        • レート制限が無効の場合、値は ACL です。

        次の表は、レート制限のパラメータについて説明しています。

        パラメータ

        説明

        [統計オブジェクト]

        リクエストをカウントする基準。有効な値：

        • [IP]：単一の送信元 IP アドレスからのリクエストをカウントします。 CNAME レコードを使用してサービスを WAF に追加し、WAF の前面に CDN などのレイヤー 7 プロキシがデプロイされている場合は、「WAF の前面にレイヤー 7 プロキシ (Anti-DDoS や CDN など) がデプロイされていますか?」オプションを有効にする必要があります。 そうしないと、WAF は実際のクライアント IP アドレスを取得できません。

        • [Session]: 単一のセッションからのリクエストをカウントします。

        • [Custom-Header]：同一のカスタムヘッダーの内容を持つリクエストをカウントします。

        • [Custom-Param]: カスタムパラメーターの内容が同じリクエストをカウントします。

        • [Custom-Cookie]: カスタム Cookie のコンテンツが同じリクエストをカウントします。

        [間隔 (秒)]

        リクエストをカウントする時間間隔 (秒単位)。

        [しきい値 (回)]

        指定された間隔内で統計オブジェクトから許可されるリクエストの最大数。リクエスト数がこのしきい値を超えると、レート制限がトリガーされます。

        [Status Code]

        このチェックは、プライマリ検出ロジックの後に実行されます。間隔内のレスポンスにおける特定のStatus Codeの数またはパーセンテージを検証します。しきい値は、数またはパーセンテージで設定できます。

        • [量]: 指定されたステータスコードが許容される最大回数です。

        • [割合 (%)]: 指定されたステータスコードを持つレスポンスの最大パーセンテージです。

        [適用範囲]

        レート制限チェックが有効な範囲。有効な値：

        • [機能一致オブジェクト]: 現在のルールの一致条件に一致するリクエストのみをカウントします。

        • [適用ドメイン]: 現在のドメイン名へのすべてのリクエストをカウントします。

      3. 保存 をクリックします。

      カスタム保護ポリシールールを正常に追加すると、デフォルトで有効になります。ルールリストで新しいルールを表示でき、必要に応じて無効化、編集、削除できます。

    よくある質問

    「含む」ロジックによる誤検知

    • 原因: 一致条件 で論理演算子として 含まれるもの を選択すると、指定された文字列を含むリクエスト URL はすべて一致します。一致文字列が短すぎる場合、その文字列を部分文字列として含む他のパスと意図せず一致し、誤検知を引き起こす可能性があります。

    • 解決策：論理演算子を 等しい または URI パスの一致 に変更して、一致範囲を絞り込みます。また、一致条件 や [ヘッダー] などの他のフィールドを 一致条件 に追加することで、基準をより具体的にし、精度を向上させることができます。

    • 推奨: ルールを適用する前に、操作 を モニター に設定します。保護ログをレビューし、ルールが意図したリクエストにのみ一致することを確認します。確認後、アクションを ブロック に変更できます。

    特定の URL のブロック

    新しいカスタム保護ポリシーを作成します。一致条件 を対象の URL (演算子には 等しい または URI パスの一致 の使用を推奨します) に設定し、操作 を ブロック に設定します。このルールに一致しないリクエストは、デフォルトで許可されます。

    関連操作

    保護ポリシーを設定した後、CloudMonitor または Log Service でアラートを設定できます。WAF は、Web サイトのトラフィックが保護ルールにマッチしたときに通知を送信し、サービスのセキュリティステータスを常に把握できるようにします。詳細については、「アラートの設定」をご参照ください。