Web Application Firewall (WAF) は、ほとんどのユースケースをカバーする 3 つの組み込みルールグループ (Loose、Medium、Strict) を提供します。デフォルトルールグループがご利用のアプリケーションで誤検知をトリガーする場合 (たとえば、特定のルールと競合するレガシ CMS など)、デフォルトテンプレートに基づいてカスタムルールグループを作成し、ご利用のサイトに適用されないルールを削除します。
カスタムルールグループは、保護ルールエンジン機能 (Web アプリケーション保護とも呼ばれます) にのみ適用されます。
前提条件
開始する前に、以下があることを確認してください。
サブスクリプション課金方法を使用する WAF インスタンス
中国本土リージョン: ビジネスエディション以上
中国本土外リージョン: エンタープライズエディション以上
WAF に追加されたウェブサイト。詳細については、「チュートリアル」をご参照ください。
使用制限
| 制限 | 詳細 |
|---|---|
| カスタムルールグループの最大数 | 10 (Web アプリケーション保護機能) |
| ウェブサイトあたりのルールグループ数 | 各ウェブサイトには、アクティブなルールグループを 1 つのみ設定できます。 |
| デフォルトルールグループ | 編集または削除できません。 |
| サポートされている機能 | カスタムルールグループは、保護ルールエンジン (Web アプリケーション保護) 機能にのみ適用されます。 |
仕組み
各カスタムルールグループは、3 つのデフォルトテンプレート (Loose、Medium、または Strict) のいずれかから開始します。選択したテンプレートのすべてのルールは、デフォルトで含まれます。その後、ご利用のサイトに適用されない、または誤検知を引き起こすルールを削除し、結果を名前付きルールグループとして保存します。ルールグループは、1 つ以上のウェブサイトに適用されます。
ワークフローには 2 つのステップがあります。
ルールグループの作成 — テンプレートを選択し、不要なルールを削除し、必要に応じて自動更新を有効にします。
ルールグループの適用 — ルールグループをウェブサイトに割り当てます。
ルールグループの作成
新しいルールグループを本番ウェブサイトに適用する前に、非本番環境でテストしてください。ルールの変更は、ライブトラフィックに影響を与える可能性があります。
WAF コンソールにログインします。 上部のナビゲーションバーで、お使いの WAF インスタンスがデプロイされているリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。
左側のナビゲーションウィンドウで、[システム] > [保護ルールグループ] を選択します。[Web アプリケーション保護] タブが自動的に表示されます。このタブには、デフォルトルールグループと作成したカスタムルールグループの両方が一覧表示されます。デフォルトルールグループ（緩い、中程度、Strict）は編集または削除できません。[ビルトインルール番号] 列の値をクリックして、各グループに含まれるルールを表示します。
[ルールグループの作成] をクリックします。
各 WAF インスタンスは、Web アプリケーション保護機能に対して最大 10 個のカスタムルールグループをサポートしています。
ルール情報の指定ステップで、次のパラメーターを設定します。フィルタリングルール フィルターまたは検索バーを使用して、削除するルールを見つけます。検索ボックスにルール名または ID を入力して、特定のルールを見つけます。
リスクレベル：高、中、または低
保護タイプ：SQL インジェクション、クロスサイトスクリプト、コード実行、ローカルファイルインクルージョン、リモートファイルインクルージョン、Webshell、またはその他
アプリケーションタイプ：共通、Wordpress、Dedecms、Discuz、Phpcms、Ecshop、Shopex、Drupal、Joomla、Metinfo、Struts2、Spring Boot、Jboss、Weblogic、Websphere、Tomcat、Elastic Search、Thinkphp、Fastjson、ImageMagick、PHPwind、phpMyAdmin、またはその他
パラメーター 説明 ルールグループ名 このルールグループを識別するための名前です。 wordpress-looseやapi-strictのように、その目的がわかるような名前を使用します。ルールグループテンプレート ベースラインテンプレートは、`Strict` ルールグループ、`Medium` ルールグループ、または `Loose` ルールグループです。選択したテンプレートのすべてのルールは、[選択したルール] タブに表示されます。 説明 (オプション) ルールグループの目的や範囲に関する自由形式の説明です。 自動更新 有効にすると、テンプレートにプッシュされたルールの更新が、このカスタムグループに自動的に適用されます。カスタムルールグループが自動更新をサポートしていない場合は、新しいルールグループを作成して置き換える必要があります。 ルールの選択 [選択したルール] タブでルールを確認します。ご利用のサイトに適用されないルールや、誤検知を引き起こすルールを選択し、[選択したルールを削除] をクリックします。 [次へ: ウェブサイトに適用] をクリックします。
ルールグループを今すぐ適用するには、WAF に追加されていないサイトからサイトを選択し、WAF に追加されたサイトに移動します。 > 重要：各サイトには、同時に 1 つのルールグループしか適用できません。
後でルールグループを適用する場合は、[保存] をクリックします。
[保存] をクリックして完了です。
新しいルールグループがルールグループリストに表示されます。[更新日時:] 列には、ルールグループが最終更新された日時が表示されます。
ルールグループの適用
カスタムルールグループを作成した後、次のいずれかの方法を使用してウェブサイトに適用します。
[Protection Rule Group] ページから (以下で説明します)
Web サイト保護ページから、[保護ルールエンジン] カードを開き、[保護ルールグループ] のドロップダウンリストからルールグループを選択します。詳細については、「保護ルールエンジン機能の設定」をご参照ください。
[Protection Rule Group] ページからルールグループを適用するには：
WAF コンソールにログインします。WAF コンソールのトップナビゲーションバーで、WAF インスタンスがデプロイされているリソースグループとリージョンを選択します。
左側のナビゲーションウィンドウで、[システム] > [保護ルールグループ] を選択します。
ルールグループ一覧で、ルールグループを見つけ、[Web サイトに適用] を [操作] 列でクリックします。
[サイトに適用] ページで、[WAF に追加されていないサイト] からサイトを選択し、[WAF に追加されたサイト] に移動し、[保存] をクリックします。
重要各ウェブサイトには、正確に 1 つのルールグループが適用されている必要があります。
ルールグループを適用すると、サイト名がルールグループのリストの [サイト] 列に表示されます。
ルールグループの管理
[保護ルールグループ] ページでは、カスタムルールグループに対して以下の操作を行うことができます。
| 操作 | 説明 |
|---|---|
| Copy | ルールグループのコピーを作成します。コピーでは、[Rule Group Name]、[Description]、および [Automatic Update] の設定を変更できますが、[Rule Group Template] または個々のルール選択は変更できません。ルール選択を変更するには、グループをコピーし、そのコピーを編集します。 |
| Edit | ルールグループの名前、説明、またはルール選択を変更します。デフォルトルールグループは編集できません。 |
| Delete | ルールグループを削除します。デフォルトルールグループは削除できません。カスタムルールグループを削除する前に、現在使用しているウェブサイトに別のルールグループを適用します。 |
次のステップ
保護ルールエンジン機能の設定 — 特定のウェブサイトに対して保護ルールエンジンを有効にして設定します。これには、使用するルールグループの選択が含まれます。