Web Application Firewall:WAF ログフィールド

初期

フィールド

a

• ACL 関連フィールド： acl_action | acl_rule_id | acl_rule_type | acl_test

• アルゴリズム関連フィールド： algorithm_action | algorithm_rule_id | algorithm_test

• データ不正対策関連フィールド： antifraud_action | antifraud_test

• スキャン対策関連フィールド： antiscan_action | antiscan_rule_id | antiscan_rule_type | antiscan_test

b

• ブロックアクションをトリガーした保護タイプ： block_action

• サーバーのレスポンスボディのサイズ (バイト単位)： body_bytes_sent

• 一致した許可ルールの ID： bypass_matched_ids

c

• HTTP フラッド攻撃対策関連フィールド： cc_action | cc_rule_id | cc_rule_type | cc_test

• コンテンツタイプ： content_type

d

• ディープラーニング関連フィールド： deeplearning_action | deeplearning_rule_id | deeplearning_rule_type | deeplearning_test

• DLP 関連フィールド： dlp_action | dlp_rule_id | dlp_test

• 宛先ポート： dst_port

f

最終決定フィールド： final_action | final_plugin | final_rule_id | final_rule_type

h

• ホスト： host

• HTTP 関連フィールド： http_cookie | http_referer | http_user_agent | http_x_forwarded_for | https

i

脅威インテリジェンス関連フィールド： intelligence_action | intelligence_rule_id | intelligence_test

m

WAF によって保護されている一致したドメイン： matched_host

n

正規化関連フィールド： normalized_action | normalized_rule_id | normalized_rule_type | normalized_test

q

クエリ文字列： querystring

r

• 実際のクライアント IP： real_client_ip

• リージョン： region

• リモート接続フィールド： remote_addr|remote_port

• リクエスト関連フィールド： request_body | request_length | request_method | request_path | request_time_msec | request_traceid|request_uri

s

• シナリオベースの保護フィールド： scene_action | scene_id | scene_rule_id | scene_rule_type | scene_test

• サーバー関連フィールド： server_port| server_protocol

• SSL 関連フィールド： ssl_cipher | ssl_protocol

• HTTP ステータスコード： status

• クライアントリクエストの例外理由： sigchl_invalid_type

• WAF への接続の送信元 IP とポート： src_port|src_ip

• リクエスト開始時刻： start_time

t

ログエントリのタイムスタンプ： time

u

• User-Agent ブラウザーフィールド： ua_browser | ua_browser_family | ua_browser_type | ua_browser_version

• クライアントデバイスタイプ： ua_device_type

• User-Agent OS フィールド： ua_os | ua_os_family

• アップストリームサーバーフィールド： upstream_addr | upstream_response_time | upstream_status

• アカウント ID： user_id

w

• WAF 保護フィールド： waf_action | waf_rule_id | waf_rule_type | waf_test

• wxbb 関連フィールド： wxbb_action | wxbb_invalid_wua | wxbb_rule_id | wxbb_test

パラメーター

説明

例

acl_rule_type

一致した IP アドレスブラックリストまたはカスタム保護ポリシー (ACL) のルールのタイプ。有効な値：

• custom：カスタム保護ポリシー (ACL) ルールを指定します。

• blacklist：IP アドレスブラックリストルールを指定します。

custom

bypass_matched_ids

一致した許可ルールの ID。許可ルールには、ホワイトリストルールと、「許可」アクションで設定されたカスタム保護ポリシールールが含まれます。

リクエストが複数の許可ルールに一致する場合、このフィールドには、一致したすべてのルール ID がカンマ区切りのリストで含まれます。

283531

cc_rule_type

HTTP フラッド攻撃対策モジュールまたはカスタム保護ポリシー (HTTP フラッド攻撃対策用) で一致したルールのタイプ。有効な値：

• custom：カスタム保護ポリシー (HTTP フラッド攻撃対策) ルールを示します。

• system：HTTP フラッド攻撃対策ルールを示します。

custom

content_type

Content-Type リクエストヘッダーの値。

application/x-www-form-urlencoded

dst_port

リクエストの宛先ポート。

443

final_action

WAF がリクエストに対して実行した最終的なアクション。有効な値：

• block：操作をブロックします。

• captcha_strict：厳格な CAPTCHA を示します。

• captcha：通常の CAPTCHA を示します。

• sigchl：動的トークン認証を示します。

• js：JavaScript チャレンジを示します。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

このフィールドは、リクエストが許可ルールに一致した場合や、クライアントが CAPTCHA または JS 検証に合格した場合など、リクエストがどの保護モジュールもトリガーしない場合は省略されます。

リクエストが同時に複数の保護モジュールをトリガーした場合、実行された最終的なアクションのみがログに記録されます。アクションの優先度は高い順に、ブロック (block) > 厳格な CAPTCHA (captcha_strict) > 通常の CAPTCHA (captcha) > 動的トークン検証 (sigchl) > JavaScript チャレンジ (js) となります。

block

final_plugin

最終的なアクション (final_action) を実行した保護モジュール。有効な値：

• waf：ルールエンジン

• deeplearning：ディープラーニングエンジン

• dlp：データ漏えい防止 (DLP)

• account：アカウントセキュリティ

• normalized：プロアクティブ防御

• acl：IP アドレスブラックリストとカスタム保護ポリシー (ACL)

• cc：HTTP フラッド攻撃対策とカスタム保護ポリシー (HTTP フラッド)

• antiscan：スキャン対策

• scene：シナリオベースの保護

• antifraud：データ不正対策

• intelligence：クローラー脅威インテリジェンス

• algorithm：クローラーの動作認識

• wxbb：アプリ保護

これらの保護モジュールは、WAF コンソールの [保護設定] > [Web サイト保護] ページで設定できます。これらのモジュールの詳細については、「Web サイト保護設定の概要」をご参照ください。

このフィールドは、リクエストが許可ルールに一致した場合や、クライアントが CAPTCHA または JS 検証に合格した場合など、リクエストがどの保護モジュールもトリガーしない場合は省略されます。

リクエストが同時に複数の保護モジュールをトリガーした場合、最終的なアクション (final_action) に対応する保護モジュールのみがログに記録されます。

waf

final_rule_id

WAF がクライアントリクエストに最終的に適用する保護ルールの ID。このルールは final_action に対応するものです。

115341

final_rule_type

WAF がクライアントリクエストに最終的に適用する保護ルール (final_rule_id) のサブタイプ。

たとえば、final_plugin:waf タイプの下には、final_rule_type:sqli や final_rule_type:xss のような、より詳細なルールタイプがあります。

xss/webshell

host

Host リクエストヘッダーの値。リクエストされたドメイン名または IP アドレスを指定します。

api.example.com

http_cookie

Cookie リクエストヘッダーの値。

k1=v1;k2=v2

http_referer

Referer リクエストヘッダーの値。リクエストのソース URL を指定します。

リクエストにソース URL 情報が含まれていない場合、このフィールドには - が表示されます。

http://example.com

http_user_agent

User-Agent リクエストヘッダーの値。クライアントのブラウザとオペレーティングシステムに関する情報が含まれます。

Dalvik/2.1.0 (Linux; U; Android 10; Android SDK built for x86 Build/QSR1.200715.002)

http_x_forwarded_for

X-Forwarded-For (XFF) リクエストヘッダーの値。このヘッダーは、プロキシサーバーまたはロードバランサーを介して Web サーバーに接続するクライアントの元の IP アドレスを識別します。

47.100.XX.XX

https

リクエストが HTTPS を使用しているかどうかを示します。

• 値が on の場合、リクエストは HTTPS リクエストです。

• フィールドが空の場合、リクエストは HTTP リクエストです。

on

matched_host

リクエストが一致した保護対象のドメイン名。

*.aliyun.com

real_client_ip

WAF のリクエスト分析によって決定された、クライアントの実際の IP アドレス。

WAF が実際のクライアント IP を特定できない場合 (たとえば、リクエストがプロキシサーバーから送信されたり、リクエストヘッダーの IP フィールドが正しくない場合など)、このフィールドには - が表示されます。

192.0.XX.XX

request_length

クライアントリクエストのサイズ。リクエスト行、リクエストヘッダー、リクエストボディを含みます。単位：バイト。

111111

request_method

クライアントリクエストの HTTP メソッド。

GET

request_time_msec

WAF がクライアントリクエストを処理するのにかかる時間。単位：ミリ秒。

44

request_traceid

WAF がクライアントリクエストに対して生成する一意の識別子。

7837b11715410386943437009ea1f0

request_uri

リクエストパスとクエリ文字列。

/news/search.php?id=1

server_protocol

クライアントと WAF 間の接続に使用されるプロトコル。

HTTP/1.1

status

WAF がクライアントに返す HTTP ステータスコード。たとえば、200 (リクエストが成功したことを示します)。

200

src_port

WAF への接続の送信元ポート。

クライアントが直接 WAF に接続する場合、このフィールドはクライアントのポートを示します。コンテンツデリバリーネットワーク (CDN) などの別のレイヤー 7 プロキシが WAF の前にデプロイされている場合、このフィールドはアップストリームプロキシのポートを示します。

80

src_ip

WAF への接続の送信元 IP アドレス。

クライアントが直接 WAF に接続する場合、このフィールドはクライアントの IP アドレスを示します。コンテンツデリバリーネットワーク (CDN) などの別のレイヤー 7 プロキシが WAF の前にデプロイされている場合、このフィールドはアップストリームプロキシの IP アドレスを示します。

198.51.XX.XX

start_time

クライアントリクエストが開始された時刻 (UNIX タイムスタンプ)。単位：秒。

1696534058

time

クライアントリクエストが開始された時刻。ISO 8601 規格で表され、UTC で、フォーマットは yyyy-MM-ddTHH:mm:ss+08:00 である必要があります。

2018-05-02T16:03:59+08:00

upstream_addr

オリジンサーバーの IP アドレスとポート。フォーマットは IP:Port です。複数のレコードを区切るにはカンマ (,) を使用します。

198.51.XX.XX:443

upstream_response_time

オリジンサーバーが WAF のリクエストに応答してから、WAF が応答をクライアントに転送するまでの経過時間。単位：秒。

0.044

upstream_status

オリジンサーバーが WAF のオリジンへのリクエストに応答して返す HTTP ステータスコード。たとえば、200 はリクエストが成功したことを示します。

200

パラメーター

説明

例

acl_action

IP アドレスブラックリストルールまたはカスタム保護ポリシー (アクセス制御リスト (ACL)) ルールに一致するリクエストに対して実行されるアクション。有効な値：

• block：操作をブロックします。

• captcha_strict：厳格な CAPTCHA を示します。

• captcha：通常の CAPTCHA を示します。

• js：JavaScript チャレンジを指定します。

• captcha_strict_pass：クライアントが厳格な CAPTCHA に合格し、WAF がクライアントリクエストをパスしたことを示します。

• captcha_pass：クライアントが通常の CAPTCHA に合格し、WAF がクライアントリクエストをパスしたことを示します。

• js_pass：クライアントが JavaScript チャレンジに合格し、WAF がクライアントリクエストをパスしたことを示します。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

acl_rule_id

一致した IP アドレスブラックリストルールまたはカスタム保護ポリシー (アクセス制御リスト (ACL)) ルールの ID。

151235

acl_test

一致した IP アドレスブラックリストルールまたはカスタム保護ポリシー (アクセス制御リスト (ACL)) ルールの保護モード。有効な値：

• true：監視モードを示します。このモードでは、システムはログを記録するだけで、ブロックなどのアクションはトリガーしません。

• false：防止モードを指定します。このモードでは、WAF は保護ルールに一致するリクエストに対してブロックなどのアクションを実行します。

false

algorithm_action

典型的なクローラーの動作ルールに一致するリクエストに対して実行されるアクション。有効な値：

• block：操作をブロックします。

• captcha：通常の CAPTCHA を示します。

• js：JavaScript チャレンジを示します。

• captcha_pass：クライアントが通常の CAPTCHA に合格し、WAF がクライアントリクエストをパスしたことを示します。

• js_pass：クライアントが JavaScript チャレンジに合格し、WAF がクライアントリクエストをパスしたことを示します。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

algorithm_rule_id

一致した典型的なクローラーの動作ルールの ID。

151235

algorithm_test

一致した典型的なクローラーの動作ルールの保護モード。有効な値：

• true：監視モードを有効にします。システムはログを記録するだけで、ブロックなどのアクションはトリガーしません。

• false：防止モードでは、WAF は保護ルールに一致するリクエストに対してブロックなどのアクションを実行します。

false

antifraud_action

データリスク管理ルールに一致するリクエストに対して実行されるアクション。有効な値：

• pass：リクエストはパスされます。

• block：アクセスをブロックします。

• captcha：通常の CAPTCHA を示します。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

antifraud_test

一致したデータリスク管理ルールの保護モード。有効な値：

• true：監視モードを有効にします。このモードでは、ログのみが記録され、ブロックなどの保護アクションはトリガーされません。

• false：防止モード。WAF は保護ルールに一致するリクエストに対してブロックなどのアクションを実行します。

false

antiscan_action

クライアントリクエストによって一致したスキャン対策ルールのためのアクション。値は block のみで、リクエストをブロックします。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

antiscan_rule_id

一致したスキャン対策ルールの ID。

151235

antiscan_rule_type

一致したスキャン対策ルールのタイプ。有効な値：

• highfreq：高頻度の Web 攻撃に対するブロックルールを指定します。

• dirscan：ディレクトリトラバーサル対策ルールを指定します。

• scantools：スキャンツールに対するブロックルールを示します。

• collaborative：連携防御ルールを示します。

highfreq

antiscan_test

一致したスキャン対策ルールの保護モード。有効な値：

• true：監視モードを指定します。このモードでは、ログのみが記録され、ブロックなどのアクションはトリガーされません。

• false：防止モードを示します。このモードでは、WAF は保護ルールに一致するリクエストに対して block などのアクションを実行します。

false

block_action

ブロックアクションをトリガーした WAF 保護モジュール。これらの値は、final_plugin フィールドの値に次のようにマッピングされます：

• tmd：HTTP フラッド攻撃対策を示し、final_plugin パラメーターを cc に設定することに対応します。

• waf：Web Application Firewall を表し、final_plugin パラメーターが waf に設定されていることに対応します。

• acl：正確なアクセス制御を指定し、final_plugin パラメーターの値 acl に対応します。

• deeplearning：ディープラーニングエンジンを示し、final_plugin パラメーターの値 deeplearning に対応します。

• antiscan：スキャン対策を表し、final_plugin パラメーターの値 antiscan に対応します。

• antifraud：データリスク管理を表し、final_plugin パラメーターを antifraud に設定することに対応します。

• antibot：ボットのブロックを示します。これは、final_plugin パラメーターが intelligence、algorithm、wxbb、または scene に設定されている場合に発生します。

waf

body_bytes_sent

レスポンスボディのサイズ。レスポンスヘッダーは含みません。単位：バイト。

1111

cc_action

HTTP フラッド攻撃対策ルールまたはカスタム保護ポリシー (HTTP フラッド攻撃対策用) ルールに一致するリクエストに対して実行されるアクション。有効な値：

• block：ブロック。

• captcha：通常の CAPTCHA を示します。

• js：JavaScript チャレンジを指定します。

• captcha_pass：クライアントが通常の CAPTCHA に合格し、WAF がクライアントリクエストをパスしたことを示します。

• js_pass：クライアントが JavaScript チャレンジに合格し、WAF がクライアントリクエストをパスしたことを示します。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

cc_rule_id

一致した HTTP フラッド攻撃対策ルールまたはカスタム保護ポリシー (HTTP フラッド攻撃対策用) ルールの ID。

151234

cc_test

一致した HTTP フラッド攻撃対策ルールまたはカスタム保護ポリシー (HTTP フラッド攻撃対策用) ルールの保護モード。有効な値：

• true：監視モードを指定します。このモードでは、システムはログを記録するだけで、ブロックなどのアクションはトリガーしません。

• false：防止モードを指定します。このモードでは、WAF は保護ルールに一致するリクエストに対してブロックなどのアクションを実行します。

false

deeplearning_action

クライアントリクエストがディープラーニングエンジンルールに一致したときにトリガーされるアクション。値は block のみで、リクエストがブロックされることを示します。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

deeplearning_rule_id

一致したディープラーニングエンジンルールの ID。

151238

deeplearning_rule_type

一致したディープラーニングエンジンルールのタイプ。有効な値：

• xss：クロスサイトスクリプティング対策ルールを指します。

• code_exec：コード実行対策ルールを示します。

• webshell：Web シェル対策ルールを示します。

• sqli：SQL インジェクション対策ルールを示します。

• lfilei：ローカルファイルインクルードの対策ルールを示します。

• rfilei：リモートファイルインクルードの対策ルールを示します。

• other：その他の保護ルールを示します。

xss

deeplearning_test

一致したディープラーニングエンジンルールの保護モード。有効な値：

• true：監視モードを指定します。このモードでは、ログのみが記録され、ブロックなどのアクションはトリガーされません。

• false：防止モードを示します。このモードでは、WAF は保護ルールに一致するリクエストをブロックします。

false

dlp_action

データ漏えい防止 (DLP) ルールに一致するリクエストに対して実行されるアクション。有効な値：

• block：ブロック。

• mask：機密情報をマスクします。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

mask

dlp_rule_id

一致したデータ漏えい防止 (DLP) ルールの ID。

151245

dlp_test

一致したデータ漏えい防止 (DLP) ルールの保護モード。有効な値：

• true：監視モードを有効にします。このモードでは、システムはログを記録するだけで、ブロックなどのアクションはトリガーしません。

• false：防止モードを示します。WAF は保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。

false

intelligence_action

ボット脅威インテリジェンスルールに一致するリクエストに対して実行されるアクション。有効な値：

• block：ブロックを示します。

• captcha_strict：厳格な CAPTCHA を示します。

• captcha：通常の CAPTCHA を示します。

• js：JavaScript チャレンジを指定します。

• captcha_strict_pass：クライアントが厳格な CAPTCHA に合格し、WAF がクライアントリクエストをパスしたことを示します。

• captcha_pass：クライアントが通常の CAPTCHA に合格し、WAF がクライアントリクエストをパスしたことを示します。

• js_pass：クライアントが JavaScript チャレンジに合格し、WAF がクライアントリクエストをパスしたことを示します。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

intelligence_rule_id

一致したボット脅威インテリジェンスルールの ID。

152234

intelligence_test

一致したボット脅威インテリジェンスルールの保護モード。有効な値：

• true：監視モードを指定します。このモードでは、ログのみが記録され、ブロックやその他のアクションはトリガーされません。

• false：防止モードを示します。WAF は保護ルールに一致するリクエストに対してブロックなどのアクションを実行します。

false

normalized_action

ポジティブセキュリティモデルルールに一致するリクエストに対して実行されるアクション。有効な値：

• block：リクエストは異常であり、プロアクティブ防御モジュールによってブロックされます。

• continue：リクエストに異常が検出されず、プロアクティブ防御モジュールがリクエストをパスしたことを示します。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

normalized_rule_id

一致したポジティブセキュリティモデルルールの ID。

151266

normalized_rule_type

確立されたベースラインからの逸脱を示す、ポジティブセキュリティモデルルールに一致したリクエストのコンポーネント。有効な値：

• User-Agent：User-Agent ベースラインルールを示します (つまり、リクエストヘッダーの User-Agent フィールドがベースライン範囲外です。他のルールタイプも同様に定義されます)。

• Referer：Referer ベースラインルールを示します。

• URL：URL ベースラインルールを指定します。

• Cookie：Cookie ベースラインルールを表します。

• Body：Body ベースラインルールを指定します。

User-Agent

normalized_test

一致したポジティブセキュリティモデルルールの保護モード。有効な値：

• true：監視モードを示します。このモードでは、ログのみが記録され、ブロックなどのアクションはトリガーされません。

• false：防止モードを示します。このモードでは、WAF は保護ルールに一致するリクエストに対してブロックなどのアクションを実行します。

false

querystring

リクエスト URL のクエリ文字列。疑問符 (?) の後の部分です。

title=tm_content%3Darticle&pid=123

region

WAF インスタンスがデプロイされているリージョンの ID。有効な値：

• cn：中国本土を表します。

• int：中国本土以外のリージョンを示します。

cn

remote_addr

WAF への接続の送信元 IP アドレス。

クライアントが直接 WAF に接続する場合、このフィールドはクライアントの IP アドレスを示します。コンテンツデリバリーネットワーク (CDN) インスタンスなどのレイヤー 7 プロキシが WAF の前にデプロイされている場合、このフィールドはプロキシの IP アドレスを示します。

198.51.XX.XX

remote_port

WAF への接続の送信元ポート。

クライアントが直接 WAF に接続する場合、このフィールドはクライアントのポートを示します。CDN インスタンスなどのレイヤー 7 プロキシが WAF の前にデプロイされている場合、このフィールドはプロキシのポートを示します。

80

request_body

リクエストボディ。

i am the request body, encrypted or not!

request_path

リクエスト URL のパス。ドメイン名の後、疑問符 (?) の前の部分です。

/news/search.php

scene_action

シナリオ固有の設定ルールに一致するリクエストに対して実行されるアクション。有効な値：

• block：ブロックを示します。

• captcha：通常の CAPTCHA を示します。

• sigchl：動的トークン認証を示します。

• js：JavaScript チャレンジを指定します。

• captcha_pass：クライアントが通常の CAPTCHA に合格し、WAF がクライアントリクエストをパスしたことを示します。

• sigchl_pass：クライアントが動的トークン認証に合格し、WAF がクライアントリクエストをパスしたことを示します。

• js_pass：クライアントが JavaScript チャレンジに合格し、WAF がクライアントリクエストをパスしたことを示します。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

scene_id

一致したシナリオ固有の設定ルールのシナリオ ID。

151235

scene_rule_id

一致したシナリオ固有の設定ルールの ID。

153678

scene_rule_type

一致したシナリオ固有の設定ルールのタイプ。有効な値：

• bot_aialgo：AI を活用した保護ルールを示します。

• js：シンプルなスクリプトフィルタリングルールを指定します。

• intelligence：クローラー脅威インテリジェンスデータベースとの照合および IDC ブラックリストに基づくブロックルールを表します。

• sdk：SDK が統合されたアプリの署名異常およびデバイス特徴量の異常に関するルールを表します。

• cc：IP レート制限およびカスタムセッションレート制限ルールを示します。

• sigchl：動的トークンチャレンジルールを指定します。

bot_aialgo

sigchl_invalid_type

動的トークン認証チャレンジ中にリクエストが異常としてフラグ付けされた理由。有効な値：

• sigchl_invalid_sig：署名検証に失敗しました。一般的な失敗理由：

  • リクエストに署名が含まれていない。

  • 署名に使用されたパラメーターが、WAF が受信した実際のコンテンツと一致しない。

• sigchl_is_replay：無効な署名タイムスタンプを示します。リプレイ攻撃の可能性があります。

• sigchl_is_driver：WebDriver 攻撃を示します。

sigchl_invalid_sig

scene_test

一致したシナリオ固有の設定ルールの保護モード。有効な値：

• true：監視モードを有効にします。このモードでは、ログのみが記録され、ブロックなどのアクションはトリガーされません。

• false：防止モードでは、WAF は保護ルールに一致するリクエストに対してブロックなどのアクションを実行します。

false

server_port

リクエストを受信した WAF ポート。

443

ssl_cipher

クライアントリクエストで使用される暗号スイート。

ECDHE-RSA-AES128-GCM-SHA256

ssl_protocol

クライアントリクエストで使用される SSL/TLS プロトコルとバージョン。

TLSv1.2

ua_browser

リクエストを送信したブラウザの名前。

ie9

ua_browser_family

リクエストを送信したブラウザのファミリー。

internet explorer

ua_browser_type

リクエストを送信したブラウザの種類。

web_browser

ua_browser_version

リクエストを送信したブラウザのバージョン。

9.0

ua_device_type

リクエストを送信したクライアントのデバイスタイプ。

computer

ua_os

リクエストを送信したクライアントのオペレーティングシステム。

windows_7

ua_os_family

リクエストを送信したクライアントのオペレーティングシステムファミリー。

windows

user_id

WAF インスタンスを所有する Alibaba Cloud アカウントの ID。

17045741********

waf_action

クライアントリクエストが保護ルールエンジン内のルールに一致した場合に実行されるアクション。値は block のみで、リクエストをブロックすることを意味します。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

waf_rule_id

一致した保護ルールエンジンルールの ID。

113406

waf_rule_type

一致した保護ルールエンジンルールのタイプ。有効な値：

• sqli：SQL インジェクション

• xss：クロスサイトスクリプティング (XSS)

• code_exec：コード実行

• crlf：CRLF インジェクション

• lfilei：ローカルファイルインクルード (LFI)

• rfilei：リモートファイルインクルード (RFI)

• webshell：Web シェル

• csrf：クロスサイトリクエストフォージェリ (CSRF)

• other：その他の攻撃タイプ

• cmdi：OS コマンドインジェクション

• expression_injection：Expression Language インジェクション

• java_deserialization：Java デシリアライゼーション

• php_deserialization：PHP デシリアライゼーション

• ssrf：サーバーサイドリクエストフォージェリ (SSRF)

• path_traversal：パストラバーサル

• protocol_violation：プロトコル違反

• arbitrary_file_uploading：任意のファイルアップロード

• dot_net_deserialization：.NET デシリアライゼーション

• scanner_behavior：スキャナーの動作

• logic_flaw：ビジネスロジックの脆弱性

• arbitrary_file_reading：任意のファイル読み取り

• arbitrary_file_download：任意のファイルダウンロード

• xxe：XML 外部実体参照 (XXE) インジェクション

xss

waf_test

一致した保護ルールエンジンルールの保護モード。有効な値：

• true：監視モードを有効にします。このモードでは、ログのみが記録され、ブロックなどのアクションはトリガーされません。

• false：防止モードを示します。このモードでは、WAF は保護ルールに一致するリクエストに対してブロックなどのアクションを実行します。

false

wxbb_action

アプリ保護ルールに一致するリクエストに対して実行されるアクション。有効な値：

• block：アプリ保護モジュールは、署名検証に失敗したリクエストをブロックします。

• captcha：通常の CAPTCHA を示します。

• js：JavaScript チャレンジを示します。

• continue：署名検証が成功し、アプリ保護モジュールがリクエストをパスします。

WAF のアクションの詳細については、「WAF のアクション」をご参照ください。

block

wxbb_invalid_wua

アプリ保護ルールがリクエストを異常としてフラグ付けした理由。有効な値：

• wxbb_simulator：シミュレーターが使用されていることを示します。

• wxbb_proxy：プロキシが使用されていることを示します。

• wxbb_root: ルート デバイスを指定します。

• wxbb_hook：フック動作を示します。

• wxbb_antireplay：署名文字列 (wToken) に対するリプレイ攻撃を示します。

• wxbb_virtual：WAF SDK が統合されたアプリがデバイス上で複数のインスタンスで実行されていることを示します。

• wxbb_debugged：デバイスがデバッグモードであることを示します。

• wxbb_invalid_sign：署名検証に失敗したことを示します。

  一般的な原因：

  • リクエストに署名が含まれていない。

  • 署名生成に渡されたパラメーターが、WAF が受信した実際のコンテンツと一致しない。たとえば、署名パラメーターは a=1&b=2 であるが、WAF が受信したリクエストパラメーターは b=2&a=1 である場合。別のケースとして、署名パラメーターはエンコードされていないが、WAF が受信したリクエストは Base64 でエンコードされている場合など。

wxbb_invalid_sign

wxbb_rule_id

一致したアプリ保護ルールの ID。

156789

wxbb_test

一致したアプリ保護ルールの保護モード。有効な値：

• true：監視モードを有効にします。このモードでは、ログのみが記録され、ブロックなどのアクションはトリガーされません。

• false：防止モードを示します。このモードでは、WAF は保護ルールに一致するリクエストに対してブロックなどのアクションを実行します。

false