Web Application Firewall (WAF) セキュリティレポートは、各 WAF モジュールからの保護記録を提供します。セキュリティレポートを使用すると、WAF に追加されたドメインに対する Web セキュリティ、ボット管理、およびアクセス制御/スロットリング モジュールからの保護記録を確認し、ビジネスセキュリティ分析のためのインサイトを得ることができます。
前提条件
セキュリティレポート
WAF インスタンスは、リージョンに基づいて異なるコントロールプレーンを使用します。中国本土の WAF インスタンスは、中国 (杭州) リージョンのコントロールプレーンによって管理されます。中国本土以外の WAF インスタンスは、シンガポール リージョンのコントロールプレーンによって管理されます。
セキュリティレポートページでは、保護されているすべてのリソースの保護統計情報とログ情報が、一元的に表示されます。表示されるグラフとデータは、WAF インスタンスのリージョンに対応するコントロールプレーンに基づいています。
WAFコンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 リージョンは、中国本土または中国本土以外です。
左側のナビゲーションウィンドウで、 を選択します。
セキュリティレポート ページで、タブを選択して対応するレポートを表示します: Web セキュリティ、ボット管理、または アクセス制御/スロットリング。
各レポートの詳細については、以下のセクションをご参照ください。
Web セキュリティレポート
Web セキュリティ レポートには、Web 侵入防止、情報漏洩防止、アカウントセキュリティ、および アクティブ防御 モジュールからの保護記録が表示されます。タブをクリックしてレポートを切り替えることができます。
Web 侵入防止: WAF によってブロックされたすべての Web アプリケーション攻撃を表示します。このレポートは、上部の攻撃分析チャートと下部の攻撃イベントレコードの 2 つのセクションで構成されています。
攻撃分析チャートには、セキュリティ攻撃タイプの配布、上位 5 つの攻撃ソース IP、および 上位 5 つの攻撃ソースリージョン が含まれます。
グラフの上部で、ドメインと期間を指定してデータをフィルタリングできます。
攻撃イベントレコードには、攻撃 IP、リージョン、攻撃された時間、攻撃タイプ、攻撃されたURL、方法、パラメータ、ルールアクション、ルールID、攻撃確率 など、Web 攻撃に関する詳細な情報が含まれています。
攻撃イベント記録テーブルの上部では、保護モジュール、攻撃タイプ、攻撃 IP、ルール ID、ルールアクションなどのフィールドで記録をフィルタリングできます。
攻撃イベント記録に対して、以下の操作を実行できます。
攻撃イベントレコードの 操作 列の 詳細はこちら をクリックして、攻撃詳細 を表示します。
ブロックされたリクエストが誤検知であると判断し、WAF が同様のリクエストをブロックしないようにしたい場合は、操作 列の 誤検知を無視 をクリックします。
WAF は、類似のリクエストに対して、対応するシステムルールのチェックをバイパスします。表示される ルールの作成 ダイアログボックスで、自動生成されたルールに ルール名 を設定し、保存 をクリックします。
説明まれに、リクエストが複数の保護ルールをトリガーするためにブロックされることがあります。誤検知を無視 操作によって生成されたホワイトリストルールは、トリガーされた保護ルールのうち 1 つのみをバイパスします。このような状況では、ホワイトリストルール内の 特定のルールの ID パラメーターを手動で変更して、バイパスしたい他のルールの ID を追加できます。
ルールが作成されると、自動的に有効になります。既存のルールは、Web 侵入防止 - ホワイトリストページで照会、編集、削除できます。詳細については、「Web 不正侵入防止のホワイトリストを設定する」をご参照ください。
Web 侵入防止の設定方法の詳細については、「保護ルールエンジンの設定」をご参照ください。
[情報漏洩防止]: データ漏洩防止ルールをトリガーした Web リクエストのレコードを表示します。 レコードには、攻撃 IP、リージョン、攻撃された時間、攻撃されたURL、方法、パラメータ、ルールアクション、ルールID、および 攻撃確率 が含まれます。 ドメインと期間を指定して、データを絞り込むことができます。
レコードの操作列で詳細はこちらをクリックすると、攻撃詳細が表示されます。
データ漏えい防止の設定方法の詳細については、「データ漏えい防止の設定」をご参照ください。
[アカウントセキュリティ]: アカウントセキュリティで設定された保護対象エンドポイントのリスクイベントレコードを表示します。情報には、ドメイン、エンドポイント、不正リクエストの発生時間帯、リクエスト数 (ブロック済み/合計)、および アラート発生原因 が含まれます。ドメイン、エンドポイント、時間範囲でレコードを絞り込むことができます。
アカウントセキュリティの設定方法の詳細については、「アカウントセキュリティの設定」をご参照ください。
[アクティブ防御]：ポジティブセキュリティモデルによって自動生成された保護ルールを発動させた Web アプリケーション攻撃のレコードを表示します。レコードには、攻撃 IP、リージョン、攻撃された時間、攻撃されたURL、方法、ルールアクション、ルールID、および 攻撃確率 が含まれます。ドメインと時間範囲を指定して、データをフィルターできます。
レコードの 詳細はこちら 列で [詳細表示] をクリックして、攻撃詳細 を表示します。
ポジティブセキュリティモデルの設定方法の詳細については、「ポジティブセキュリティモデルの設定」をご参照ください。
ボット管理レポート
The ボット管理 レポートには、ウェブサイトに対するクローラーからのリクエストに関する監視データと、ボット対策ルールのパフォーマンスが表示されます。保護データを表示するには、左上隅の保護対象ドメインリストからドメインを選択し、時間範囲を指定する必要があります。WAF は、設定されたシナリオベースのボット対策ルールごとに、個別の保護パフォーマンスレポートを提供します。
ボット管理レポートは、保護効果の概要とシナリオ固有の保護効果の 2 つのセクションに分かれています。保護効果の概要 セクションでは、リクエストの総数、識別されたボットのリクエスト数、およびさまざまな保護ルールをトリガーしたボットのリクエスト数の傾向グラフが表示されます。
[ボットリクエスト数]: 多次元のトラフィック分析を通じて識別された、ボットによって生成されたリクエストの総数です。 このメトリックは、ボット対策ルールの有効性を評価するのに役立ちます。 ブロックされたリクエストの数が、識別されたボットリクエストの数よりもはるかに少ない場合、ルールの最適化が必要になることがあります。 数値が近い場合、保護は正常に機能しています。
[監視モードで検出されたリクエスト数]: 監視モードでボット対策ルールに一致したリクエストの数です。 モードをブロックに変更すると、これらのリクエストはブロックされるか、スライダー CAPTCHA などによるチャレンジが実行されます。
[ブロックされたリクエスト数]: アクションがブロックに設定されたボット対策ルールに一致したリクエストの数です。
ボット管理の設定方法の詳細については、以下のトピックをご参照ください。
アクセス制御/スロットリングレポート
アクセス制御/スロットリング レポートには、HTTP Flood 防御、スキャン保護、および アクセス制御 ルールをトリガーしたウェブリクエストのレコードが表示されます。 ドメインと時間範囲を指定して、指定したドメインと時間範囲のデータを検索できます。 対象のレコードについては、ワンクリックで関連ログを照会することもできます。
[HTTP Flood 防御]: HTTP フラッド防御の傾向を表示します。これには、合計 QPS、カスタムルールヒット時のアラート、カスタムルールヒット時のブロック、および システムルールヒット時のブロック の傾向グラフと、さまざまな ルールタイプ (たとえば、カスタムルールヒット時のアラート、カスタムルールヒット時のブロック、システムルールヒット時のブロック) の 一致数 が含まれます。
ルールタイプ の 一致数 をクリックします。 ログサービス ページにリダイレクトされ、HTTP Flood 防御 モジュールに関連するログクエリ文が自動的に入力されるため、関連ログをクエリできます。 詳細については、「ログクエリ」をご参照ください。 WAF ログクエリページの waf-logstore で、クエリ文
matched_host:"domain_name" and block_action: tmdを使用して HTTP Flood Protection のブロックログをフィルターします。ここで、block_action: tmdは HTTP Flood Protection ブロックのフィルター条件です。HTTP フラッド攻撃対策の設定方法の詳細については、「HTTP フラッド攻撃対策の設定」をご参照ください。
カスタム HTTP フラッド攻撃対策ルールの設定方法の詳細については、「カスタム保護ポリシーの作成」をご参照ください。
[スキャン保護]: スキャン保護の傾向を表示します。これには、合計 QPS、ディレクトリトラバーサル保護、共同保護、高頻度の Web 攻撃保護、および スキャンツールベースのブロック のトレンドチャートと、ディレクトリトラバーサル保護、共同保護、高頻度の Web 攻撃保護、スキャンツールベースのブロック などのさまざまな ルールタイプ ごとの 一致数 が含まれます。
ルールタイプの一致数をクリックすると、ログサービスページに移動します。スキャン保護モジュールに関連するログのクエリ文が自動的に入力され、ログをクエリできます。詳細については、「ログのクエリ」をご参照ください。WAF の[ログのクエリ]ページ (
waf-logstoreという名前の logstore 内) では、クエリにblock_action: antiscan条件を追加することで、スキャン保護によってブロックされたリクエストのログをフィルターできます。スキャン保護の設定方法の詳細については、「スキャン保護の設定」をご参照ください。
[アクセス制御]: アクセス制御のトレンドを表示します。これには、合計 QPS、ACL ポリシーによるアラート、ACL ポリシーによるブロック、および ブラックリストによるロック 保護のトレンドグラフと、カスタムルールの照合カウントの記録が含まれます。
カスタムルールの ルールID をクリックすると、ルールを編集 ダイアログボックスが開き、設定を表示および変更できます。 詳細については、「カスタムルールのパラメーター」をご参照ください。
カスタムルールの 一致数 をクリックします。ログサービス ページにリダイレクトされ、アクセス制御 モジュールに関連するログクエリステートメントが自動的に入力されるため、関連ログをさらにクエリできます。詳細については、「ログクエリ」をご参照ください。WAF の [ログクエリ] ページで、
waf-logstore内でクエリステートメントmatched_host:"domain_name" and block_action: aclを使用してアクセス制御ブロックログをフィルターします。ここで、block_action: aclは ACL ブロックレコードをフィルターするためのキー条件です。アクセス制御ルールの設定方法の詳細については、「カスタム保護ポリシーの作成」をご参照ください。
IP アドレスブラックリストの設定方法の詳細については、「IP アドレスブラックリストの設定」をご参照ください。