Web Application Firewall:ECS インスタンスの WAF 保護有効化

仕組み

WAF は 透過プロキシ を介してトラフィックをインターセプトします。ECS インスタンスに トラフィック転送ポート を設定すると、そのポート上のすべての HTTP/HTTPS トラフィックが WAF 経由でルーティングされます。悪意のあるリクエストはブロックされ、正常なリクエストはオリジンに渡されます。指定されたポート上のすべてのドメイン (ドメイン名のない IP のみのサービスを含む) が保護されます。

前提条件

お使いの ECS インスタンスが以下の要件を満たさない場合は、CNAME 接続タイプを使用してください。

• パブリック IP アドレス：インスタンスにはパブリック IP アドレス (固定または EIP) が必要です。NAT ゲートウェイのみのインスタンスはサポートされていません。

• アカウント：マルチアカウント管理を設定している場合を除き、ECS インスタンスと WAF インスタンスは同じ Alibaba Cloud アカウントに属している必要があります。

• リージョン：

  • 中国本土 の WAF インスタンス：中国 (成都)、中国 (北京)、中国 (張家口)、中国 (杭州)、中国 (上海)、上海 (金融クラウド)、中国 (深圳)、中国 (広州)、および中国 (青島)。

  • 中国本土以外 の WAF インスタンス：香港 (中国)、マレーシア (クアラルンプール)、インドネシア (ジャカルタ)、ドイツ (フランクフルト)、米国 (バージニア)、およびシンガポール。

クイックスタート

1. コンソールへの移動：

   Web アプリケーションファイアウォール 3.0 コンソールにログインします。 上部のメニューバーで、リソースグループとリージョン (中国本土 または 中国本土以外) を選択します。 左側のナビゲーションウィンドウで、アクセス管理 をクリックします。 クラウドプロダクトアクセス タブを選択します。 左側のクラウド製品リストで、Elastic Compute Service (ECS) を選択します。

2. WAF によるクラウドリソースへのアクセス承認 (初回設定時)：

   画面の指示に従って 今すぐ許可する をクリックし、必要な権限を付与します。 作成された AliyunServiceRoleForWAF サービスリンクロールは、[RAM コンソール] の [ID 管理] > [ロール] ページで確認できます。

3. ECS インスタンスの追加：

   1. 右側のリストで対象の ECS インスタンスを見つけ、その WAF 保護ステータスを確認します。操作 列で、今すぐアクセスする をクリックします。インスタンスが見つからない場合は、ページの右上隅にある 資産の同期 をクリックします。それでもインスタンスが見つからない場合は、前提条件を満たしていません。

   2. インスタンスとポートの選択 セクションで、操作 列の ポートの追加 をクリックします。表示される ポートの追加 パネルで、Web サイトのポートとプロトコルタイプに基づいて設定を構成します。

      説明

      一度に追加できるポートは 1 つだけです。複数のポートを追加するには、ポートごとにこの手順を繰り返します。

      • 標準ポート (デフォルト)：URL には表示されません。

        • HTTP：たとえば、http://yourdomain.com はポート 80 を使用します。

        • HTTPS：たとえば、https://yourdomain.com はポート 443 を使用します。

      • 非標準ポート：ドメイン名の後に ドメイン名:ポート番号 の形式で表示されます。

        • HTTP：たとえば、http://yourdomain.com:8080 はポート 8080 を指定します。

        • HTTPS：たとえば、https://yourdomain.com:8443 はポート 8443 が使用されることを示します。

        説明

        ポートを確認するには、Web サーバーの設定ファイル (nginx.conf など) を確認してください。

      HTTP Web サイト

      1. Port フィールドに、Web サイトが使用するポートを入力します。

      2. プロトコルタイプ で、[HTTP] を選択します。

      HTTPS Web サイト

      1. Port フィールドに、Web サイトが使用するポートを入力します。

      2. プロトコルタイプ で、[HTTPS] を選択します。

      3. HTTP/2、TLS バージョン、暗号スイート、または 追加証明書 (複数の証明書の場合) をカスタマイズするには、HTTPS のセキュリティ強化をご参照ください。それ以外の場合は、デフォルト設定を維持します。

      4. デフォルト証明書 セクションで、証明書をアップロードする方法を選択します。

         • アップロード：証明書がCertificate Management Service (Original SSL Certificate) にない場合は、このオプションを使用します。

         • 既存の証明書の選択：Certificate Management Service (Original SSL Certificate) によって発行またはアップロードされた証明書を選択します。

           アップロード

           • [証明書名]：証明書の一意の名前を入力します。既存の証明書と同じ名前は使用できません。

           • [証明書ファイル]：証明書ファイルをテキストエディターで開き、証明書の完全な内容を PEM、CER、または CRT 形式で貼り付けます。

             フォーマット例：-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • フォーマット変換：証明書が PFX や P7B などの形式である場合は、証明書ツールを使用して PEM 形式に変換します。

             • 証明書チェーン：中間証明書が含まれている場合は、サーバー証明書の次に中間証明書を貼り付けます。

           • [秘密鍵ファイル]：秘密キーファイルをテキストエディターで開き、秘密キーの完全な内容を PEM 形式で貼り付けます。

             フォーマット例：-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           既存の証明書の選択

           証明書のドロップダウンリストから、WAF にアップロードする証明書を選択します。

           説明

           WAF コンソールに「[証明書チェーンの整合性の検証に失敗しました。この証明書を使用すると、サービスへのアクセスに影響が出る可能性があります]」というメッセージが表示された場合、証明書チェーンに問題があります。証明書の内容が正しく、完全であることを確認し、証明書管理サービス (旧 SSL 証明書サービス) コンソールで再アップロードしてください。SSL 証明書のアップロード、同期、共有。

   3. WAF の前段にあるレイヤー 7 プロキシ (CDN など) の設定、X-Forwarded-Proto ヘッダー制御、および トラフィックタギングを設定するには、実際のクライアント情報の取得をご参照ください。オリジンへのタイムアウトと オリジンへのキープアライブを設定するには、オリジンへの接続品質の最適化をご参照ください。それ以外の場合は、OK をクリックしてデフォルト設定を適用します。

4. 保護の確認：

   設定後、Web サイトにアクセスし、URL に test ペイロードを追加します (例：http://yourdomain.com/alert(xss))。405 ブロックページが表示されれば、WAF 保護がアクティブであることが確認できます。

5. 保護ルールの表示と設定：

   WAF は、デフォルトの保護ルール (Web コア保護など) が有効化された、instance ID-port-asset type という名前の保護オブジェクトを作成します。これは 保護設定 > 保護対象 ページで表示できます。特定の IP アドレスをホワイトリストに登録する場合など、ルールをカスタマイズするには、「保護設定の概要」をご参照ください。

HTTPS のセキュリティ強化

• HTTP/2

  ポートの追加 ページで、HTTP2リスニング を選択してこの機能を有効にします。

• TLS バージョン

  ポートの追加 ページの TLS バージョン セクションで、オプションを選択します。

  • [TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。]

  • [TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております]：TLS 1.0 プロトコルのみを使用する古いクライアントは、Web サイトにアクセスできません。

  • [TLS 1.2 以上をサポートします。互換性と安全性が優れています。]：最新のセキュリティコンプライアンス要件を満たしますが、TLS 1.0 または 1.1 プロトコルのみを使用する古いクライアントは、Web サイトにアクセスできません。

  • [TLS 1.3 のサポートを有効化します。]：Web サイトが TLS 1.3 プロトコルをサポートしている場合は、このチェックボックスを選択します。デフォルトでは、WAF は TLS 1.3 を使用するクライアントリクエストをリッスンしません。

• 暗号スイート

  ポートの追加 ページの 暗号スイート セクションで、オプションを選択します。

  • [すべての暗号スイート (高い互換性、低い安全性)]

  • [カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)]：Web サイトが特定の暗号スイートを必要とする場合は、このオプションを選択し、必要なスイートを選択します。

    強力な暗号スイート	脆弱な暗号スイート
    ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

    説明

    • 暗号スイートのセキュリティに関する注意：ECDHE-RSA-AES128-SHA256 および ECDHE-RSA-AES256-SHA384 暗号スイートは、鍵交換に ECDHE、認証に RSA、暗号化に AES-CBC を使用します。AES-GCM などの認証付き暗号化モードを使用する暗号スイートと比較して、これらはセキュリティとパフォーマンスが劣ります。一部のセキュリティスキャンツールは、これらを脆弱な暗号スイートとしてフラグ付けする場合があります。この場合、カスタム暗号スイートを使用して、これら 2 つのスイートを手動で除外してください。

    • 暗号スイートの命名規則：WAF は OpenSSL 形式で暗号スイートを表示しますが、一部のスキャンツールは IANA 命名規則を使用する場合があります。たとえば、OpenSSL の ECDHE-ECDSA-AES256-SHA384 は、IANA の TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 に対応します。マッピングを調べるには、ciphersuite.info にアクセスするか、別の TLS 暗号スイート検索ツールを使用してください。

• 追加証明書

  ポートの追加 ページの 拡張証明書 セクションで、証明書をアップロードします。アップロード方法は、デフォルト証明書と同じです。

  説明

  複数の追加証明書を追加する場合、すべての証明書が有効である必要があります。いずれかの証明書の有効期限が切れている場合、操作を完了できません。

実際のクライアント情報の取得

• [WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)]

  今すぐアクセスする ページで、WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など) セクションの設定を構成します。

  他のプロキシなし

  リクエストがクライアントから WAF に直接送信されることを示します。

  他のプロキシ

  リクエストが別のレイヤー 7 プロキシから WAF に転送されることを示します。また、クライアント IP の取得方法 を指定する必要があります。

  • X-Forwarded-For フィールドのファースト IP アドレスをクライアントのソースアドレスにする

    このオプションを選択した場合、WAF は以下の優先順位で送信元 IP を取得します：

    1. X-Real-IP リクエストヘッダーの値。

    2. X-Real-IP ヘッダーが存在しない場合、X-Forwarded-For (XFF) ヘッダーの最初の IP アドレス。

  • 【推奨】偽装 XFF を回避するために、指定したヘッダの最初の IP アドレスをクライアント送信元 IP アドレスとする

    説明

    アップストリームプロキシサービスが、送信元 IP アドレスを X-Real-IP や X-Client-IP などの指定されたヘッダーフィールドに書き込むように設定することを推奨します。指定されたヘッダーを使用することで、攻撃者が XFF ヘッダーを偽装して WAF をバイパスするのを防ぎます。

    ヘッダフィールド ボックスに、1 つ以上のヘッダーフィールドを入力します。各フィールドの後に Enter キーを押します。WAF は以下の優先順位で送信元 IP を取得します：

    1. 入力された順序で、指定された ヘッダフィールド。

    2. 指定されたヘッダーのいずれも存在しない場合、X-Real-IP ヘッダーの値。

    3. X-Real-IP ヘッダーも存在しない場合、XFF ヘッダーの最初の IP アドレス。

  • Proxy ProtocolヘッダーのClient IPをクライアント送信元IPとして取得：アップストリームプロキシで Proxy Protocol が有効になっている場合、このオプションを選択して元のクライアント IP を抽出できます。この方法は、送信元 IP をトランスポート層で送信するため、HTTP 層での偽装はできません。この方法は、送信元 IP の信頼性が高いレベルで要求されるシナリオに最適です。Proxy Protocol にクライアント IP が含まれていない場合、WAF はアップストリームプロキシの IP アドレスを送信元 IP として使用します。

• [トラフィックマークの有効化]

  今すぐアクセスする ページで、詳細設定 を展開し、トラフィックマークの有効化 を選択してから、タグフィールドを設定します。

  • [カスタムヘッダ]：ヘッダ名 と ヘッダ値 を設定することで、WAF はこのヘッダーをオリジンへのリクエストに追加して、WAF で処理されたリクエストであることを識別します。

    たとえば、WAF-TAG: Yes と設定します。ここで、WAF-TAG はヘッダー名、Yes は値です。オリジンサーバーはこのヘッダーを検証やアクセスコントロールポリシーに使用できます。

    重要

    User-Agent などの標準 HTTP ヘッダーフィールドは使用しないでください。これにより、標準ヘッダーフィールドの内容がカスタム値で上書きされます。

  • [リアル送信元 IP アドレス]：クライアントの実際の送信元 IP アドレスを含むヘッダーフィールドを設定します。WAF はこのヘッダーを記録し、オリジンサーバーに渡します。IP 抽出ルールは、WAF の前段にレイヤー 7 プロキシ (Anti-DDoS Proxy や CDN など) がデプロイされているかのルールと一致します。

  • [ソースポート]：クライアントの実際の送信元ポートを含むヘッダーフィールドを設定します。WAF はこのヘッダーを記録し、オリジンサーバーに渡します。

• [X-Forwarded-Proto ヘッダーフィールドを使用して WAF のリスニングプロトコルを取得する]

  今すぐアクセスする ページで、詳細設定 を展開し、X-Forwarded-Proto ヘッダーフィールドを使用して WAF のリスニングプロトコルを取得する を選択します。

オリジンへの接続の最適化

• 読み取りおよび書き込み接続タイムアウトの設定

  今すぐアクセスする ページで、詳細設定 を展開し、次の設定を構成します。

  • [読み取り接続タイムアウト期間]：オリジンサーバーの応答を待つためのタイムアウト。レポートのエクスポートやバッチ処理などの遅いインターフェースの場合は値を大きく設定します。デフォルト：120 秒。範囲：1 秒～3,600 秒。

  • [書き込み接続タイムアウト期間]：WAF がオリジンサーバーにリクエストを送信するためのタイムアウト。オリジンの負荷が非常に高い場合にのみ値を大きく設定します。デフォルト：120 秒。範囲：1 秒～3,600 秒。

• [Back-to-origin の持続的接続]

  重要

  この機能を無効にすると、オリジンへのキープアライブ接続は WebSocket プロトコルをサポートしなくなります。

  今すぐアクセスする ページで、詳細設定 を展開します。Back-to-origin の持続的接続 セクションで、この機能を有効にし、次の設定を構成します。

  • [持続的接続の復元リクエスト数]：デフォルト：1,000。範囲：60～1,000。Nginx の keepalive_requests に対応します。Nginx ドキュメント。

  • [アイドル時の長時間の接続タイムアウト]：デフォルト：3,600 秒。範囲：10 秒～3,600 秒。Nginx の keepalive_timeout に対応します。

アップロードファイルサイズの制御

[アップロードファイルサイズ制限] (Ultimate Edition のみ)

• 説明：WAF はデフォルトで最大 2 GB までのファイルアップロードをサポートします。Ultimate Edition ではこの制限を調整できます。

• 手順：今すぐアクセスする ページで、詳細設定 を展開し、アップロードファイルサイズ制限 を設定します。デフォルト値は 2 GB、最大値は 10 GB です。設定後、読み取り接続タイムアウト期間 と 書き込み接続タイムアウト期間 の値も増やす必要があります。

リソース管理

[リソースグループ]

• 説明：リソースグループは管理と権限設定を簡素化します。指定しない場合、インスタンスは 既定のリソース グループ を使用します。リソースグループ。

• 手順：今すぐアクセスする ページの リソースグループ セクションで、ドロップダウンリストからインスタンスのリソースグループを選択します。

本番環境のベストプラクティス

本番環境の ECS インスタンスをオンボーディングする際は、以下のプラクティスに従ってください。

• HTTPS 設定：以下の設定で ECS インスタンスに証明書をデプロイしてください。

  • 証明書ファイルをCertificate Management Service (Original SSL Certificate) にアップロードします。

  • HTTPS トラフィック転送ポートを設定します。TLS バージョンを 1.2 以降に設定します。

  • SSL 証明書の通知を設定して、有効期限が切れる前に更新します。

• 段階的なロールアウト：まず、オフピーク時に非本番環境の ECS インスタンスを追加します。一定期間サービスが正常に動作することを確認した後、本番環境の ECS インスタンスを追加します。

• サービスの確認：オンボーディング後、サービスが正常に動作することを確認してください。

  • ログの確認：ログ内の 200 ステータスコードの割合に大きな変動がないか確認し、QPS の急激な増減を確認します。WAF ログサービスを有効にしている場合は、WAF ログをご参照ください。

  • アプリケーション監視：ユーザーアクセスやトランザクションなどのコアアプリケーション機能が期待どおりに動作するかどうかを確認してください。

• メンテナンス：攻撃や誤検知を継続的に監視してください。

  • イベント処理：攻撃やセキュリティイベントに関する情報を常に把握するために、セキュリティレポートを確認し、CloudMonitor 通知を設定してください。

  • ルールのチューニング：正規のビジネスリクエストが誤ってブロックされていないか判断するために、攻撃ログを継続的に監視し、それに応じて保護ルールを調整してください。

クォータと制限

• ポートの制限：トラフィック転送ポートの総数は、WAF インスタンスのクォータを超えることはできません。

  • WAF サブスクリプションインスタンス：Basic Edition (最大 300)、Pro (最大 600)、Enterprise (最大 2,500)、Ultimate (最大 10,000)。

  • WAF 従量課金インスタンス：最大 10,000。

• Anti-DDoS Proxy：Anti-DDoS Proxy を使用する場合、トラフィックは WAF に到達する前に Anti-DDoS Proxy を通過する必要があります。Anti-DDoS Proxy インスタンスをWeb サイト設定 (レイヤー 7) モードで設定します。

• サポートされていないシナリオ：

  • ECS インスタンス上の IPv6 Web サイトの保護。

  • WAF での強制的な HTTPS リダイレクトの設定。

  • GM/T (SM) アルゴリズム証明書のアップロード。

追加したい ECS インスタンスが見つからないのはなぜですか？

まず、アクセス管理 ページの右上隅にある 資産の同期 をクリックしてみてください。

それでもインスタンスが見つからない場合は、前提条件を満たしていません。たとえば、中国本土以外のリージョンにある ECS インスタンスでクラウドネイティブオンボーディング方法を使用するには、中国本土以外のリージョン用の WAF インスタンスが必要です。または、CNAME 接続タイプを使用します。

WAF は FTP や SSH などの非 Web トラフィックを保護できますか？

いいえ。WAF は HTTP および HTTPS の Web トラフィックのみを保護します。FTP や SSH などの他のプロトコルを使用するトラフィックは保護できません。

クラウドネイティブオンボーディング方法でサポートされているポートは何ですか？

クラウドネイティブ方法は、1 から 65535 までの任意のポートをサポートします。WAF でサポートされているポート範囲。

ECS インスタンス上のドメインは、クラウドネイティブと CNAME の両方のオンボーディング方法を同時に使用できますか？

推奨されません。各ドメインは、クラウドネイティブまたは CNAME のいずれか 1 つの方法のみを使用する必要があります。両方を使用すると、転送の競合が発生します。CNAME からクラウドネイティブに切り替えるには、DNS レコードをオリジンに戻し、伝播を待ってから CNAME 設定を削除し、その後クラウドネイティブ経由でオンボーディングします。

ドメインが複数の ECS インスタンスに解決される場合、どのように保護を追加しますか？

• クラウドネイティブ方法を使用する：WAF がすべての対象インスタンスにトラフィックを誘導できるように、これらの ECS インスタンスをそれぞれ個別に追加します。

• CNAME 接続タイプを使用する：CNAME 接続タイプを使用してドメインを追加し、複数の ECS インスタンスのパブリック IP アドレスをオリジンアドレスとして設定します。

複数のドメインが単一の ECS インスタンスに解決される場合、どのように保護を追加しますか？

• クラウドネイティブ方法を使用する：ECS インスタンスを追加すると、そのインスタンス上のすべてのドメインがデフォルトポリシーによって保護されます。ドメインごとに異なる保護ルールを設定するには、各ドメインを個別の保護対象として手動で追加します。保護対象の追加。

• CNAME 接続タイプを使用する：各ドメインを 1 つずつ追加します。