Microservices Engine (MSE) のクラウドネイティブゲートウェイインスタンスを Web ベースの攻撃から保護するために、Web Application Firewall (WAF) 保護を有効にできます。このソリューションは、既存のネットワークアーキテクチャや DNS 設定を変更することなく、低レイテンシー、高可用性の Web セキュリティを提供します。
仕組み
MSE クラウドネイティブゲートウェイインスタンスを WAF と統合すると、接続は SDK 統合 を通じて確立します。SDK はクラウドサービスに組み込まれ、トラフィックの抽出、検出、保護を処理します。WAF はトラフィック転送には関与しません。このアプローチにより、追加の転送レイヤーから生じる可能性のある互換性や安定性の問題を回避できます。
適用性
お使いの MSE ゲートウェイインスタンスが以下の要件を満たさない場合は、代わりに CNAME アクセス を使用してください。
アカウント要件：Resource Directory を設定している場合を除き、MSE ゲートウェイと WAF インスタンスは同じ Alibaba Cloud アカウントに属している必要があります。
リージョン要件：WAF 保護は、次のリージョンにある MSE ゲートウェイでのみ有効にできます：China (Hangzhou)、China (Shanghai)、China (Beijing)、China (Ulanqab)、China (Hong Kong)、Singapore, Malaysia (Kuala Lumpur)、China (Zhangjiakou)、China (Shenzhen)、Japan (Tokyo)、Germany (Frankfurt)、US (Silicon Valley)、および US (Virginia)。
操作手順
以下の操作は、ゲートウェイサービスの自動再起動をトリガーすることがあり、長期間の接続やサービスが中断されたり、パフォーマンスが低下したりする可能性があります。これらの操作は、オフピーク時に実行してください。
コンソールへの移動：
Web アプリケーションファイアウォール 3.0 コンソールにログインします。 上部のナビゲーションバーで、WAF インスタンスのリソースグループとリージョン (中国本土) を選択します。 ナビゲーションペインで、アクセス管理 をクリックします。 クラウドプロダクトアクセス タブをクリックし、左側のクラウドサービスタイプのリストから Microservices Engine (MSE) - Cloud-native Gateway を選択します。
サービスの承認 (初回のみ)：
今すぐ許可する をクリックして、サービスの承認を完了します。 RAM コンソールに移動し、 を選択すると、作成されたサービスリンクロール AliyunServiceRoleForWAF を表示できます。
[Microservices Engine (MSE) - Cloud-native Gateway] インスタンスの追加：
アクセス をクリックすると、Microservices Engine (MSE) コンソールにリダイレクトされます。
トップナビゲーションバーで、リージョンを選択します。左側のナビゲーションペインで、Cloud-Native Gateway > ゲートウェイリスト を選択し、目的のインスタンスを見つけます。
インスタンスレベルの保護
対象のインスタンスの セキュリティ保護 列で、
アイコンをクリックし、ゲートウェイインスタンス保護の有効化 をクリックして、OK をクリックします。ルートレベルの保護
対象のインスタンス ID をクリックします。基本情報 ページの左側のナビゲーションペインで、Routes を選択します。
ルーティング タブで、対象のルートの [WAF] 列にある
アイコンをクリックし、ルートレベルの WAF セキュリティ保護を有効にする (推奨) をクリックして、表示されるダイアログボックスで OK をクリックします。
ドメインレベルの保護
対象のインスタンス ID をクリックします。基本情報 ページの左側のナビゲーションペインで、Routes を選択します。
ドメイン名 タブで、対象ドメインの WAF 列にある
アイコンをクリックし、ドメインレベル WAF の有効化 (推奨) をクリックして、表示されるダイアログボックスで OK をクリックします。
保護の検証：
対象のインスタンスの セキュリティ保護 列、または対象のルートまたはドメインの セキュリティ保護 列に 有効 と表示されている場合、統合は成功です。検証するには、ブラウザにお使いのドメインとそれに続く Web 攻撃ペイロードを入力します (たとえば
your-domain.com/alert(xss)などです。ここでalert(xss)はテスト用のクロスサイトスクリプティングペイロードです)。ブラウザから 405 ブロックページが返された場合、WAF が攻撃のインターセプトに成功し、保護が有効であることを意味します。
次のステップ
保護ルールの表示と設定
統合後、WAF は自動的に -mse サフィックスが付いた保護対象を作成し、基本的な Web 保護などのモジュールの保護ルールをデフォルトで有効にします。WAF コンソールの ページで保護対象を表示できます。デフォルトの保護ルールがビジネスニーズを満たさない場合は、ルールを作成または編集できます。詳細については、「保護設定の概要」をご参照ください。
統合のロールバック
WAF 保護の一時的な無効化: 統合後に多数の誤検知などの問題が発生した場合、WAF 保護を一時的に無効にすることができます。 WAF コンソールで、保護対象 ページに移動し、WAF 保護ステータス スイッチをオフにします。 詳細については、「保護対象の WAF 保護を無効にする」をご参照ください。
アクセスの削除：WAF を使用して MSE ゲートウェイインスタンスを保護する必要がなくなった場合は、Microservices Engine (MSE) コンソールに移動し、[Cloud-Native Gateway] > [ゲートウェイリスト] を選択して、対象のインスタンスを見つけます。
インスタンスレベルの保護
対象インスタンスの セキュリティ保護 列で、
アイコンをクリックし、ゲートウェイインスタンス保護の無効化 をクリックして OK をクリックします。ルートレベルの保護
対象のインスタンス ID をクリックします。基本情報 ページの左側のナビゲーションペインで、Routes を選択します。
ルーティング タブで、対象のルートの 操作 列にある ポリシーの構成 をクリックします。 次に、[WAF] タブで ルーティングレベル WAF のセキュリティ保護を無効化 (非推奨) をクリックし、表示されるダイアログボックスで OK をクリックします。
ドメインレベルの保護
ターゲットインスタンス ID をクリックします。基本情報 ページの左側のナビゲーションペインで、Routes を選択します。
ドメイン名 タブで、対象のドメインをクリックし、ポリシー タブに移動します。ドメインレベルの WAF 保護の無効化 (非推奨) をクリックし、表示されたダイアログボックスで OK をクリックします。
重要アクセスを削除すると、サービストラフィックは WAF によって保護されなくなり、セキュリティレポートにはこのトラフィックのデータが含まれなくなります。
WAF インスタンスが従量課金プランの場合、アクセスを削除すると、それ以降のリクエスト処理は課金対象外となります。ただし、WAF インスタンスと他の保護ルールは存続するため、機能料金 は引き続き発生します。WAF の使用を終了し、WAF に関するすべての請求を停止したい場合は、「WAFを無効にする」をご参照ください。
クォータと制限
保護対象インスタンスの数：追加できるインスタンスの数は、お使いの WAF エディションのクォータを超えることはできません。
サブスクリプション WAF インスタンス：Basic (最大 300)、Advanced (最大 600)、Enterprise (最大 2,500)、Ultimate (最大 10,000)。
従量課金 WAF インスタンス：最大 10,000。
サポート対象外の機能：
Web 改ざん防止
データ漏洩防止
ボット管理では、シナリオベースのクローラー保護のための自動 Web SDK 統合および正規ボット管理機能はサポートされていません。
ボット脅威インテリジェンス
よくある質問
クラウドサービス統合とCNAMEアクセスの比較
WAF は、クラウドサービス統合と CNAME アクセスという 2 つの統合方法をサポートしています。
クラウドサービス統合 (このトピックで説明する方法)：同じアカウント内の Alibaba Cloud サービスインスタンスと迅速に統合します。
CNAME アクセス：ドメイン名と統合し、クロスアカウントやマルチクラウド環境など、さまざまなシナリオに適しています。
これら 2 つの方法は、同じドメインで同時に使用することはできません。各ドメインでは 1 つの統合方法のみを使用してください。設定が重複すると、トラフィック転送の競合が発生し、保護が無効になります。詳細な比較については、「統合の概要」をご参照ください。