Web アプリケーションが特定の IP アドレスからの攻撃の対象となった場合、Web Application Firewall (WAF) の IP ブラックリストモジュールを使用してこれらの IP アドレスをブロックし、サービスを保護できます。
適用シナリオ
WAF の IP ブラックリストモジュールは、既知の悪意のある IP または特定の IP 範囲を正確にブロックする必要があるシナリオ向けに設計されています。
推奨シナリオ
既知の攻撃元のブロック：ログ分析やセキュリティ演習により、特定の IP がスキャナー、クローラー、ブルートフォースツール、またはボットネットノードであることが確認された場合、その IP をブラックリストに追加してトラフィックを直接ブロックします。
一時的な緊急ブロック：少数の固定 IP からの突然の攻撃に直面した場合、より詳細な分析を行う間、初期の防御策として迅速にブラックリストルールを作成できます。
コンプライアンスまたは地域制限：組織がデータ主権の要件を遵守したり、地域アクセス制限を実施したりする必要があり、特定の IP 範囲のみをブロックする必要がある場合は、IP ブラックリストモジュールを使用します。
非推奨シナリオ
動的 IP を使用する攻撃者：IP ブラックリストは、非固定のクライアント IP、動的 IP プール、パブリックプロキシ (CC 攻撃シナリオなど)、またはクラウド関数など、動的なソースからの攻撃に対する効果的な防御策ではありません。CC 防御またはカスタムルール - レート制限モジュールを併用することを推奨します。
リクエスト詳細によるユーザー行動の区別：リクエストパス、パラメーター、またはヘッダーに基づいてリクエストを異なる方法で処理する必要がある場合、IP ブラックリストモジュールではこの要件を満たせません。代わりにカスタムルールモジュールを使用してください。
基本概念
[IP ブラックリスト]：Web コア保護内の保護モジュールです。このモジュールを有効にする前に、保護テンプレートを作成する必要があります。システムは複数の保護テンプレートをサポートしています。
保護テンプレート：特定のルールロジックとスコープを定義する保護ルールのコレクションです。保護テンプレートは、テンプレートタイプ、保護ルール、適用対象の 3 つの部分で構成されます。
テンプレートタイプ：保護テンプレートを作成する際に、テンプレートタイプを指定する必要があります。作成後にタイプを変更することはできません。テンプレートタイプには次の 2 種類があります。
テンプレートタイプ
説明
適用シナリオ
デフォルトの保護テンプレート
デフォルトのテンプレートは、すべての保護対象に自動的に適用されます。詳細については、「基本概念」をご参照ください。
特定の対象を手動で除外 (「適用しない」に設定) できます。
IP ブラックリストモジュールに対して作成できるデフォルトの保護テンプレートは 1 つだけです。
グローバルに適用する必要がある一般的な保護ルールをデプロイします。
カスタムの保護テンプレート
テンプレートを有効にするには、保護対象または保護対象グループを手動で指定する必要があります。
特定のサービス (ログイン API や決済 API など) に対して、きめ細かな保護ルールをデプロイします。
保護ルール：特定の検出ロジックとレスポンスアクションを定義します。保護テンプレートには、複数の保護ルールを含めることができます。各ルールは、次の 2 つの部分で構成されます。
IP ブラックリスト：ブロックまたはログに記録するクライアントの IP アドレスまたは IP 範囲を指定します。
[Rule Action]：ルールに一致したリクエストに対して実行するアクションを定義します。ブロック と 観察 をサポートしています。
適用対象：保護テンプレートを適用するターゲットを指定します。適用対象の設定を通じて、保護ルールは特定の保護対象または保護対象グループに適用されます。単一の保護対象または保護対象グループは、複数の保護テンプレートに関連付けることができます。
保護対象：WAF に接続されている各ドメイン名またはクラウドサービスインスタンスに対して、保護対象が自動的に作成されます。
保護対象グループ：複数の保護対象を保護対象グループに追加して、一元管理することができます。
操作手順
開始する前に、保護対象が存在すること (Web サービスが WAF に接続されていること) を確認してください。サービスを接続していない場合は、「WAF への Web サービスの接続」をご参照ください。
WAF 3.0 コンソールにログインします。上部のナビゲーションバーで、WAF インスタンスのリソースグループとリージョン ([中国本土] または [中国本土以外]) を選択します。左側のナビゲーションペインで、 を選択します。
ステップ 1：保護テンプレートタイプの設定
Web コア保護 ページで、IP ブラックリスト セクションに移動し、テンプレートの作成 をクリックします。次に、以下のパラメーターを設定します。
[テンプレート名]：テンプレートの名前を入力します。
[デフォルトテンプレート]：IP ブラックリストモジュールでは、デフォルトの保護テンプレートは 1 つしか許可されず、新しいテンプレートの作成時にのみ設定できます。
はい：有効対象 を設定する必要はありません。デフォルトのテンプレートは、すべての保護対象に自動的に適用されます。詳細については、「基本概念」をご参照ください。
いいえ：テンプレートを有効にするには、有効対象 を設定して、保護対象または保護対象グループを手動で指定する必要があります。
ステップ 2：テンプレートへの保護ルールの追加
ルールの設定 セクションで、ルールの作成 をクリックし、以下のパラメーターを設定します。
[Rule Name]：ルールの名前を入力します。
[IP ブラックリスト]：ブロックまたはログに記録するクライアントの IP アドレスまたは IP 範囲を指定します。次のガイドラインに従ってください。
IPv4 と IPv6 の両方のアドレスをサポートしています (例：
1.1.XX.XXおよび2001:XXXX:ffff:ffff:ffff:ffff:ffff:ffff)。IPv4 CIDR ブロックと IPv6 CIDR ブロックの両方をサポートしています (例：
1.1.XX.XX/16および 2001:XXXX:XXXX:XXXX::/64)。各 IP アドレスを入力した後、Enter キーを押します。
1 つの保護ルールでサポートされる IP アドレスは最大 200 個です。さらに追加するには、複数の保護ルールを作成できます。
[Rule Action]：ルールに一致したリクエストに対して実行するアクションを選択します。
[ブロック]：リクエストをブロックし、クライアントにブロックページを返します。
説明デフォルトでは、WAF は統一されたブロック応答ページを使用します。カスタム応答 機能を使用して、独自のブロック応答ページを定義することもできます。
[モニター]：リクエストをブロックせず、一致をログに記録します。ルールをテストする際は、まず モニター モードを使用して WAF のログを分析し、誤検知が発生しないことを確認してから、別のアクションに変更できます。
ステップ 3：テンプレートの適用対象の設定
有効対象 セクションで、テンプレートを適用する保護対象と保護対象グループを選択します。
テンプレートが有効になる方法は、ステップ 1 の設定によって異なります。
デフォルトの保護テンプレートとして設定：デフォルトのテンプレートは、すべての保護対象に自動的に適用されます。詳細については、「基本概念」をご参照ください。
デフォルトの保護テンプレートとして設定しない：有効な保護対象と保護対象グループを手動で設定する必要があります。
保護対象または保護対象グループの適用ステータスは、テンプレートの作成中と作成後の両方で手動で調整できます。
ステップ 4：設定の確認
ルールが機能していることを確認するには、ブラックリストに登録された IP アドレスからテストリクエストを送信し、リクエストがブロックされることを確認します。また、WAF ログで一致レコードを確認することもできます。
日常の管理
保護テンプレートの管理
新しく作成された保護テンプレートは、デフォルトで有効になっています。保護テンプレートのリストで、以下の操作を実行できます。
テンプレートに関連付けられている 保護対象 / グループ の数を表示できます。
ステータス トグルを使用して、テンプレートを有効または無効にできます。
テンプレートに対して[Create Rule]できます。
保護テンプレートを 編集、削除、または 複製 できます。
テンプレート名の左側にある
アイコンをクリックして、テンプレートに含まれるルールを表示できます。
保護ルールの管理
新しく作成されたルールは、デフォルトで有効になっています。ルールリストで、以下の操作を実行できます。
ルールID や ルール条件 などの情報を表示できます。
ステータス トグルを使用して、ルールを有効または無効にできます。
ルールを 編集 または 削除 できます。
よくある質問
設定した IP ブラックリストルールが有効にならないのはなぜですか？
IP ブラックリストテンプレートを設定したにもかかわらず保護が機能しない場合は、次の順序でトラブルシューティングを行ってください。
テンプレートのステータスと適用対象の確認
IP ブラックリストテンプレートとそのルールの両方が有効になっており、適用対象が正しく設定されていることを確認してください。ホワイトリスト設定の確認
IP ホワイトリストはブラックリストよりも優先されます。現在のトラフィックに一致するホワイトリストルールがないか確認してください。トラフィックがホワイトリストルールに一致する場合、WAF は IP ブラックリストのチェックをスキップします。レイヤー 7 プロキシ設定の確認
WAF の前に CDN などのレイヤー 7 プロキシがデプロイされている場合は、アクセス設定で WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など) オプションが [はい] に設定されていることを確認してください。設定が正しくないと、WAF は実際のクライアント IP アドレスを取得できず、IP ベースのブラックリストルールが失敗する原因となります。設定の詳細については、「実際のクライアント情報」をご参照ください。すべてのポートに対する WAF 保護の検証
すべてのサービスポートが WAF に追加されていることを確認してください。たとえば、クラウドネイティブモードで追加された Elastic Compute Service (ECS) インスタンスが HTTP ポート 80 と HTTPS ポート 443 を使用する場合、両方のポートを WAF に追加する必要があります。これは、オリジンサーバーに強制リダイレクトルールが設定されている場合でも必要です。そうしないと、追加されていないポートへのトラフィックは WAF をバイパスして直接オリジンサーバーに到達します。
従量課金の WAF で IP ブラックリストルールを設定すると、トラフィック料金は削減されますか？
IP ブラックリストルールを設定しても、WAF のトラフィック料金は削減されません。IP ブラックリストによってブロックされたリクエストも WAF によって処理され、秒間クエリ数 (QPS) に計上されるため、処理料金が発生します。ただし、これらのリクエストはオリジンサーバーに転送されません。既知の悪意のある IP アドレスをブラックリストに追加することは、オリジンサーバーの負荷を軽減する効果的な方法です。
IP ブラックリストとカスタムルールの違いは何ですか？
IP ブラックリストとカスタムルールの主な違いは次のとおりです。
1. 一致条件の違い
IP ブラックリスト：クライアントの送信元 IP アドレスまたは IP アドレスセグメントという単一の条件に基づくマッチングをサポートします。
カスタムルール：送信元 IP、URL、リクエストヘッダー (User-Agent や Referer など)、リクエストパラメーターなど、複数の HTTP フィールドに基づく複数条件のマッチングをサポートします。カスタムルールは、アクセス頻度制限もサポートしています。
2. アクション
IP ブラックリスト：ルールに一致した場合、ブロック と モニター のアクションのみがサポートされます。
カスタムルール：さまざまなアクションをサポートします。ブロック と モニター のアクションに加えて、カスタムルールは Captcha や JavaScript 検証などの他のアクションもサポートします。
3. シナリオ
IP ブラックリスト：既知の悪意のある IP アドレスや特定の地域の IP アドレスをグローバルにブロックするために使用されます。
カスタムルール：特定の URL パス、リクエストの特徴、または高頻度のアクセス行動をターゲットにした、正確な保護ときめ細かなアクセス制御に使用されます。
IP ブラックリストルールにヒットした攻撃の記録を表示できますか？
はい。ルールにヒットしたすべてのリクエストに対して、システムは対応する攻撃レコードを生成し、セキュリティレポートで指定された場所に表示します。