HTTP フラッド攻撃は DDoS 攻撃の一種で、大量の同時リクエストでサーバーに過大な負荷をかけます。これにより、コンピューティングリソースやデータベース接続が枯渇し、応答時間の遅延やサービスの利用不可につながります。これは、多くの場合、QPS の急増と帯域幅使用量の増加として現れます。公開されている ECS インスタンスをこれらの攻撃から保護するには、Web Application Firewall (WAF) を有効にします。WAF は HTTP フラッド攻撃に対する効果的な防御を提供し、サービスの安定性を確保します。
前提条件
ECS インスタンスが、パブリック IP アドレス経由でアクセス可能な Web サービスをホストしていること。
ECS インスタンスは、次のいずれかのリージョンに配置されている必要があります：中国 (成都)、中国 (北京)、中国 (張家口)、中国 (杭州)、中国 (上海)、中国 (深圳)、中国 (青島)、香港 (中国)、マレーシア (クアラルンプール)、インドネシア (ジャカルタ)、またはシンガポール。この要件が満たされない場合は、CNAME アクセスを使用してください。
ステップ 1：従量課金 WAF の有効化
Asset Type を Web Application Firewall 3.0 に、Billing Method を 従量課金 に設定し、次のパラメーターを設定します。
パラメーター
説明
[リージョン]
WAF 保護ノードの場所を指定します。ECS インスタンスが中国本土にデプロイされている場合は、中国本土 を選択します。それ以外の場合は、中国本土以外 を選択します。
[Version]
デフォルトは 従量課金版 です。設定は不要です。
[Service-Linked Role]
WAF は、トラフィックのアクセス制御やモニタリングなどのサービスを提供するために、クラウドリソースへのアクセスを必要とします。Create Service-Linked Role をクリックします。システムは自動的に AliyunServiceRoleForWaf ロールを作成します。このロールは手動で変更しないでください。
今すぐ購入 をクリックし、購入を完了します。
ステップ 2：ECS インスタンスのオンボーディング
Web Application Firewall 3.0 コンソールにログインします。上部のメニューバーで、リソースグループとリージョン (中国本土 または 中国本土以外) を選択します。左側メニューで、アクセス管理 をクリックします。クラウドプロダクトアクセス タブを選択し、Elastic Compute Service (ECS) を選択します。
リストから対象の ECS インスタンスを見つけます。操作 列で、今すぐアクセスする をクリックします。インスタンスが見つからない場合は、右上隅の 資産の同期 をクリックします。それでもインスタンスが見つからない場合は、「前提条件」の要件を満たしていません。
インスタンスとポートの選択 エリアで、操作 列の ポートの追加 をクリックします。
表示される ポートの追加 ダイアログボックスで、Web サイトのポートとプロトコルタイプを設定します。
標準 HTTP Web サイト
Web サイトのアドレスが
http://yourdomain.comの場合、プロトコルタイプ を [HTTP] に、Port を [80] に設定します。標準 HTTPS Web サイト
Web サイトのアドレスが
https://yourdomain.comの場合、プロトコルタイプ を [HTTPS] に、Port を [443] に設定します。非標準ポートの Web サイト
追加する Web サイトのアドレスに
ドメイン名:ポート番号の形式でポート番号が明示的に含まれている場合は、実際のポート番号を入力する必要があります。例：http://yourdomain.com:8080の場合、プロトコルタイプ を [HTTP] に、Port を [8080] に設定します。https://yourdomain.com:8443の場合、プロトコルタイプ を [HTTPS] に、Port を [8443] に設定します。
HTTP
Port セクションで、Web サイトが使用するポートを入力します。
プロトコルタイプ セクションで、[HTTP] を選択します。
HTTPS
Port エリアで、Web サイトが使用するポートを入力します。
プロトコルタイプ エリアで、[HTTPS] を選択します。
[HTTP2]、TLS バージョン、暗号スイート、拡張証明書 はデフォルト設定のままにします。
デフォルト証明書 エリアで、証明書をアップロードする方法を選択します。
Alibaba Cloud の Certificate Management Service (Original SSL Certificate) に証明書をアップロードしていない場合は、この方法を選択します。
Alibaba Cloud の Certificate Management Service (Original SSL Certificate) から既存の証明書を選択します。
手動アップロード
[証明書名]：一意の証明書名を入力します。
[証明書ファイル]：証明書ファイルを開き、その内容を貼り付けます。証明書は PEM、CER、または CRT 形式である必要があります。
フォーマット例：
-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----フォーマット変換：証明書が PFX や P7B などの形式である場合は、証明書ツールを使用して PEM 形式に変換します。
証明書チェーン：中間証明書が含まれている場合は、サーバー証明書に続けて中間証明書を貼り付けます。
[秘密鍵ファイル]：秘密鍵ファイルを開き、その内容を貼り付けます。秘密鍵は PEM 形式である必要があります。
フォーマット例：
-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----
既存の証明書の選択
ドロップダウンリストから WAF にアップロードする証明書を選択します。
説明WAF コンソールに「[証明書チェーンの整合性の検証に失敗しました。この証明書を使用すると、サービスへのアクセスに影響が出る可能性があります]」と表示された場合、証明書チェーンが不完全です。証明書の内容が正しく、完全であることを確認してから、Certificate Management Service コンソールで再度アップロードしてください。詳細については、「SSL 証明書のアップロード、同期、共有」をご参照ください。
他のパラメーターはデフォルト設定のままにして、OK をクリックします。
(オプション) 保護対象の表示：ECS インスタンスが追加されると、WAF は自動的に
instance-id-port-asset-typeという形式の名前で保護対象を作成します。デフォルトでは、WAF はこのオブジェクトに対してコア Web 保護ルールなどの保護ルールを有効にします。 ページで保護対象を表示できます。
基本保護の検証：ブラウザで ECS インスタンス上でホストされている Web サイトにアクセスし、URL の末尾に
http://yourdomain.com/alert(xss)のような Web 攻撃テスト文字列を追加します。WAF が 405 ブロックページを返した場合、保護が機能していることを示します。
ステップ 3：HTTP フラッド攻撃からの保護ルールの設定
左側メニューで、 を選択します。
ページ下部の CC 保護 セクションで、テンプレートの作成 をクリックします。
テンプレートの作成 パネルで、次のパラメーターを設定します。
パラメーター
説明
[テンプレート名]
識別しやすいテンプレート名を入力します。
[デフォルトテンプレート]
これはオフのままにします。
[防御モード]
[通常モード]：明らかな攻撃特性を持つリクエストのみを遮断します。このモードは誤検知率が低く、日常的な運用や安定したトラフィックに適しています。
[厳格モード]：高強度の検出アルゴリズムを使用し、HTTP フラッド攻撃を効果的にブロックできますが、誤検知のリスクが高くなります。標準モードで不十分であり、応答遅延やリソース (CPU/メモリ) の異常な負荷が発生した場合にのみ、このモードを有効にすることを推奨します。
説明[厳格モード]は Web (H5 を含む) サービスにのみ適用されます。高い誤検知率を防ぐため、API エンドポイントやネイティブアプリには使用しないでください。
[Action]
リクエストが保護ルールに一致した場合の動作を定義します。JS チャレンジ を選択します。
[有効対象]
選択待ちの対象 エリアで、ECS インスタンスの保護対象を選択します。
アイコンをクリックして、選択済み エリアに移動します。
OK をクリックします。
ステップ 4：保護データの表示
設定が完了したら、左側メニューから 概要 ページに移動します。Protection Overview や Top 10 Attacks などの情報を表示して、サービスのセキュリティを分析できます。
要件に応じて、次のステップを選択します：
WAF の使用を継続 (推奨)：「高度な最適化」に進みます。
WAF の使用を停止：「リソースの解放と課金の停止」に進みます。
高度な最適化：保護の強化とコスト管理
このトピックで説明した設定をさらに調整して、特定のビジネス要件を満たし、セキュリティを強化しながらコストを削減できます。
複数モジュールの連携保護：より堅牢な防御のために、以下のモジュールと組み合わせることができます。
カスタムルール：柔軟な一致条件とアクションを使用して、特定の攻撃パターンに対する正確なルールを作成します。たとえば、レート制限を実装するために頻度制御ルールを設定できます。
ホワイトリスト：信頼できる IP アドレスからのリクエストなど、指定された基準を満たすリクエストを許可します。
IP ブラックリスト：既知の悪意のある IP アドレスからのアクセスをブロックします。
地域ブロック：特定の地理的リージョンからのリクエストをブロックします。たとえば、ビジネスが中国国内のユーザーのみを対象としており、中国以外から多数の攻撃を検出した場合、この機能を有効にできます。
高度なオンボーディングオプション：WAF は複数のオンボーディング方法を提供します。ビジネス要件に基づいて選択できます。
クラウドネイティブモードでの ECS インスタンスのオンボーディング：このトピックでは、迅速にオンボーディングを行うためにこの方法を使用しています。TLS バージョン、暗号スイート、または複数の証明書を設定する必要がある場合は、「HTTPS セキュリティの強化」をご参照ください。WAF の前に Layer 7 プロキシ (CDN など) を設定したり、トラフィックのタグ付けを設定したりする必要がある場合は、「実際のクライアント情報の取得」をご参照ください。
CNAME アクセス：ドメイン名を使用してリソースを追加します。この方法は、柔軟性が高く、制限が少なく、より広範な機能をサポートしています。
コスト最適化の提案：
SeCU Resource Plan：これは、従量課金 WAF のためのコスト最適化プランです。従量課金 WAF インスタンスを有効にした後、SeCU リソースプランを購入して、従量課金の合計料金を相殺できます。
サブスクリプション WAF：長期間 WAF を使用する予定がある場合は、サブスクリプション WAF インスタンスを購入して、より有利な単価で利用することを推奨します。
リソースの解放と課金の停止
このクイックスタートを完了した後、このチュートリアルの WAF インスタンスが不要になった場合は、次の手順に従って無効にし、課金を停止します。
課金：従量課金 WAF バージョンでは、リクエスト処理料金だけでなく、(WAF インスタンス自体の料金などの) 機能料金も発生します。課金は、リソースが追加されているかどうかにかかわらず、WAF を有効化した時点から開始されます。WAF を使用する必要がなくなった場合は、速やかに WAF インスタンスを無効にしてください。
CNAME アクセス：このトピックで説明されているクラウドネイティブオンボーディング方法のみを使用している場合は、該当しません。CNAME アクセスも設定している場合は、WAF インスタンスを終了する前に、関連ドメインの DNS レコードを、オリジンサーバーを指すように戻してください。
左側メニューから 概要 ページに移動します。上部のメニューバーで、WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。
次のページが表示された場合は、右上隅の コンソールへのアクセス をクリックします。このページが表示されない場合は、このステップをスキップしてください。
ページの右側にある [WAF サービスの終了] をクリックします。ダイアログボックスで、関連するチェックボックスを選択し、OK をクリックします。
