Web Application Firewall (WAF) のセキュリティレポートには、さまざまな WAF 保護モジュールからの保護データが表示されます。これらのレポートは、コア保護ルール、IP アドレスブラックリスト、カスタムルールなど、有効化されたルールからのデータを表示することで、サービスのセキュリティ分析に役立ちます。
前提条件
Webサービスは、保護されたオブジェクトとしてWAF 3.0に追加されます。 詳細については、「保護対象と保護対象グループの設定」をご参照ください。
ルールを有効にするには、他の保護モジュールを手動で設定する必要があります。デフォルトでは、Web コア保護ルール モジュールは手動設定なしで有効になっています。詳細については、「保護設定の概要」をご参照ください。
セキュリティレポートの表示
トラフィックの多い期間中、セキュリティレポートは動的なサンプリングとデータ復元メカニズムを使用します。システムは、平均秒間リクエスト数 (QPS) に基づいてサンプリング率を自動的に調整し、この比率を使用して総トラフィックデータを推定します。レポートには、攻撃の傾向と分布を正確に反映する、この 推定合計データ が表示されます。詳細な分析やコンプライアンス監査のために完全な生ログを取得するには、Simple Log Service を有効にしてください。
WAF のコントロールプレーンは、中国 (杭州) とシンガポールにあります。中国 (杭州) のコントロールプレーンは中国本土のインスタンスを管理し、シンガポールのコントロールプレーンは他のすべてのリージョンのインスタンスを管理します。
Web アプリケーションファイアウォール 3.0 コンソールの セキュリティレポート ページでは、レポートデータは攻撃トレンド、攻撃タイプ、上位 5 件のヒット、ログの 4 つの主要セクションに整理されています。 Basic Search または Advanced Search を使用してフィルター条件を設定し、セキュリティレポートデータを照会できます。
基本検索 | 詳細検索 |
|
|
時間範囲 (図 ①): デフォルトでは、Today のデータが表示されます。過去 15 分、過去 30 分、過去 1 時間、過去 24 時間、Today、Yesterday、Last 7 days、または Last 30 days のデータをクエリできます。 | |
カスタム日付範囲 (図 ②)：特定の期間を選択して、セキュリティレポートデータをより正確に表示できます。 | |
保護対象 (図 ③): デフォルトでは、All が選択されており、WAF に追加されたすべての保護対象のデータを照会します。また、特定のオブジェクトのデータを照会することもできます。 | フィルター条件の設定 (図 ③)：最大 10 個のフィルター条件を追加できます。 |
攻撃者の IP アドレスまたはトレース ID を入力します (図 ④)。 | N/A |
セキュリティレポートでは、最大で過去 30 日間のデータをクエリできます。より長い期間のデータを表示するには、Simple Log Service でクエリを実行してください。デフォルトでは、ログは 180 日間保持されます。ログストレージ期間の設定で、[ログのストレージ期間] を調整できます。
攻撃の傾向
[攻撃の傾向] チャートでは、アラートとブロックされたリクエストの傾向を表示できます。デフォルトでは、チャートにはすべての保護対象のデータが表示され、フィルター条件に基づいて動的に更新されます。チャート上の任意の点にカーソルを合わせると、その時点でのアラートとブロックされたリクエストの数が表示されます。
[Blocked Requests]：[ブロック] アクションによってブロックされたリクエスト、または [JavaScript 検証]、[スライダー CAPTCHA]、[厳格なスライダー CAPTCHA]、[動的トークン] などのセキュリティチェックに失敗したリクエストが含まれます。
[Alerts]：ルールに一致し、[監視] アクションをトリガーするリクエストが含まれます。
攻撃タイプ
このグラフは、保護ルールに一致した合計回数を示します。1 つのリクエストが、複数の保護モジュールまたはルールに一致する場合があります。Web コア保護ルール、IP ブラックリスト、カスタムルール、スキャン保護、HTTP Flood Protection、リージョンのブロック、BOT 管理、Data Leakage Prevention、ピークスロットリング、アカウントセキュリティ、および AI アプリケーション保護 のデータを表示できます。
円グラフの Web コア保護ルール セクションをクリックすると、コアルール内の攻撃タイプ (SQL インジェクション、XSS、コード実行など) の分布を表示できます。
円グラフ内の他の保護モジュールをクリックすると、それらの攻撃ルールの分布が表示されます。
上位 5 件のヒット
Attacker IP Address、 保護対象、 ヒットしたルール、 保護中の URL、 攻撃ソースのリージョン、および Attack User-Agent Header のヒット統計を表示します。
タイプ | 説明 | 操作 |
Attacker IP Address | 最も多くの攻撃リクエストを発信した上位 5 つの IP アドレスとその地理的エリア。 | データ項目にカーソルを合わせ、フィルタリング または 除外 をクリックしてフィルター条件を作成します。 |
保護中の URL | 最も頻繁に保護ルールに一致した上位 5 つの URL。 | |
攻撃ソースのリージョン | 最も多くの攻撃リクエストを発信した上位 5 つの地理的エリア。 | |
Attack User-Agent Header | 最も多くの攻撃リクエストを発信した上位 5 つの User-Agent ヘッダー。 | |
保護対象 | 最も頻繁に保護ルールをトリガーした上位 5 つの保護対象。 | データ項目にポインターを合わせ、フィルタリング または 除外 をクリックしてフィルター条件を作成します。View Protection Rule をクリックすると、そのオブジェクトの特定の保護ルールが表示されます。 |
ヒットしたルール | 最も頻繁に一致した上位 5 つの保護ルールの ID。 説明 1 つのリクエストが複数のルールに一致することがあります。 |
ログ
Attacker IP Address、Area、保護対象、Attack Time、ホスト、Attack URL、Protocol、Port、Request Method、Request Parameter、Rule Action、保護モジュール、ルール ID、およびAI分析 の詳細情報を表示します。 右上隅にある
アイコンをクリックして、表示される列をカスタマイズします。
攻撃イベントを見つけ、操作列の詳細はこちらをクリックすると、攻撃と一致したルールの詳細が記載されたAttack Detailsパネルが表示されます。
ログエントリが誤検知であることを確認した場合は、該当イベントの操作列で誤検知の無視をクリックします。ホワイトリストルールの条件を確認したら、OKをクリックします。
ルールが作成されると、WAF は自動的に AutoTemplate という名前のルールテンプレートを作成し、ホワイトリストルールを追加します。このルールのソースは カスタム です。
AI分析 列のアイコンをクリックすると、AI アシスタントで単一のログエントリを分析できます。この機能は現在、コア保護ルールによって生成されたログでのみご利用いただけます。その他のログタイプや、ハイブリッドクラウドデプロイメントからのログはサポートしていません。
単一のリクエストは、複数の保護モジュールまたはルールに一致することがあります。ルールID 列の値にカーソルを合わせるか、詳細 をクリックすると、一致したルール ID を表示できます。
