Web Application Firewall:ECS インスタンスの WAF 保護の有効化

仕組み

WAF は透過プロキシを介してトラフィックをインターセプトします。ECS インスタンスにトラフィック転送ポートを設定すると、そのポート上のすべての HTTP/HTTPS トラフィックが WAF を経由してルーティングされます。悪意のあるリクエストはブロックされ、正当なリクエストはオリジンに渡されます。指定されたポート上のすべてのドメイン (ドメイン名のない IP のみのサービスを含む) が保護されます。

前提条件

ご利用の ECS インスタンスが以下の要件を満たさない場合は、CNAME 接続タイプをご利用ください。

• パブリック IP アドレス：インスタンスにはパブリック IP アドレス (固定または EIP) が必要です。NAT ゲートウェイのみのインスタンスはサポートされていません。

• アカウント：マルチアカウント管理を設定していない限り、ECS インスタンスと WAF インスタンスは同じ Alibaba Cloud アカウントに属している必要があります。

• リージョン：

  • 中国本土の WAF インスタンス：中国 (成都)、中国 (北京)、中国 (張家口)、中国 (杭州)、中国 (上海)、中国 (深セン)、中国 (青島)。

  • 中国本土以外の WAF インスタンス：中国 (香港)、マレーシア (クアラルンプール)、インドネシア (ジャカルタ)、シンガポール。

クイックスタート

1. コンソールへ移動：

   Web Application Firewall 3.0 コンソールにログインします。トップメニューバーで、リソースグループとリージョン (中国本土 または 中国本土以外) を選択します。左側のナビゲーションウィンドウで、アクセス管理 をクリックします。クラウドプロダクトアクセス タブを選択します。左側のクラウド製品リストで、Elastic Compute Service (ECS) を選択します。

2. WAF にクラウドリソースへのアクセスを承認 (初回設定時)：

   画面の指示に従い、今すぐ許可する をクリックして必要な権限を付与します。 作成された AliyunServiceRoleForWAF サービスリンクロールは、RAM コンソールの [ID 管理] > [ロール] ページで確認できます。

3. ECS インスタンスの追加：

   1. 右側のリストでターゲットの ECS インスタンスを見つけ、その WAF 保護ステータスを確認します。操作 列で、今すぐアクセスする をクリックします。インスタンスが見つからない場合は、ページの右上隅にある 資産の同期 をクリックします。それでもインスタンスが見つからない場合は、前提条件を満たしていません。

   2. インスタンスとポートの選択 セクションで、操作 列の ポートの追加 をクリックします。表示される ポートの追加 パネルで、Web サイトのポートとプロトコルの種類に基づいて設定を行います。

      説明

      一度に追加できるポートは 1 つだけです。複数のポートを追加するには、ポートごとにこのステップを繰り返してください。

      • 標準ポート (デフォルト)：URL には表示されません。

        • HTTP：例：http://yourdomain.com はポート 80 を使用します。

        • HTTPS：例：https://yourdomain.com はポート 443 を使用します。

      • 非標準ポート：ドメイン名の後に ドメイン名:ポート番号 の形式で表示されます。

        • HTTP：例：http://yourdomain.com:8080 はポート 8080 を指定します。

        • HTTPS：例：https://yourdomain.com:8443 はポート 8443 が使用されることを示します。

        説明

        Web サーバーの設定ファイル (例：nginx.conf) を確認してポートを特定してください。

      HTTP Web サイト

      1. Port フィールドに、Web サイトが使用するポートを入力します。

      2. プロトコルタイプ で、HTTP を選択します。

      HTTPS Web サイト

      1. Port フィールドに、Web サイトが使用するポートを入力します。

      2. プロトコルタイプ で、HTTPS を選択します。

      3. HTTP/2、TLS バージョン、暗号スイート、または追加証明書 (複数の証明書の場合) をカスタマイズするには、「HTTPS のセキュリティ強化」をご参照ください。それ以外の場合は、デフォルト設定を維持します。

      4. デフォルト証明書 セクションで、証明書をアップロードする方法を選択します：

         • アップロード：証明書が Certificate Management Service (Original SSL Certificate) にない場合、このオプションを使用します。

         • 既存の証明書の選択：Certificate Management Service (Original SSL Certificate) によって発行またはアップロードされた証明書を選択します。

           アップロード

           • 証明書名：証明書の一意の名前を入力します。名前は既存の証明書と同じにすることはできません。

           • 証明書ファイル：証明書ファイルをテキストエディターで開き、PEM、CER、または CRT 形式の証明書の全内容を貼り付けます。

             フォーマット例：-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • フォーマット変換：証明書が PFX や P7B などの形式である場合、証明書ツールを使用して PEM 形式に変換します。

             • 証明書チェーン：中間証明書が含まれている場合は、サーバー証明書の次に中間証明書を貼り付けます。

           • 秘密鍵ファイル：秘密鍵ファイルをテキストエディターで開き、秘密鍵の全内容を PEM 形式で貼り付けます。

             フォーマット例：-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           既存の証明書の選択

           証明書のドロップダウンリストから、WAF にアップロードしたい証明書を選択します。

           説明

           WAF コンソールに「証明書チェーンの整合性の検証に失敗しました。この証明書を使用すると、サービスへのアクセスに影響が出る可能性があります」というメッセージが表示された場合、証明書チェーンに問題があります。証明書の内容が正しく完全であることを確認し、証明書管理サービスコンソールで再アップロードしてください。詳細については、「SSL 証明書のアップロード、同期、共有」をご参照ください。

   3. WAF の前にあるレイヤー 7 プロキシ (CDN など) の設定、X-Forwarded-Proto ヘッダー制御、およびトラフィックマークを設定するには、「クライアントの実際の情報の取得」をご参照ください。バックツーオリジンタイムアウトとバックツーオリジンキープアライブを設定するには、「バックツーオリジン接続品質の最適化」をご参照ください。それ以外の場合は、OK をクリックしてデフォルト設定を適用します。

4. 保護の検証：

   設定後、Web サイトにアクセスし、URL にテストペイロードを追加します (例：http://yourdomain.com/alert(xss))。405 ブロックページが表示されれば、WAF 保護が有効であることが確認できます。

5. 保護ルールの表示と設定：

   WAF は、インスタンス ID-ポート-アセットタイプ という名前の保護対象を作成し、デフォルトの保護ルール (Web コア保護など) を有効にします。これは 保護設定 > 保護対象 ページで表示できます。ルールをカスタマイズする (特定の IP アドレスをホワイトリストに登録するなど) には、「保護設定の概要」をご参照ください。

HTTPS のセキュリティ強化

• HTTP/2

  ポートの追加 ページで、HTTP2リスニング を選択してこの機能を有効にします。

• TLS バージョン

  ポートの追加 ページの TLS バージョン セクションで、オプションを選択します。

  • TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。

  • TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております：TLS 1.0 プロトコルのみを使用する古いクライアントは、Web サイトにアクセスできなくなります。

  • TLS 1.2 以上をサポートします。互換性と安全性が優れています。：最新のセキュリティコンプライアンス要件を満たしますが、TLS 1.0 または 1.1 プロトコルのみを使用する古いクライアントは、Web サイトにアクセスできなくなります。

  • TLS 1.3 のサポートを有効化します。：Web サイトが TLS 1.3 プロトコルをサポートしている場合は、このチェックボックスを選択します。デフォルトでは、WAF は TLS 1.3 を使用するクライアントリクエストをリッスンしません。

• 暗号スイート

  ポートの追加 ページの 暗号スイート セクションで、オプションを選択します。

  • すべての暗号スイート (高い互換性、低い安全性)

  • カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)：Web サイトが特定の暗号スイートを必要とする場合は、このオプションを選択し、必要なスイートを選択します。

    強力な暗号スイート	脆弱な暗号スイート
    ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

    説明

    • 暗号スイートのセキュリティに関する注意：ECDHE-RSA-AES128-SHA256 および ECDHE-RSA-AES256-SHA384 暗号スイートは、キー交換に ECDHE、認証に RSA、暗号化に AES-CBC を使用します。AES-GCM などの認証付き暗号化モードを使用する暗号スイートと比較して、これらはセキュリティとパフォーマンスが低くなります。一部のセキュリティスキャンツールは、これらを脆弱な暗号スイートとしてフラグを立てる場合があります。この場合、カスタム暗号スイートを使用し、これら 2 つのスイートを手動で除外してください。

    • 暗号スイートの命名規則：WAF は OpenSSL 形式で暗号スイートを表示しますが、一部のスキャンツールは IANA の命名規則を使用する場合があります。たとえば、OpenSSL の ECDHE-ECDSA-AES256-SHA384 は、IANA の TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 に対応します。マッピングを調べるには、ciphersuite.info にアクセスするか、別の TLS 暗号スイート検索ツールを使用してください。

• 追加証明書

  ポートの追加 ページの 拡張証明書 セクションで、証明書をアップロードします。アップロード方法は デフォルト証明書 と同じです。

  説明

  複数の追加証明書を追加する場合、すべての証明書が有効である必要があります。いずれかの証明書が期限切れの場合、操作は失敗します。

クライアントの実際の情報の取得

• WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)

  今すぐアクセスする ページで、WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など) セクションの設定を行います。

  他のプロキシなし

  リクエストがクライアントから WAF に直接送信されることを示します。

  他のプロキシ

  リクエストが別のレイヤー 7 プロキシから WAF に転送されることを示します。また、クライアント IP の取得方法 を指定する必要があります。

  • X-Forwarded-For フィールドのファースト IP アドレスをクライアントのソースアドレスにする

    このオプションを選択すると、WAF は以下の優先順位でソース IP を取得します：

    1. X-Real-IP リクエストヘッダーの値。

    2. X-Real-IP ヘッダーが存在しない場合、X-Forwarded-For (XFF) ヘッダーの最初の IP アドレス。

  • 【推奨】偽装 XFF を回避するために、指定したヘッダの最初の IP アドレスをクライアント送信元 IP アドレスとする

    説明

    アップストリームプロキシサービスを設定して、ソース IP アドレスを X-Real-IP や X-Client-IP などの指定されたヘッダーフィールドに書き込むことを推奨します。指定されたヘッダーを使用することで、攻撃者が XFF ヘッダーを偽装して WAF をバイパスするのを防ぎます。

    ヘッダフィールド ボックスに、1 つ以上のヘッダーフィールドを入力します。各フィールドの後に Enter キーを押します。WAF は以下の優先順位でソース IP を取得します：

    1. 入力された順序で、指定された ヘッダフィールド。

    2. 指定されたヘッダーのいずれも存在しない場合、X-Real-IP ヘッダーの値。

    3. X-Real-IP ヘッダーも存在しない場合、XFF ヘッダーの最初の IP アドレス。

  • Proxy ProtocolヘッダーのClient IPをクライアント送信元IPとして取得：アップストリームプロキシで Proxy Protocol が有効になっている場合、このオプションを選択して元のクライアント IP を抽出できます。この方法はトランスポート層でソース IP を送信するため、HTTP 層で偽装することはできません。この方法は、ソース IP の信頼性が高いレベルで要求されるシナリオに最適です。Proxy Protocol にクライアント IP が含まれていない場合、WAF はアップストリームプロキシの IP アドレスをソース IP として使用します。

• トラフィックマークの有効化

  今すぐアクセスする ページで、詳細設定 を展開し、トラフィックマークの有効化 を選択し、タグフィールドを設定します。

  • カスタムヘッダ：ヘッダ名 と ヘッダ値 を設定することで、WAF はこのヘッダーをバックツーオリジンリクエストに追加し、WAF によって処理されたことを識別します。

    たとえば、WAF-TAG: Yes と設定します。ここで WAF-TAG はヘッダー名、Yes は値です。オリジンサーバーはこのヘッダーを検証やアクセスの制御ポリシーに使用できます。

    重要

    User-Agent などの標準的な HTTP ヘッダーフィールドは使用しないでください。これにより、標準ヘッダーフィールドの内容がカスタム値で上書きされます。

  • リアル送信元 IP アドレス：クライアントの実際のソース IP アドレスを含むヘッダーフィールドを設定します。WAF はこのヘッダーを記録し、オリジンサーバーに渡します。IP 抽出ルールは、「WAF の前にレイヤー 7 プロキシ (Anti-DDoS Proxy や CDN など) がデプロイされていますか？」のルールと一致します。

  • ソースポート：クライアントの実際の送信元ポートを含むヘッダーフィールドを設定します。WAF はこのヘッダーを記録し、オリジンサーバーに渡します。

• X-Forwarded-Proto ヘッダーフィールドを使用して WAF のリスニングプロトコルを取得する

  今すぐアクセスする ページで、詳細設定 を展開し、X-Forwarded-Proto ヘッダーフィールドを使用して WAF のリスニングプロトコルを取得する を選択します。

バックツーオリジン接続の最適化

• 読み取りおよび書き込み接続タイムアウトの設定

  今すぐアクセスする ページで、詳細設定 を展開し、以下の設定を行います。

  • 読み取り接続タイムアウト期間：オリジンサーバーの応答を待つタイムアウト。レポートのエクスポートやバッチ処理などの遅いインターフェイスの場合は値を増やします。デフォルト：120 秒。範囲：1 秒～3,600 秒。

  • 書き込み接続タイムアウト期間：WAF がオリジンサーバーにリクエストを送信するタイムアウト。オリジンの負荷が非常に高い場合にのみ値を増やします。デフォルト：120 秒。範囲：1 秒～3,600 秒。

• Back-to-origin の持続的接続

  重要

  この機能が無効になっている場合、バックツーオリジンキープアライブ接続は WebSocket プロトコルをサポートしません。

  今すぐアクセスする ページで、詳細設定 を展開します。Back-to-origin の持続的接続 セクションで、この機能を有効にし、以下の設定を行います。

  • 持続的接続の復元リクエスト数：デフォルト：1,000。範囲：60～1,000。Nginx の keepalive_requests に対応します。Nginx ドキュメント。

  • アイドル時の長時間の接続タイムアウト：デフォルト：3,600 秒。範囲：10 秒～3,600 秒。Nginx の keepalive_timeout に対応します。

アップロードファイルサイズの制御

アップロードファイルサイズ制限 (Ultimate Edition のみ)

• 説明：WAF はデフォルトで最大 2 GB のファイルアップロードをサポートします。Ultimate Edition ではこの制限を調整できます。

• 手順：今すぐアクセスする ページで、詳細設定 を展開し、アップロードファイルサイズ制限 を設定します。デフォルト値は 2 GB で、最大値は 10 GB です。設定後、読み取り接続タイムアウト期間 と 書き込み接続タイムアウト期間 の値も増やす必要があります。

リソース管理

リソースグループ

• 説明：リソースグループは管理と権限設定を簡素化します。指定しない場合、インスタンスは 既定のリソース グループ を使用します。詳細については、「リソースグループ」をご参照ください。

• 手順：今すぐアクセスする ページの リソースグループ セクションで、ドロップダウンリストからインスタンスのリソースグループを選択します。

本番環境でのベストプラクティス

本番環境の ECS インスタンスをオンボーディングする際は、以下のプラクティスに従ってください。

• HTTPS 設定：ECS インスタンスに証明書をデプロイし、以下の設定を行います。

  • 証明書ファイルを Certificate Management Service (Original SSL Certificate) にアップロードします。

  • HTTPS トラフィック転送ポートを設定します。TLS バージョンを 1.2 以降に設定します。

  • 証明書の有効期限が切れる前に更新するために、「SSL 証明書の通知を設定する」をご参照ください。

• 段階的な展開：まず、オフピーク時間帯に非本番環境の ECS インスタンスを追加します。一定期間サービスが正常に動作することを確認した後、本番環境の ECS インスタンスを追加します。

• サービスの確認：オンボーディング後、サービスが正常に動作することを確認します：

  • ログの確認：ログ内の 200 ステータスコードの割合に大きな変動がないか確認し、QPS の急激な増減を探します。WAF ログサービスを有効にしている場合は、「WAF ログ」をご参照ください。

  • アプリケーションの監視：ユーザーアクセスやトランザクション数など、コアアプリケーション機能が期待どおりに動作するかどうかを確認します。

• メンテナンス：攻撃や誤検知を継続的に監視します。

  • イベント処理：攻撃やセキュリティイベントに関する情報を常に把握するために、「セキュリティレポート」を確認し、「CloudMonitor 通知を設定する」をご参照ください。

  • ルールの調整：正当なビジネスリクエストが誤ってブロックされていないか判断するために、攻撃ログを継続的に監視し、それに応じて保護ルールを調整します。

クォータと制限事項

• ポートの制限：トラフィック転送ポートの総数は、WAF インスタンスのクォータを超えることはできません。

  • WAF サブスクリプションインスタンス：Basic Edition (最大 300)、プロ版 (最大 600)、Enterprise Edition (最大 2,500)、Ultimate Edition (最大 10,000)。

  • WAF 従量課金インスタンス：最大 10,000。

• Anti-DDoS Proxy：Anti-DDoS Proxy を使用する場合、トラフィックは WAF に到達する前にそれを通過する必要があります。Web サイト設定 (レイヤー 7) モードで Anti-DDoS Proxy インスタンスを設定します。

• サポートされていないシナリオ：

  • ECS インスタンス上の IPv6 Web サイトの保護。

  • WAF での強制 HTTPS リダイレクトの設定。

  • GM/T (SM) アルゴリズム証明書のアップロード。

追加したい ECS インスタンスが見つからないのはなぜですか？

まず、アクセス管理 ページの右上隅にある 資産の同期 をクリックしてみてください。

それでもインスタンスが見つからない場合は、前提条件を満たしていません。たとえば、中国本土以外のリージョンにある ECS インスタンスは、クラウドネイティブオンボーディング方法を使用するために 中国本土以外のリージョンの WAF インスタンスが必要です。または、CNAME 接続タイプを使用してください。

WAF は FTP や SSH などの Web 以外のトラフィックを保護できますか？

いいえ。WAF は HTTP および HTTPS の Web トラフィックのみを保護します。FTP や SSH などの他のプロトコルを使用するトラフィックは保護できません。

クラウドネイティブオンボーディング方法でサポートされているポートは何ですか？

クラウドネイティブ方法は、1 から 65535 までの任意のポートをサポートします。詳細については、「WAF がサポートするポート範囲」をご参照ください。

ECS インスタンス上のドメインは、クラウドネイティブと CNAME の両方のオンボーディング方法を同時に使用できますか？

推奨されません。各ドメインは、クラウドネイティブまたは CNAME のいずれか 1 つの方法のみを使用すべきです。両方を使用すると転送の競合が発生します。CNAME からクラウドネイティブに切り替えるには、DNS レコードをオリジンに戻し、伝播を待ってから CNAME 設定を削除し、その後クラウドネイティブ経由でオンボーディングします。

ドメインが複数の ECS インスタンスに解決される場合、どのように保護を追加しますか？

• クラウドネイティブ方法を使用する：これらの ECS インスタンスをそれぞれ個別に追加して、WAF がすべてのターゲットインスタンスにトラフィックを誘導するようにします。

• CNAME 接続タイプを使用する：CNAME 接続タイプを使用してドメインを追加し、複数の ECS インスタンスのパブリック IP アドレスをオリジンアドレスとして設定します。

複数のドメインが単一の ECS インスタンスに解決される場合、どのように保護を追加しますか？

• クラウドネイティブ方法を使用する：ECS インスタンスを追加すると、そのインスタンス上のすべてのドメインがデフォルトのポリシーで保護されます。ドメインごとに異なる保護ルールを設定するには、各ドメインを個別の保護対象として手動で追加します。詳細については、「保護対象の追加」をご参照ください。

• CNAME 接続タイプを使用する：各ドメインを 1 つずつ追加します。