すべてのプロダクト
Search

このプロダクト

    Web Application Firewall:アプリケーション設定

    ドキュメントセンター

    Web Application Firewall:アプリケーション設定

    最終更新日:Jan 21, 2025

    Runtime Application Self-Protection (RASP) エージェントがアプリケーションに統合された後、アプリケーション保護機能は悪意のある動作や脅威を監視して防御し、アプリケーションが安定して継続的に実行されるようにします。 このトピックでは、アプリケーション保護機能にアプリケーションを追加する方法について説明します。

    RASPエージェント

    サポート対象アプリケーション

    アプリケーション用にインストールされたRASPエージェントを使用して攻撃を検出するアプリケーション保護機能は、特定の条件を満たすJavaおよびPHPプロセスをサポートします。 RASPエージェントは、次の条件を満たすプロセスにのみインストールできます。

    • Javaプロセス

      • JDKサポート範囲: JDK 13および14を除くJDK 6以上、およびJDK 8アップデート40 (1.8.0_40) 未満のバージョンをサポートします。

      • ミドルウェアのサポート範囲: Tomcat、SpringBoot、Jboss、WildFly、Jetty、Resin、Weblogic、Websphere、Liberty、Netty、GlassFish、国内ミドルウェアなど、ミドルウェアの種類とバージョンに特定の要件はありません。

      • オペレーティングシステムサポート: Linux (64ビット) およびWindows (64ビット) 。

    • PHPプロセス

      • PHPバージョンのサポート範囲: 7.0から8.3のバージョンで、tsバージョンと非tsバージョンの両方をサポートします。

      • SAPI (サーバーアプリケーションプログラミングインターフェイス) のサポート範囲: PHP-FPM (FastCGIプロセスマネージャー) およびApache PHPモジュール。

      • オペレーティングシステムのサポート: Linux x86アーキテクチャ (64ビット) のみ。

      • システムライブラリの依存関係: glibc 2.14以上、libstdc ++ 3.4.19以上。

    リソース使用量のしきい値

    サーバー、コンテナー、またはJava仮想マシン (JVM) のリソース使用量が特定のしきい値を超えると、システムはリソース使用量がしきい値を下回るまでRASPエージェントをインストールしません。 これにより、アプリケーション保護機能が期待どおりに実行されます。 この制限は、手動アクセス方法には適用されません。 次のリストは、関連するしきい値について説明します。

    • サーバーまたはコンテナーのCPU使用率が98% を超えているか、メモリ残量が200 MB未満です。

    • 残りのJVMヒープメモリが150 MB未満、またはメタデータスペースが5 MB未満です。

    前提条件

    • サーバー上のSecurity Centerエージェントがオンラインです。

      サーバー上のSecurity Centerエージェントがオンラインかどうかを確認するには、次の手順を実行します。Security Centerコンソールにログインします。 アセットセンター > ホストアセット ページに移動します。 [サーバー] タブをクリックします。 サーバーを見つけて、クライアント 列にアイコンを表示します。 アイコンは、image..pngSecurity Centerエージェントがオンラインであることを示します。 Security Centerエージェントがオフラインの場合、問題をトラブルシューティングできます。 詳細については、「Security Centerエージェントがオフラインになっている理由のトラブルシューティング」をご参照ください。

    • AliyunYundunWAFFullAccessおよびAliyunYundunSASFullAccessポリシーは、使用するRAM (Resource Access Management) ユーザーにアタッチされます。 RAMユーザーに権限を付与する方法の詳細については、「RAMユーザーに権限を付与する」をご参照ください。

    ステップ1: アプリケーション保護機能に追加できるアプリケーションを確認する

    アプリケーション保護は、実行中のJavaおよびPHPアプリケーションをサポートします。 アプリケーション保護ライセンスを購入する前に、次の手順に従ってアクセス可能なアプリケーションの数と詳細を表示できます。

    1. WAF 3.0コンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスのリソースグループとリージョンを選択します。 中国本土 または 中国本土以外 を選択できます。

    2. 左側のナビゲーションウィンドウで、保護設定 > RASP を選択します。

    3. Protection Statistics セクションで、今すぐスキャン をクリックします。

      今すぐスキャン をクリックすると、Security Centerエージェントはアセットのプロセスに関する情報を収集します。

      説明

      Security Centerエージェントは、Security Centerの基本版、付加価値プラン、ウイルス対策版、またはAdvancedエディションで、1日に1回のみ情報を収集できます。

    4. アセットのアプリケーションプロセスの数を表示します。 番号をクリックすると、アプリケーションプロセスのリストを表示できます。 このリストには、各認定アプリケーションプロセスのサーバー情報、プロセス名、プロセス識別子 (PID) 、および起動パラメーターが表示されます。

      重要

      アプリケーションプロセスがアプリケーション保護機能に追加されると、機能のクォータが1だけ差し引かれます。 プロセスの数は動的に変化します。 スキャン中に実行されているプロセスのみがカウントされます。 プロセス数に基づいて、アプリケーション保護機能のために購入する必要があるクォータを見積もることができます。

      image

    ステップ2: アプリケーション保護機能のクォータを購入する

    十分なクォータがある場合にのみ、アプリケーション保護機能を使用できます。 Security Centerを購入したら、必要なエディションとアプリケーション保護機能のクォータを選択します。 詳細については、「セキュリティセンターの購入」をご参照ください。

    説明

    • Security Centerの無料トライアルは、10のアプリケーション保護クォータを無料でサポートしています。 Security Centerを購入していない場合は、無料トライアルを申請できます。 詳細については、「セキュリティセンターの7日間の無料トライアルの申請」をご参照ください。

    • PHPプロセスを追加すると、1つのマスタープロセス (つまり、中央プロセス) が1つのクォータを消費します。

    ステップ3: アプリケーション保護機能にアプリケーションを追加する

    アプリケーション保護機能は、アプリケーショングループごとにwebサービスプロセスを保護します。 アプリケーション保護機能を使用する前に、アプリケーショングループを作成し、保護するアプリケーションプロセスをアプリケーショングループに追加し、アプリケーショングループの統合保護ポリシーを構成する必要があります。

    1. アプリケーショングループの作成

    1. WAF 3.0コンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスのリソースグループとリージョンを選択します。 中国本土 または 中国本土以外 を選択できます。

    2. 左側のナビゲーションウィンドウで、保護設定 > RASP を選択します。

    3. 表示されるページで、アプリケーションの設定 タブをクリックします。 次に、アプリケーショングループの作成 をクリックします。

    4. アプリケーショングループの作成 ページで、作成するアプリケーショングループの名前を入力し、JavaまたはPHPとしてアプリケーション言語を選択し、備考を追加して、次へ をクリックします。

      保護するプロセスに基づいて名前を入力することをお勧めします。 アプリケーショングループ名は重複できません。 アプリケーション言語は選択後に変更できません。

      前の手順を完了すると、アプリケーショングループが作成されます。

    2. 自動アクセスまたは手動アクセス方法を使用してアプリケーションを追加する

    アクセス方法

    アプリケーション保護機能は、自動アクセスおよび手動アクセス方法をサポートします。 次の表にメソッドを示します。

    方法

    説明

    シナリオ

    サーバーとコンテナーの自動アクセス (Javaアプリケーションのみサポート)

    自動アクセス方法では、サーバーを追加して、保護のためにサーバーにすべての認定アプリケーションを追加できます。 アプリケーション保護機能にサーバーを追加した後、この機能はJVMアタッチ機能を使用して、サーバーまたはコンテナー上のポートでリッスンしている修飾されたJavaプロセスを識別して追加します。 このようにして、アプリケーションは保護される。

    自動アクセス方法を使用すると、アプリケーションの実行中にアプリケーション保護機能が動的にロードおよびアンロードされます。 これにより、プロセスを再起動することなくビジネスの継続性が保証されます。

    自動アクセス方式でアプリケーショングループにサーバを追加しない場合は、自動アクセス方式でサーバを追加できます。

    説明

    サーバーで実行されるプロセスが自動的にアプリケーショングループに追加され、プロセスを別のアプリケーショングループに移行する場合は、サーバーのアプリケーション保護機能を無効にし、現在のアプリケーショングループからサーバーを削除してから、自動アクセス方法を使用してサーバーを新しいアプリケーショングループに追加できます。

    手動アクセス

    手動アクセス方法では、保護のために単一のアプリケーションを追加できます。 アプリケーション保護機能にアプリケーションを手動で追加し、アプリケーションを再起動する必要があります。

    • PHPアプリケーションを使用します。

    • WebSphereフレームワークをJavaアプリケーションに使用する場合は、手動アクセス方法を使用する必要があります。

    • サーバー上の特定のプロセスが自動的にアプリケーショングループに追加され、サーバー上で保護されていない他のプロセスを別のアプリケーショングループに追加する場合は、この方法を使用できます。

    • サーバーを複数のアプリケーショングループに追加する場合は、手動アクセス方法を使用する必要があります。

    • Javaプロセスがポートでリッスンしていない場合は、手動アクセス方法を使用できます。

    自動アクセス

    重要

    • アプリケーション保護機能にアプリケーションを初めて追加するときは、オフピーク時に操作を実行することをお勧めします。 また、カナリアリリースポリシーを使用して、アプリケーションをバッチで追加し、メトリックを観察することをお勧めします。 自動アクセス方法を使用してアプリケーションプロセスを追加する場合、RASPは監視コードまたは保護コードを挿入してアプリケーションプロセスを追跡します。 この場合、最適化解除の影響により、CPUリソースは約30秒間多く利用されます。 高いCPU使用率の平均持続時間は10〜20秒です。 大きな用途では、衝撃は数分間続くことがある。 アプリケーションが追加されると、CPU使用率は自動的に低下します。

    • サーバーは、1つのアプリケーショングループにのみ自動的に追加できます。 自動アクセス方法を使用する場合、既存のアプリケーショングループに自動的に追加されない64ビットサーバーのみを選択できます。

    • 手動アクセス方式を使用して追加されたサーバーに対しては、自動アクセス方式を使用できます。 サーバーからRASPエージェントをアンインストールすると、サーバーは自動的にアプリケーション保護機能に追加されます。

    • 自動アクセス方法は、ポートでリッスンしているJavaプロセスでサポートされています。 Javaプロセスがポートをリッスンしていない場合は、手動アクセス方法を使用する必要があります。

    1. アプリケーション保護への自動 / 手動アクセス ページの 自動アクセス タブで、アセットアクセスアプリケーション保護の選択 をクリックします。

    2. Select Asset パネルで、追加するアセットを選択し、OK をクリックします。

      サーバーを選択すると、アプリケーション保護機能により、サーバーまたはサーバー上でホストされているコンテナー上のJavaプロセスが自動的に識別され、追加されます。 プロセスを再起動する必要はありません。 一度に最大50台のサーバーを選択できます。

    3. 追加するサーバーの数に基づいて、次の操作を実行します。

      • サーバーを1つだけ追加する場合は、サーバーの [アプリケーション保護] 列のスイッチをオンにします。 RASPエージェントのインストール後、[次へ] をクリックします。

        自动接入控制台截图

      • 複数のサーバーを追加する場合は、サーバーを選択し、[保護の一括有効化] をクリックし、[次へ] をクリックします。

        一度に最大100台のサーバーを選択できます。

      サーバーの アプリケーション保護 列でスイッチをオンにするか、複数のサーバーを選択して [保護の一括有効化] をクリックすると、選択したサーバーのJavaプロセスが自動的に識別され、アプリケーション保護に追加されます。 このプロセス中、[アプリケーション保護] 列にインストールが表示されます。 このプロセスは、完了するのに約10分を要する。 期間は、ネットワーク環境によって異なります。 サーバー上で複数のJavaプロセスが実行されている場合、Security Centerは一度にプロセスを追加します。

      Javaプロセスが追加されると、アプリケーション保護 列のスイッチがオンになります。 アプリケーションインスタンスの保護ステータスは、アプリケーション保護アクセスステータス 列で確認できます。 アプリケーショングループ内のJavaプロセスは、アプリケーションインスタンスと見なされます。 次のリストに、アプリケーション保護アクセスステータス 列の有効な値を示します。

      • 未接続: サーバーのアプリケーション保護機能が無効になっています。

      • 失敗: サーバー上のすべてのプロセスをアプリケーション保護機能に追加できませんでした。

      • 一部のアクセス: サーバー上のいくつかのプロセスがアプリケーション保護機能に追加されましたが、サーバー上の他のプロセスはアプリケーション保護機能に追加できませんでした。

      • すべてのアクセス: サーバー上のすべての修飾プロセスがアプリケーション保護機能に追加されるか、サーバー上に修飾プロセスが存在しません。

        説明

        [保護ステータス] 列に すべてのアクセス が表示され、サーバーに資格のあるプロセスが存在しない場合、またはサーバー上のプロセスがアプリケーション保護機能でサポートされていない場合、[アクセスの詳細] パネルのリストは空になります。 その後、修飾されたプロセスがサーバー上で実行されると、プロセスが自動的に追加されます。

      操作する 列の [詳細] をクリックすると、追加されたJavaプロセスのステータスが表示されます。

      説明

      アプリケーショングループのアプリケーションアクセスホワイトリストを設定した場合、ホワイトリストルールに一致しないプロセスはスキップされます。

      接入详情

    サーバーの手動アクセス

    [自動 /手動アクセス] ページの [手動アクセス] タブで、[ホストアクセスガイド] タブの指示に従ってRASPエージェントをインストールし、アプリケーションを再起動します。 [次へ] をクリックします。

    アプリケーションを再起動する前に、アプリケーションのランタイム環境に基づいて関連する展開を完了する必要があります。 次の表に、さまざまなランタイム環境でのデプロイのパラメーター設定を示します。 次の表にミドルウェアが含まれていない場合は、{appId} を、パラメーターを設定するときに ホストのアクセスガイド タブに表示されるアプリケーションIDに置き換える必要があります。 アプリケーションIDの位置を次の図に示します。 应用ID位置

    ランタイム環境

    パラメーター設定

    Linux上のTomcat

    次の設定を {Tomcatインストールディレクトリ}/bin/setenv.shファイルに追加します。 

    export CATALINA_OPTS="$CATALINA_OPTS -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar"

    <Tomcatインストールディレクトリ>/bin /ディレクトリにsetenv.sh設定ファイルが含まれていない場合は、<Tomcatインストールディレクトリ>/bin /ディレクトリにファイルを作成します。

    WindowsのTomcat

    次の設定を <Tomcatインストールディレクトリ>\bin\setenv.batファイルに追加します。 

    set CATALINA_OPTS=%CATALINA_OPTS% "-javaagent:C:\Program Files (x86)\Alibaba\Aegis\rasp\apps\{appId}\rasp.jar"

    <Tomcatインストールディレクトリ>\bin \ディレクトリにsetenv.bat設定ファイルが含まれていない場合は、<Tomcatインストールディレクトリ>\bin \ディレクトリにファイルを作成します。

    桟橋

    次の設定を {JETTY_HOME}/start.ini設定ファイルに追加します。 

    --exec -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar

    春のブーツ

    -javaagentパラメーターをSpring Bootプロセスの起動コマンドに追加します。 

    java -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar

    たとえば、次のコマンドはSpring Bootプロセスの元の起動コマンドです。

    java -jar app.jar

    Spring Bootプロセスを開始してRASPエージェントをインストールする前に、startupコマンドを次のコマンドに変更する必要があります。

    java -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar -jar app.jar
    重要

    -javaagentパラメーターが-jarパラメーターの前に配置されていることを確認してください。

    JBossまたはWildFly

    • スタンドアロンモード

      <JBossインストールディレクトリ>/bin/standalone.shファイルを開き、以下の内容を追加します。# 環境を表示します。

      JAVA_OPTS="${JAVA_OPTS} -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar"

    • ドメインモード

      <JBossインストールディレクトリ>/domain/configuration/domain.xmlファイルを開き、<server-groups> タグを見つけます。 次に、RASPエージェントをインストールする <server-group> タグの <jvm> タグを見つけ、次の内容を追加します。

      <jvm-options>
   <option value="-javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar"/>
</jvm-options>

    自由

    <Libertyインストールディレクトリ>/${server.config.dir} ディレクトリに移動します。 デフォルトのディレクトリは /opt/ibm/wlp/usr/servers/defaultServer/jvm.optionsです。 jvm.optionsファイルを作成または変更するときは、次の内容をファイルに追加します。

    -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar

    樹脂

    • Resin3

      <Resinインストールディレクトリ>/conf/resin.confファイルを開きます。 <server-default> タグで <jvm-arg> タグを見つけて、次の内容を追加します。

      <jvm-arg>-javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar</jvm-arg>

    • Resin4

      <Resinインストールディレクトリ>/conf/cluster-default.xmlファイルを開きます。 <server-default> タグで <jvm-arg-line> タグを見つけて、次の内容を追加します。

      <jvm-arg>-javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar</jvm-arg>

    また、[レコードのプッシュ] タブの [RASPエージェントのプッシュ] をクリックして、アプリケーションが実行されているサーバーまたはコンテナーにRASPエージェントをプッシュし、サーバーまたはコンテナーにエージェントをインストールすることもできます。

    コンテナの手動アクセス

    [自動 /手動アクセス] ページの [手動アクセス] タブで、[コンテナの追加] タブの指示に従ってRASPエージェントをインストールし、コンテナを再起動します。 [次へ] をクリックします。

    コンテナを再起動する前に、コンテナのランタイム環境に基づいて関連するデプロイを完了する必要があります。 次の表に、さまざまなランタイム環境でのデプロイのパラメーター設定を示します。 次の表にミドルウェアが含まれていない場合は、{manager.key} を、パラメーターの設定時に [コンテナの追加] タブに表示されるDmanager.keyの値に置き換える必要があります。

    ランタイム環境

    パラメーター設定

    SpringBoot

    イメージのパッケージ化時にRASPエージェントをインストールするには、Dockerfileの起動パラメーターを変更し、アプリケーションの起動コマンドを変更します。

    変更前のスタートアップコマンド:

    CMD ["java","-jar","/app.jar"]

    変更後のスタートアップコマンド:

    CMD ["java","-javaagent:/rasp/rasp.jar","-Dmanager.key={manager.key}","-jar","/app.jar"]

    Tomcat

    • イメージのパッケージ化時にRASPエージェントをインストールするには、次の設定をDockerfileに追加します。 

      ENV JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}"

    • コンテナーの起動時にRASPエージェントをインストールするには、次のパラメーターをstartupコマンドに追加します。 

      docker --env JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}"

    たとえば、コンテナーの元の起動コマンドはdocker -itd -- name=test -P image nameです。 コンテナを起動してRASPエージェントをインストールする前に、起動コマンドをdocker -itd -- env JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}" -- name=test -Pイメージ名に変更する必要があります。

    Weblogic

    また、[レコードのプッシュ] タブの [RASPエージェントのプッシュ] をクリックして、アプリケーションが実行されているサーバーまたはコンテナーにRASPエージェントをプッシュし、サーバーまたはコンテナーにエージェントをインストールすることもできます。

    3. 保護ポリシーの設定

    アラームが間違いないことを確認し「保護モード」を設定する ステップで、保護ポリシーを設定し、OK をクリックします。

    重要

    デフォルトの保護モードは 監視 です。 監視モードを2〜5日間使用することを推奨します。 この期間中に誤検出が報告されない場合は、保護モードを保護に変更できます。 偽陽性が報告された場合は、偽陽性が報告された検出タイプをブロックするようにホワイトリストルールを設定できます。 詳細については、「ホワイトリストへのアラートの追加」をご参照ください。

    カテゴリ

    パラメーター

    説明

    保護ポリシー

    アプリケーショングループ名

    アプリケーショングループの名前。 このステップで名前を変更することはできません。

    保護モード

    アプリケーショングループの保護モード。 有効な値：

    • 監視: アプリケーションを監視して攻撃を検出しますが、攻撃はブロックしません。 攻撃が検出されると、アラートが生成されます。 このアラートの処理方法は監視です。

    • 保護: アプリケーションを監視して攻撃を検出し、検出された攻撃をブロックし、アプリケーションインスタンスのリスクの高い操作を監視します。 攻撃がブロックされると、アラートが生成されます。 このアラートでは、処理方法はブロッキングです。

    • 無効: アプリケーショングループ内のアプリケーションインスタンスのアプリケーション保護機能を無効にします。 攻撃は検出またはブロックされません。

    保護ポリシーグループ

    デフォルトの保護ポリシーグループは通常の実行グループです。 ドロップダウンリストから別の保護ポリシーグループを選択できます。 保護ポリシーグループの詳細については、「5」をご参照ください。 保護ポリシーグループを管理します。

    検出タイプ

    選択した保護ポリシーグループでサポートされているチェックの種類。

    検出ポリシー

    脆弱性の検出

    現在のアプリケーショングループの弱点検出機能を有効にするかどうかを指定します。 詳細については、「アプリケーションの弱点の検出」をご参照ください。

    説明

    PHPアプリケーションはこの機能をサポートしていません。

    メモリ内Webシェル検出

    現在のアプリケーショングループのメモリ内Webシェル検出機能を有効にするかどうかを指定します。 詳細については、「インメモリwebshell防止機能の使用」をご参照ください。

    説明

    PHPアプリケーションはこの機能をサポートしていません。

    常用設定

    検出タイムアウト時間

    攻撃検出の最大期間。 有効な値: 1 ~ 60000 単位：ミリ秒。 デフォルト値は 300 です。 指定された期間が経過すると、検出ロジックが完了していなくても、元のビジネスロジックは継続します。 デフォルト値を使用することを推奨します。

    配信元 IP 判断モード

    • ソースIPアドレスを取得するメソッド。 デフォルト を選択した場合、システムは、X-Real-IP、True-Client-IP、およびX-Forwarded-Forの順序でソースIPアドレスを記録する標準リクエストヘッダーの値に基づいてソースIPアドレスを取得します。 X-Real-IPの値が使用できない場合、システムはTrue-Client-IPの値を使用します。 X-Real-IPとTrue-Client-IPの値が使用できない場合、システムはX-Forwarded-Forの値を使用します。

    • カスタムヘッダー値から取得する を選択すると、カスタムヘッダーに基づいて送信元IPアドレスが優先的に取得されます。 複数のカスタムヘッダーを設定すると、リストされた順序で送信元IPアドレスが取得されます。 システムがカスタムヘッダーに基づいて送信元IPアドレスを取得できない場合、デフォルトの方法が有効になります。

    • 説明

      最大5つのカスタムヘッダーを指定できます。

    ランタイム回路遮断機能

    この機能は、Javaアプリケーションでのみ有効です。 ランタイム回路遮断機能を有効にすると、サーバーまたはプロセスのCPU使用率またはメモリ使用率がしきい値を超えると、RASPエージェントはリアルタイム保護機能、メモリ内Webシェル検出、および脆弱性検出の提供を自動的に停止します。 リソース使用量が設定されたしきい値を下回ると、RASPは自動的に機能を提供し続けます。

    この機能により、ワークロードはピーク時に安定して実行され、デフォルトでは無効になります。 計算アプリケーションなど、アプリケーションがパフォーマンスに敏感な場合は、この機能を有効にできます。

    • CPU使用率超過のCPU使用率: パラメーターを10% 〜99% の範囲の値に設定できます。 パラメーターを95% に設定することを推奨します。

    • JVMヒープメモリ使用量超過: パラメーターを5% 〜99% の範囲の値に設定できます。 パラメーターを98% に設定することを推奨します。

    • JVMヒープの残りのメモリ不足: パラメーターを10〜99,999 MBの範囲の値に設定できます。 パラメーターを100 MBに設定することを推奨します。

    重要

    • 回路遮断機能は、RASPエージェントV0.8.8以降でのみサポートされています。 V0.8.8より前のバージョンを実行するRASPエージェントは、アプリケーションプロセスを再起動した後、自動的に最新バージョンにアップグレードできます。

    • [回線切断] 状態のインスタンスは、引き続きアプリケーション保護機能のクォータを消費します。

    手順4: アプリケーションがアプリケーション保護機能に追加されているかどうかを確認する

    アプリケーションプロセスのPIDがアプリケーショングループの承認済みインスタンスリストに表示されている場合、アプリケーションはアプリケーション保護グループに追加されます。 保護されたアプリケーションを表示するには、次の手順を実行します。

    1. アプリケーション保護 ページの アプリケーションの設定 タブで、管理するアプリケーショングループを見つけ、権限を付与したインスタンス 列の番号をクリックします。

    2. 表示されるパネルで、アプリケーション保護機能に追加されたアプリケーションを表示します。

      保護するアプリケーションのPIDがアプリケーションリストに表示されている場合、アプリケーションが追加されます。

      image.png

    ステップ5: 保護ポリシーグループの管理

    さまざまなビジネスシナリオのセキュリティ要件を満たすために、アプリケーション保護機能は、さまざまなレベルの事前定義された保護ポリシーグループ (business First Group、Normal Running Group、protection First Group) で攻撃検出ポリシーを管理します。

    事前定義された保護ポリシーグループ内のすべてのポリシーの検出モードは同じです。 たとえば、Business First Groupのすべてのポリシーの検出モードが緩いとします。 事前定義された保護ポリシーグループを使用するか、ビジネス要件に基づいて保護ポリシーグループを作成できます。

    検出モード

    さまざまなビジネスシナリオでの誤検出率とセキュリティ保護の有効性のバランスをとるために、アプリケーション保護機能では、loose、standard、strictの検出モードが用意されています。 ルーズモード、標準モード、およびstrictモードは、誤検出率とセキュリティ保護の有効性に基づいて昇順でリストされています。

    • Loose: Security Centerは、偽陽性率が低い既知の攻撃特性の脅威のみを検出します。

    • 標準: セキュリティセンターは、一般的な攻撃特性の脅威を検出し、一般化推論機能を提供します。 これはデフォルトモードであり、ルーチンのO&Mに適しています。

    • 厳密: Security Centerは、検出が困難な攻撃をさらに特定します。 偽陽性が生成され得る。

    保護ポリシーグループの作成

    1. アプリケーション保護 ページの アプリケーションの設定 タブで、保護ポリシーグループの管理 をクリックします。

    2. 保護ポリシーグループの作成 をクリックします。

    3. 保護ポリシーグループの作成 パネルで、保護ポリシーグループの名前と説明を入力し、検出タイプ の右側にある 選択 をクリックします。

      検出タイプの選択 パネルで、検出する脅威の種類を選択し、[検出モード] パラメーターを設定して、OK をクリックします。

      たとえば、既存のアラートでSQLインジェクションの誤検出が多数見つかった場合、SQLインジェクションの検出モードをゆるいに変更できます。

    4. OK をクリックします。

    次のステップ

    アプリケーション保護機能のクォータを管理する

    • アプリケーション保護機能の残りのクォータを表示する

      アプリケーションインスタンスが保護されると、アプリケーション保護機能のクォータが1つ差し引かれます。 アプリケーション保護機能は、十分なクォータがある場合にのみ使用できます。 アプリケーション保護機能のクォータを購入した後、アプリケーション保護 ページの アプリケーションの設定 タブで残りのクォータを表示できます。

      image.png

      • 自動アクセス方式の場合、アプリケーション保護機能にサーバーを自動的に追加することはできません。

        説明

        自動アクセス方法を使用してアプリケーションを追加するときにアプリケーション保護機能のクォータが使い果たされた場合、アプリケーションを追加できますが、過剰なアプリケーションインスタンスのステータスは許可されていません。

      • アプリケーション保護機能のクォータが使い果たされた場合、アプリケーションをアプリケーション保護機能に手動で追加できますが、アプリケーションインスタンスのステータスは許可されていません。 不正なアプリケーションインスタンスは保護されません。

    • アプリケーション保護機能のクォータを増やす

      保護が必要なアプリケーションインスタンスの数が残りのクォータを超える場合は、追加のクォータを購入できます。 アプリケーション保護 ページに移動し、アプリケーションの設定 タブをクリックします。 次に、残りのライセンス数 の右側にある アップグレード をクリックします。 表示されるパネルで、アプリケーション保護のクォータパラメーターを設定します。

    アプリケーショングループの保護ポリシーの変更

    アプリケーショングループの保護ポリシーを変更するには、次の手順を実行します。

    1. アプリケーション保護 ページの アプリケーションの設定 タブで、保護ポリシーを変更するアプリケーショングループを見つけ、[操作] 列の 保護ポリシー をクリックします。

    2. 保護ポリシー パネルで、保護ポリシーグループ ドロップダウンリストから保護ポリシーグループを選択します。

    3. OK をクリックします。

    アプリケーション保護機能を無効にする

    アプリケーションのアプリケーション保護機能を無効にする

    アプリケーション保護 ページの アプリケーションの設定 タブで、管理するアプリケーショングループを見つけ、[操作] 列の 接続管理 をクリックします。 接続管理 パネルで、アプリケーションプロセスの追加に使用する方法に基づいてRASPエージェントをアンインストールします。

    • 自動アクセス (セキュリティセンターエージェントがオンライン): 自動アクセス タブで、RASPエージェントをアンインストールするサーバーを選択し、保護を一括で無効にする をクリックします。 サーバーの アプリケーション保護 列のスイッチをオフにすることもできます。

      重要

      サーバーを保護する必要がなくなった場合は、アプリケーション保護 列のスイッチをオフにしてからサーバーを削除できます。

      自動アクセス タブで、削除するサーバーを見つけ、[操作] 列の 削除 をクリックします。 複数のサーバーを選択し、一括削除 をクリックして、一度にアプリケーショングループからサーバーを削除することもできます。

    • 自動アクセス (Security Centerエージェントがオフライン): Security Centerエージェントがオフラインの場合、コンソールでRASPエージェントを自動的にアンインストールすることはできません。 この場合、RASPエージェントを手動でアンインストールするには、次の手順を実行する必要があります。

      1. サーバーでターミナルまたはCLIを開き、crontab -eコマンドを実行します。

      2. スケジュールされたタスクのリストで、アプリケーション保護に関連するタスクを削除します。 次のサンプルコードは、アプリケーション保護タスクを示しています。 

        * * * * * bash -c /usr/local/aegis/rasp/apps/664dd403cd24364f9e******/attach/runJavaFinder.sh http://update-vpc.aegis.aliyuncs.com/rasp/plugin/v1/error/report aa97bdc587ac7ab37028506359****** 6901ad53-a454-4681-afdb-c894d2******

      3. cronスケジュールタスクを保存して終了します。

        • viまたはvimエディタを使用している場合は、Escキーを押して通常モードになっていることを確認し、:wqと入力し、enterキーを押して設定を保存して終了します。

        • ナノエディターを使用する場合は、Ctrl + Oを押して変更を保存し、Ctrl + Xを押して終了します。

      4. オフピーク時にプロセスを再起動します。

    • 手動アクセス: RASPエージェントをアンインストールするには、アプリケーションプロセスの追加に使用するJVMパラメーターを削除してから、アプリケーションを再起動します。

    アプリケーショングループのアプリケーション保護機能を無効にする

    アプリケーショングループ内のすべてのアプリケーションのアプリケーション保護機能を無効にするには、次の手順を実行します。アプリケーション保護 ページの アプリケーションの設定 タブで、管理するアプリケーショングループを見つけ、[操作] 列の 保護ポリシー をクリックし、[保護モード] パラメーターの値を [無効] に変更して、OK をクリックします。

    アプリケーショングループの削除

    重要

    アプリケーショングループを削除すると、アプリケーショングループ内のすべてのアプリケーションインスタンスのアプリケーション保護機能が無効になります。 アプリケーショングループを削除する前に、アプリケーショングループ内のアプリケーションインスタンスを保護する必要がないことを確認してください。

    アプリケーショングループを削除する前に、アプリケーショングループに許可されたインスタンスが存在しないか、アプリケーション保護 タブに表示されるすべてのサーバーの [アプリケーション保護] 列のスイッチがオフになっていることを確認してください。

    アプリケーション保護 ページの アプリケーションの設定 タブで、削除するアプリケーショングループを見つけ、[操作] 列の 削除 をクリックします。

    RASPエージェントのバージョンを表示する

    アプリケーション保護 ページの アプリケーションの設定 タブで、管理するアプリケーショングループを見つけ、インスタンス接続 列の番号をクリックします。 アプリケーションインスタンスの image.pngRASP バージョン 列にアイコンが表示されている場合、RASPエージェントの新しいバージョンが使用可能です。 RASPエージェントを自動的にアップグレードするには、アプリケーションを再起動することを推奨します。 image.png

    アプリケーションインスタンスのステータスの表示

    アプリケーション保護 ページの アプリケーションの設定 タブで、管理するアプリケーショングループを見つけ、インスタンス接続 列の番号をクリックします。

    アプリケーションインスタンスのステータスを次に示します。

    • Authorized: アプリケーションインスタンスは、アプリケーション保護機能によって保護されています。

    • Unauthorized: アプリケーションインスタンスはアプリケーション保護機能に追加されますが、アプリケーション保護機能のクォータが不足しているため保護されません。 残りのライセンス数 の右側にある アップグレード をクリックすると、追加のクォータを購入できます。

    • Authorized (Circuit Breaking): このインスタンスが属するアプリケーショングループに対してRuntime Circuit Breaking Settingsが有効になっています。 このインスタンスのリソース使用量が回路遮断のしきい値に達すると、このインスタンスはアプリケーション保護によって保護されません。 この状態のインスタンスは、アプリケーション保護機能のクォータを引き続き消費します。 このインスタンスのリソース使用量がすべての回線遮断しきい値を下回ると、アプリケーション保護が再開され、インスタンスのステータスが「オンライン-承認済み」に変わります。

    image