Web Application Firewall:ドメイン資産センター

概要

ビジネスの拡大に伴い、不正なサイトや回収されていないテスト環境など、管理されていない「ゾンビマシン」資産が蓄積されることがあります。これらは多くの場合、古いコンポーネントを実行しており、境界防御をバイパスして内部ネットワークを侵害する攻撃ベクターとなります。このリスクに対処するため、WAF ではグローバルな資産識別機能を提供しています。

• 包括的な検出とマッピング：Alibaba Cloud のドメインサービス、DNS 解決、SSL 証明書の構成情報を相関させることで、Alibaba Cloud 上下（他社クラウドプロバイダーやオンプレミスデータセンターを含む）のドメインリソースを検出し、サイロ化された保護による盲点を解消します。アクティブプロービングとパッシブ分析を組み合わせることで、ミドルウェアや開発フレームワークを正確に識別し、サプライチェーンセキュリティリスクを管理します。

• リスク評価と保護導入：トラフィック分析と最新の脅威インテリジェンスを組み合わせることで、WAF はドメインのリスクレベルを評価し、セキュリティスコアを算出します。これにより、高リスクターゲットを迅速に特定し、保護優先度を設定して適切なタイミングで保護を有効化し、ドメインの侵害を防止できます。

資産センターの有効化

1. Web Application Firewall 3.0 コンソールにログインします。上部メニューバーから、WAF インスタンスのリソースグループおよびリージョン（中国本土または中国本土以外）を選択します。

2. 左側のナビゲーションウィンドウで、アクセス管理 をクリックします。CNAME アクセス タブで、右側の アセットセンター をクリックします。

3. 「アセットセンター」ページで、「今すぐ有効化」をクリックします。従量課金の WAF インスタンスの場合、この機能を有効化すると追加料金が発生します。料金の詳細については、「課金の詳細」をご参照ください。

4. 資産センターを初めて有効化する際、WAF は自動的にサービスリンクロール AliyunServiceRoleForWAF を作成し、他のクラウドサービス内のリソースにアクセスします。このロールは RAM コンソールの[ロール]ページで確認できます。

5. 権限付与が完了すると、WAF は自動的に現在の Alibaba Cloud アカウント配下のドメイン資産を検出し、資産センターに結果を表示します。

6. 検出精度を向上させるため、右上隅にある [アクティブ指紋スキャン] を有効化することを推奨します。この機能を有効化すると、WAF はパッシブトラフィック学習とアクティブプロービングを組み合わせて接続資産の指紋情報を識別します。アクティブスキャンは 2 週間ごとに実行されます。この機能を常に有効にしておくことを推奨します。

資産の追加

監視対象のルートドメインが資産リストに表示されない場合は、手動で追加できます。

1. アセットセンター ページで、概要 タブに移動し、Add Asset をクリックします。

2. Add Asset ダイアログボックスで、ドメイン名を入力し、所有権検証を完了します。

   • DNS 検証（推奨）：ドメインの DNS プロバイダーで、WAF が提供する TXT レコードを手動で追加します。

   • ファイル検証：WAF が提供する検証ファイルをオリジンサーバーの指定されたルートディレクトリにアップロードします。オリジンサーバーへのアクセス権限が必要であり、すべての IP アドレスからのアクセスを許可するセキュリティグループポリシーを設定する必要があります。これにより、WAF がインターネット経由で検証ファイルにアクセスできるようになります。

   DNS 検証

   1. 検証プロンプトエリアで、方法 1：DNS 解析の検証 タブをクリックします。

   2. DNS プロバイダーで、WAF コンソールに表示されている レコードタイプ、ホストレコード、および レコード値 を使用して TXT レコードを追加します。

      Alibaba Cloud DNS を使用している場合は、以下の手順に従ってください。他の DNS プロバイダーを使用している場合は、それぞれのシステムの手順に従ってください。

      1. 「パブリックゾーン」ページで、対象のプライマリドメイン名を見つけ、操作列の解決設定をクリックします。

      2. Add Record をクリックし、次のパラメーターを設定して、OK をクリックします。その他のパラメーターはデフォルト値のままにしておけます。

         • レコードタイプ：TXT を選択します。

         • ホストレコード：ドメイン名のプレフィックスをコピーして入力します。例：verification。

         • レコード値：WAF が生成したレコード値をコピーして入力します。例：verify_8fca29dec226****。

   3. TXT レコードが有効になるまで待ちます。新規 TXT レコードは即時に有効になります。既存の TXT レコードを変更した場合、通常約 10 分で変更が反映されます。正確な時間は、ドメインの DNS 設定で構成されている TTL（Time to Live）に依存します。デフォルトの TTL は 10 分です。

   4. WAF コンソールに戻り、クリックして検証する をクリックします。

      • Verification successful と表示された場合、ドメインの所有権が検証されています。

      • Verification failed と表示された場合、以下の手順で問題をトラブルシューティングしてください。

        1. TXT レコードの確認：ホスト名とレコード値が WAF コンソールの情報と一致していることを確認します。一致しない場合は、誤ったレコードを削除し、再度レコードを追加してから検証を再実行してください。

        2. DNS レコードの有効化待ち：DNS レコードは設定後すぐに有効にならない場合があります。レコードが有効になるまでの時間は、ドメインネームサーバーで設定された TTL に依存します。10 分ほど待ってから再度検証してください。

        3. 検証方法の変更：複数回検証に失敗した場合は、[方法 2：ファイル検証] を使用することを推奨します。

   ファイル検証

   1. 検証プロンプトエリアで、方法 2：ファイルの検証 タブをクリックします。

   2. リンクをクリックして検証ファイルをダウンロードします。

      重要

      • 検証ファイルはダウンロード後 3 日間有効です。この期間内にファイル検証を完了しない場合、再度ファイルをダウンロードする必要があります。

      • 検証ファイルを変更しないでください。たとえば、ファイルを編集したり名前を変更したりしないでください。

      • WAF は選択したプロトコルタイプに基づいてオリジンサーバーにアクセスします。オリジンサーバーのセキュリティグループまたはファイアウォールルールで、対応するトラフィックを許可していることを確認してください。

        • HTTP を選択した場合、0.0.0.0/0 からのポート 80 へのインバウンド TCP トラフィックを許可します。

        • HTTPS を選択した場合、0.0.0.0/0 からのポート 443 へのインバウンド TCP トラフィックを許可します。

   3. 検証ファイルをオリジンサーバー上の Web サイトのルートディレクトリにアップロードします。オリジンサーバーは、ECS（Elastic Compute Service）インスタンス、OSS（Object Storage Service）バケット、CVM（Cloud Virtual Machine）インスタンス、COS（Cloud Object Storage）バケット、または EC2（Elastic Compute Cloud）インスタンスです。

      説明

      *.aliyun.com のようなワイルドカードドメイン名を追加する場合、検証ファイルを aliyun.com のルートディレクトリにアップロードする必要があります。

      • Nginx サーバーのデフォルトルートディレクトリ：/usr/share/nginx/html

      • IIS サーバーのデフォルトルートディレクトリ：C:\inetpub\wwwroot

   4. WAF コンソールに戻り、クリックして検証する をクリックします。

      • Verification successful と表示された場合、ドメインの所有権が検証されています。

      • Verification failed と表示された場合、エラーメッセージに基づいて問題をトラブルシューティングしてください。

        問題	解決策
        ドメイン名にアクセスできない	ドメイン名の DNS 解決を確認し、DNS レコードがオリジンサーバーを指していることを確認してください。Alibaba Cloud DNS の詳細については、「DNS レコードを追加する」をご参照ください。 オリジンサーバーのセキュリティグループまたはファイアウォールルールを確認し、インターネットからのリクエストが許可されていることを確認してください。ECS セキュリティグループについては、「セキュリティグループルールを追加する」をご参照ください。
        検証ファイルが存在しない	検証ファイルを再度オリジンサーバーにアップロードしてください。
        ファイル内容が正しくない	ドメインのオリジンサーバーで、誤った検証ファイルを削除します。 再度検証ファイルをアップロードします。

   5. すべての IP アドレス（0.0.0.0/0）からのアクセスを許可するセキュリティグループルールはセキュリティリスクを伴います。所有権の検証が完了したら、ご利用のサーバーのセキュリティを維持するために、0.0.0.0/0 に対する一時的なルールを削除することを推奨します。

3. 設定を完了したら、Add をクリックします。手動で追加された資産は、翌日（T+1）に資産センターのリストに表示されます。

資産詳細の確認

アセットセンター ページでは、ドメイン資産の以下の詳細を確認できます。

• 概要: ページ上部にあるこのセクションには、現在の Alibaba Cloud アカウントのドメイン資産統計が表示されます。これには、Second-level Domain Names、Subdomains、および未保護サブドメイン名数（高、中、低のリスクレベルに細分化）が含まれます。

• ルートドメイン概要：ページ下部のリストエリアに位置し、Second-level Domain Name とその IP Address、WAF によって保護されているサブドメイン数、およびまだ WAF によって保護されていないサブドメイン数を表示します。リスト上部の検索ボックスにキーワードを入力することで、特定のルートドメインをクエリできます。

• ドメイン詳細：ルートドメインの左側にある アイコンをクリックして、そのサブドメインリストを表示します。検索ボックスを使用してサブドメインをフィルターすることもできます。各サブドメインエントリには以下が含まれます。

  • IP Address：ドメインが解決する IP アドレスまたは CNAME アドレス。

  • Fingerprint：パッシブトラフィック分析およびアクティブ指紋スキャンを通じて識別された Web サイトサーバーの指紋情報。この情報を表示するには、右上隅にある [アクティブ指紋スキャン] が有効になっていることを確認してください。

  • Severity：過去 30 日間の攻撃動向および脅威インテリジェンスデータに基づいて評価されたドメインのクラウドリスクレベル。

  • ステータス: ドメインが WAF によって保護されているかどうかを示します。保護を有効にするには、「CNAME を使用してドメインを WAF に追加する」をご参照ください。

  • Details：サブドメインに関する具体的な脅威イベントおよび情報レコード。

資産詳細のダウンロード

1. アセットセンター ページで、概要 タブに移動し、エクスポートするルートドメインを選択して、右上隅の アイコンをクリックします。

2. Export Record タブに移動し、対象ファイルの 操作 列で Download をクリックします。

制限事項

• Details：従量課金、サブスクリプション Enterprise Edition、および Flagship Edition の WAF インスタンスでのみ利用可能です。

• 資産のダウンロード：サブスクリプション Enterprise Edition および Flagship Edition の WAF インスタンスでのみ利用可能であり、Alibaba Cloud のプライマリアカウントを使用する必要があります。