Web サイトを Web Application Firewall (WAF) に追加した後、データ漏洩防止ルールを設定できます。これらのルールは、サーバーの応答から、ID カード番号、電話番号、銀行カード番号、禁止用語などの機密情報をフィルターします。WAF は機密情報をマスクするか、デフォルトのエラー応答ページを返すことができます。このトピックでは、データ漏洩防止テンプレートを作成し、そのテンプレートに保護ルールを追加する方法について説明します。
制限事項
クラウドネイティブモード (ALB、MSE、FC) の保護対象オブジェクトはこの機能をサポートしていません。
前提条件
アクティブな 従量課金 WAF 3.0 サービスが必要です。
Web サービスを 保護対象オブジェクトおよび保護対象オブジェクトグループ として WAF 3.0 に追加済みであること。
ステップ 1: データ漏洩防止テンプレートの作成
データ漏洩防止ルールには、デフォルトの保護テンプレートがありません。データ漏洩防止を有効にするには、新しい保護テンプレートを作成し、それにルールを追加する必要があります。
Web Application Firewall 3.0 コンソールにログインします。トップメニューバーから、WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。
左側のナビゲーションウィンドウで、を選択します。
[Web コア保護] ページの [データ漏洩防止] セクションで、[新しいテンプレート] をクリックします。
[新しいテンプレート - データ漏洩防止] パネルで、テンプレートのパラメーターを設定し、[OK] をクリックします。
設定項目
説明
テンプレート名
テンプレートの名前を入力します。
名前は 1～255 文字で、漢字、大文字と小文字、数字、ピリオド (.)、アンダースコア (_)、ハイフン (-) を使用できます。
ルール設定
[新しいルール] をクリックして、現在のテンプレートのデータ漏洩防止ルールを作成できます。この設定をスキップして、テンプレートの作成後にテンプレートのルールを作成することもできます。詳細については、「ステップ 2: データ漏洩防止ルールをテンプレートに追加する」をご参照ください。
適用対象
追加された保護対象オブジェクトとオブジェクトグループから、テンプレートを適用する [保護対象オブジェクト] と [保護対象オブジェクトグループ] を選択します。
保護対象オブジェクトまたはオブジェクトグループは、現在の保護モジュール内の 1 つのテンプレートにのみ関連付けることができます。保護対象オブジェクトとオブジェクトグループの追加方法の詳細については、「保護対象オブジェクトと保護対象オブジェクトグループの設定」をご参照ください。
新しい保護テンプレートはデフォルトで有効になっています。保護テンプレートのリストでは、次の操作を実行できます。
テンプレートに関連付けられている 保護対象 / グループ の数を表示します。
ステータス を使用して、テンプレートを有効または無効にします。
Create Rule をクリックして、テンプレートの新しいルールを作成します。
保護テンプレートを編集、削除、または複製します。
テンプレート名の横にある
アイコンをクリックして、保護テンプレート内のルールに関する情報を表示します。
ステップ 2: データ漏洩防止ルールをテンプレートに追加する
データ漏洩防止テンプレートは、保護ルールを追加した後にのみ有効になります。テンプレートの作成時にルールを追加した場合は、このステップをスキップできます。
Web Application Firewall 3.0 コンソールにログインします。トップメニューバーから、WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。
左側のナビゲーションウィンドウで、を選択します。
[データ漏洩防止] セクションで、ルールを追加する保護テンプレートを見つけてテンプレートを展開し、[操作] 列の [新しいルール] をクリックします。
[新しいルール] ダイアログボックスで、ルールのパラメーターを設定し、[OK] をクリックします。
設定項目
説明
ルール名
ルールの名前を入力します。
名前には、漢字、大文字と小文字、数字、ピリオド (.)、アンダースコア (_)、ハイフン (-) を使用できます。
一致条件
応答で検出する機密情報の種類を定義します。有効な値は次のとおりです。
応答コード: 400、401、402、403、404、500、501、502、503、504、405～499、および 505～599。
機密情報: ID カード、クレジットカード、電話番号、およびデフォルトの禁止用語。
重要データ漏洩防止機能は現在、ID カード番号、電話番号、銀行カード番号など、中国本土で使用されるデータ形式のみをサポートしています。中国本土以外のデータ形式はサポートしていません。
応答コードと機密情報のカテゴリで 1 つ以上のタイプを指定できます。
[AND] を選択した場合は、[URL] を指定してそのページでのみ機密情報を検出することもできます。
アクション
応答で機密情報が検出された場合に実行するアクションを定義します。
一致条件が [応答コード] の場合、次のアクションがサポートされます。
監視: リクエストがルールにヒットしたときにログエントリを記録しますが、リクエストはブロックしません。
ブロック: ルールにヒットしたリクエストをブロックし、ブロックページをクライアントに返します。
一致条件が [機密情報] の場合、次のアクションがサポートされます。
監視: リクエストがルールにヒットしたときにログエントリを記録しますが、リクエストはブロックしません。
マスク: ルールにヒットしたリクエストをブロックしませんが、機密情報の一部をアスタリスク (*) に置き換えます。
新しいルールはデフォルトで有効になっています。ルールリストでは、次の操作を実行できます。
ルールID や ルール条件 などの情報を表示します。
ステータス スイッチを使用して、ルールを有効または無効にします。
ルールを編集 または 削除します。
次のステップ
[セキュリティレポート] ページの [データ漏洩防止] タブで、ルールの保護詳細を表示できます。詳細については、「セキュリティレポート」をご参照ください。
関連ドキュメント
WAF 3.0 の保護対象オブジェクト、保護モジュール、および保護プロセスの詳細については、「緩和設定の概要」をご参照ください。
API を使用して保護テンプレートを作成する方法については、「保護テンプレートの作成」をご参照ください。
基本的な保護ルールを作成してその設定を行う方法については、「Web コア保護ルールの作成」をご参照ください。