お使いの Web アプリケーションが特定の IP アドレスからの攻撃対象になった場合、Web Application Firewall (WAF) の IP ブラックリストモジュールを使用してこれらの IP をブロックし、サービスを保護できます。
利用シーン
WAF の IP ブラックリストモジュールは、既知の悪意のある IP や特定の IP 範囲を正確にブロックする必要があるシナリオ向けに設計されています。
推奨シナリオ
既知の攻撃元のブロック：ログ分析やセキュリティ演習により、特定の IP がスキャナー、クローラー、ブルートフォースツール、またはボットネットノードであることが確認された場合、その IP をブラックリストに追加してトラフィックを直接ブロックします。
一時的な緊急ブロック：少数の固定 IP からの突然の攻撃に直面した場合、より詳細な分析を行う間、初期の防御策として迅速にブラックリストルールを作成できます。
コンプライアンスまたは地域制限：組織がデータ主権の要件を遵守したり、地域的なアクセス制限を実施したりする必要があり、特定の IP 範囲のみをブロックする必要がある場合は、IP ブラックリストモジュールを使用します。
非推奨シナリオ
攻撃者が動的 IP を使用する場合：攻撃者が多数の動的 IP、パブリックプロキシ (CC 攻撃シナリオなど)、またはクラウド関数を使用してリクエストを送信する場合、IP ブラックリストのみに依存するのは効果的ではありません。代わりに CC 攻撃対策または カスタムルール - レート制限モジュールの使用を推奨します。
リクエストの詳細によってユーザーの動作を区別する場合：リクエストパス、パラメーター、またはヘッダーに基づいてリクエストを異なる方法で処理する必要がある場合、IP ブラックリストモジュールではこの要件を満たせません。代わりに カスタムルールモジュールを使用してください。
基本概念
IP ブラックリスト：Web コア保護内の保護モジュールです。このモジュールを有効にする前に、保護テンプレートを作成する必要があります。システムは複数の保護テンプレートをサポートしています。
保護テンプレート：特定のルールロジックと範囲を定義する保護ルールのコレクションです。保護テンプレートは、次の 3 つの部分で構成されます：テンプレートの種類、保護ルール、適用対象。
テンプレートの種類：保護テンプレートを作成する際には、テンプレートの種類を指定する必要があります。作成後に種類を変更することはできません。テンプレートには次の 2 種類があります：
テンプレートの種類
説明
利用シーン
デフォルトの保護テンプレート
デフォルトのテンプレートは、すべての保護オブジェクトに自動的に適用されます。詳細については、「基本概念」をご参照ください。
特定のオブジェクトを手動で除外できます (「無効」に設定)。
IP ブラックリストモジュールに対して作成できるデフォルトの保護テンプレートは 1 つだけです。
グローバルに適用する必要がある一般的な保護ルールをデプロイします。
カスタム保護テンプレート
テンプレートを有効にするには、保護オブジェクトまたはオブジェクトグループを手動で指定する必要があります。
特定のサービス (ログインや決済 API など) に対して、きめ細かな保護ルールをデプロイします。
保護ルール：特定の検出ロジックと応答アクションを定義します。1 つの保護テンプレートに複数の保護ルールを含めることができます。各ルールは次の 2 つの部分で構成されます：
IP アドレスブラックリスト：ブロックまたは監視するクライアントの IP アドレスまたは IP 範囲を指定します。
Rule Action: リクエストがルールに一致したときに実行するアクションです。ブロック と 観察 に対応しています。
適用対象：保護テンプレートを適用するターゲットを指定します。適用対象の設定を通じて、保護ルールが特定の保護オブジェクトまたは保護オブジェクトグループに適用されます。1 つの保護オブジェクトまたはオブジェクトグループは、複数の保護テンプレートに関連付けることができます。
保護オブジェクト：WAF に接続されている各ドメイン名またはクラウドサービスインスタンスに対して、自動的に保護オブジェクトが作成されます。
保護オブジェクトグループ：複数の保護オブジェクトを保護オブジェクトグループに追加して、集中管理できます。
操作手順
開始する前に、保護オブジェクトが存在すること (Web サービスが WAF に接続されていること) を確認してください。サービスを接続していない場合は、「WAF への Web サービスの接続」をご参照ください。
WAF 3.0 コンソールにログインします。上部のナビゲーションバーで、WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。左側のナビゲーションウィンドウで、 を選択します。
ステップ 1：保護テンプレートの種類の選択
Web コア保護 ページで、IP ブラックリスト セクションに移動し、テンプレートの作成 をクリックします。次に、以下のパラメーターを設定します。
テンプレート名：テンプレートの名前を入力します。
デフォルトテンプレート：IP ブラックリストモジュールでは、デフォルトの保護テンプレートは 1 つしか許可されておらず、新しいテンプレートを作成するときにのみ設定できます。
はい：有効対象 を設定する必要はありません。デフォルトのテンプレートは、すべての保護オブジェクトに自動的に適用されます。詳細については、「基本概念」をご参照ください。
いいえ：有効対象 を設定して、テンプレートを有効にする保護オブジェクトまたはオブジェクトグループを手動で指定する必要があります。
ステップ 2：テンプレートへの保護ルールの追加
ルールの設定 セクションで、ルールの作成 をクリックし、以下のパラメーターを設定します。
Rule Name：ルールの名前を入力します。
IP ブラックリスト：ブロックまたは監視するクライアントの IP アドレスまたは IP 範囲を指定します。以下のガイドラインに従ってください：
IPv4 と IPv6 の両方のアドレスをサポートします (例：
1.1.XX.XXおよび2001:XXXX:ffff:ffff:ffff:ffff:ffff:ffff)。IPv4 CIDR ブロックと IPv6 CIDR ブロックの両方をサポートします (例：
1.1.XX.XX/16および 2001:XXXX:XXXX:XXXX::/64)。各 IP アドレスを入力した後、Enter キーを押します。
最大 200 個の IP アドレスを追加できます。
Rule Action：ルールに一致したリクエストに対して実行するアクションを選択します。
ブロック: リクエストをブロックし、クライアントにブロックページを返します。
説明デフォルトでは、WAF は統一されたブロック応答ページを使用します。カスタム応答機能を使用して、独自のブロック応答ページを定義することもできます。
モニター：リクエストをブロックせず、一致したことをログに記録します。ルールをテストする際、まず モニター モードを使用して WAF のログを分析し、誤検知が発生しないことを確認してから、別のアクションに変更できます。
ステップ 3：テンプレートの適用対象の設定
有効対象 セクションで、テンプレートを適用する 保護オブジェクトと保護オブジェクトグループを選択します。
テンプレートがどのように有効になるかは、ステップ 1 での設定によって異なります：
デフォルトの保護テンプレートとして設定：デフォルトのテンプレートは、すべての保護オブジェクトに自動的に適用されます。詳細については、「基本概念」をご参照ください。
デフォルトの保護テンプレートとして設定しない：有効な保護オブジェクトと保護オブジェクトグループを手動で設定する必要があります。
テンプレートの作成中および作成後の両方で、保護オブジェクトまたは保護オブジェクトグループの有効ステータスを手動で調整できます。
ステップ 4：設定の検証
ルールが機能していることを確認するには、ブラックリストに登録された IP アドレスからテストリクエストを送信し、リクエストがブロックされることを確認します。また、WAF のログで一致レコードを確認することもできます。
日常の管理
保護テンプレートの管理
新しく作成された保護テンプレートは、デフォルトで有効になっています。保護テンプレートのリストで、以下の操作を実行できます：
テンプレートに関連付けられている 保護対象 / グループ の数を表示します。
ステータス の切り替えスイッチを使用して、テンプレートを有効または無効にします。
テンプレートのルールを Create Rule で作成します。
保護テンプレートを 編集、削除、または 複製 します。
テンプレート名の左にある
アイコンをクリックして、テンプレートに含まれるルールを表示します。
保護ルールの管理
新しく作成されたルールは、デフォルトで有効になっています。ルールのリストで、以下の操作を実行できます：
ルールID や ルール条件 などの情報を確認できます。
ステータス の切り替えスイッチを使用して、ルールを有効または無効にします。
ルールを 編集 または 削除 します。
よくある質問
設定した IP ブラックリストルールが有効にならないのはなぜですか？
IP ブラックリストテンプレートを設定しても保護が機能しない場合は、以下の順序でトラブルシューティングを行ってください：
テンプレートのステータスと適用対象の確認
IP ブラックリストテンプレートとそのルールの両方が「有効」状態であり、適用対象が正しく設定され、アクティブであることを確認してください。ホワイトリスト設定の確認
IP ホワイトリストはブラックリストよりも優先されます。現在のトラフィックに一致するホワイトリストルールがないか確認してください。トラフィックがホワイトリストルールに一致する場合、WAF は IP ブラックリストのチェックをスキップします。レイヤー 7 プロキシ設定の確認
WAF の前に CDN などのレイヤー 7 プロキシがデプロイされている場合、アクセス構成で WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など) オプションが [はい] に設定されていることを確認してください。設定が正しくないと、WAF は実際のクライアント IP アドレスを取得できず、IP ベースのブラックリストルールが失敗します。設定の詳細については、「実際のクライアント情報」をご参照ください。すべてのポートに対する WAF 保護の検証
すべてのサービスポートが WAF に追加されていることを確認してください。たとえば、クラウドネイティブモードで追加された ECS インスタンスが HTTP ポート 80 と HTTPS ポート 443 を使用する場合、オリジンサーバーに強制リダイレクトルールが設定されていても、両方のポートを WAF に追加する必要があります。そうしないと、追加されていないポートへのトラフィックは WAF をバイパスして直接オリジンサーバーに到達します。
従量課金制の WAF で IP ブラックリストルールを設定すると、トラフィック料金は削減されますか？
IP ブラックリストルールを設定しても、WAF のトラフィック料金は削減されません。IP ブラックリストによってブロックされたリクエストも WAF によって処理され、秒間クエリ数 (QPS) に計上されるため、処理料金が発生します。ただし、これらのリクエストはオリジンサーバーには転送されません。既知の悪意のある IP アドレスをブラックリストに追加することは、オリジンサーバーの負荷を軽減する効果的な方法です。
IP ブラックリストとカスタムルールの違いは何ですか？
IP ブラックリストとカスタムルールの主な違いは以下の通りです：
1. マッチング条件の違い
IP ブラックリスト：クライアントの送信元 IP アドレスまたは IP アドレスセグメントという単一の条件に基づくマッチングをサポートします。
カスタムルール：送信元 IP、URL、リクエストヘッダー (User-Agent や Referer など)、リクエストパラメーターなど、複数の HTTP フィールドに基づく複数条件のマッチングをサポートします。カスタムルールはアクセス頻度制限もサポートします。
2. アクション
IP ブラックリスト：ルールに一致した場合、ブロック と モニター アクションのみがサポートされます。
カスタムルール：さまざまなアクションをサポートします。ブロック と モニター アクションに加えて、キャプチャや JavaScript 検証などの他のアクションもサポートします。
3. シナリオ
IP ブラックリスト：既知の悪意のある IP アドレスや特定の地域の IP アドレスをグローバルにブロックするために使用されます。
カスタムルール：特定の URL パス、リクエストの特徴、または高頻度のアクセス動作を対象とした、精密な保護ときめ細かなアクセス制御に使用されます。
IP ブラックリストルールにヒットした攻撃のレコードは表示できますか？
はい。ルールにヒットしたすべてのリクエストに対して、システムは対応する攻撃レコードを生成し、「セキュリティレポート」で指定された場所に表示します。