Web Application Firewall:WAF 3.0 のデータと運用のセキュリティおよびコンプライアンスに関する声明

CNAME アクセスのセキュリティとコンプライアンス

• オリジンサーバーが中国本土にデプロイされている場合、CNAME レコードを使用してドメイン名を WAF に追加する前に、中国本土の WAF インスタンスを有効化し、ドメイン名の ICP 申請を完了する必要があります。

CNAME レコードを使用してドメイン名を追加する方法については、「CNAME レコードを使用した Web サイトの保護」をご参照ください。

• オリジンサーバーが中国本土以外にデプロイされている場合は、中国本土以外の WAF インスタンスを有効化してください。WAF は、中国 (香港)、シンガポール、ドバイ、日本 (東京)、マレーシア (クアラルンプール)、インドネシア (ジャカルタ)、米国 (シリコンバレー)、ドイツ (フランクフルト) で利用可能です。オリジンサーバーが WAF を利用できないリージョンにある場合、WAF はトラフィックをシンガポールの WAF クラスターにルーティングします。

越境データ転送

• WAF の CNAME アクセス機能を使用すると、お客様が選択したリージョン、または製品がデプロイされているリージョンにビジネスデータが転送されます。これには、越境データ転送が含まれる場合があります。

• お客様は、このビジネスデータを管理する完全な権利を有し、その転送について単独で責任を負うことに同意し、確認するものとします。

• お客様は、データ転送が適用されるすべての法律に準拠していることを保証する必要があります。これには、適切なデータセキュリティ技術とポリシーの実装、個人からの明確な同意の取得、データ輸出セキュリティ評価と申告の完了などの法的義務の履行が含まれます。また、お客様は、ビジネスデータに、適用法上、転送または開示が制限または禁止されているコンテンツが含まれていないことに同意するものとします。

• 前述の声明および保証を遵守しなかった場合、お客様は対応する法的結果に対して責任を負い、Alibaba Cloud またはその関連会社が被ったいかなる損失に対しても責任を負うものとします。

越境データ転送に関する問題を回避するために、クラウドネイティブモードまたはハイブリッドクラウドモードで WAF に接続できます。

非標準ポートの処理

スキャナーは、CNAME レコードを介して WAF に接続されたドメイン名を、ポート 80 および 443 以外のポートをリッスンしているように見えるため、高リスクとしてフラグを立てることがあります。Alibaba Cloud WAF は、コンソールで設定されたポートのデータのみを、TCP 3 ウェイハンドシェイクが成功した後に転送します。設定されていないポートについては、WAF はハンドシェイク後に直ちに RST パケットを送信して接続を閉じるため、データは転送されません。スキャナーによって高リスクと特定されたポートは、実際のセキュリティリスクをもたらすものではありません。

サポートされる暗号スイート

CNAME レコード、ECS インスタンス、またはレイヤー 4 CLB (TCP) インスタンスを使用して HTTPS サービスを保護する場合、オリジンサーバーがサポートするものと一致するように WAF が使用する暗号スイートをカスタマイズできます。これにより、WAF は指定された暗号スイートをサポートするクライアントからのリクエストのみを受け入れるようになります。サポートされる暗号スイートの詳細な一覧については、「サポートされる暗号スイート」をご参照ください。

ログストレージ

WAF 向け Simple Log Service は、クラウドサービスインスタンスやドメイン名などの保護対象オブジェクトの Web アクセスログと緩和ログを収集・保存するのに役立ちます。Alibaba Cloud Simple Log Service 上に構築されたこの機能は、クエリと分析、統計チャート、アラート、および下流のコンピューティングおよび配信サービスとの統合を提供し、面倒なデータクエリや整理ではなく、分析に集中できるようにします。

デフォルトでは、WAF 向け Simple Log Service は無効になっています。保護対象オブジェクトのログデータを保存・分析する必要がある場合は、まずこのサービスを有効にする必要があります。有効にすると、ログを保存するリージョンを選択できます。

WAF 向け Simple Log Service の設定方法、使用方法、および課金については、「ログ管理」をご参照ください。クロス Logstore クエリに関連するコンプライアンスの問題については、「Logstore をまたいだログのクエリ」をご参照ください。

Cookie 挿入

WAF は、以下の 3 つのシナリオで、保護対象のサービスのトラフィックに Cookie を挿入します。

シナリオ 1：CC 防御やスキャン防御などの機能を使用する場合、acw_tc Cookie を含まないリクエストに対して、WAF はデフォルトでレスポンスに acw_tc Cookie を挿入します。

WAF は、ブラウザなどのクライアントに Cookie を挿入して、それらを区別して追跡します。クライアントが Web サイトにアクセスすると、HTTP リクエストにこの Cookie が含まれます。WAF はこの Cookie を、設定済みの HTTP フラッド防御、セッションベースのスキャン防御、およびセッションベースのカスタム頻度制御ルールと組み合わせて使用し、HTTP フラッド攻撃を検出します。

このシナリオで Cookie 挿入を無効にするには、WAF コンソールにログインし、上部メニューで WAF インスタンスのリソースグループとリージョンを選択します。次に、保護設定 > 保護対象 > 設定 に移動し、次の図に示すように Cookie の設定 を構成して、特定のクラウドサービスインスタンスまたはドメイン名の Cookie 挿入を無効にします。

Cookie 設定の詳細については、「保護対象オブジェクトと保護対象オブジェクトグループの設定」をご参照ください。

シナリオ 2：クラウドサービスインスタンスまたはドメイン名に対してシナリオ別のボット管理モジュールを設定し、自動 Web SDK 統合を有効にしている場合。

シナリオ別のボット管理テンプレートを設定し、自動 Web SDK 統合を有効にすると、WAF は HTTP ヘッダーに ssxmod_itna、ssxmod_itna2、ssxmod_itna3 Cookie を挿入して、クライアントのブラウザフィンガープリントを収集します。収集されたフィンガープリントには、HTTP ヘッダーの Host フィールドや、ブラウザの高さと幅などの情報が含まれます。

このシナリオで Cookie 挿入を無効にするには、対応するシナリオ別のボット管理テンプレートを無効にする必要があります。詳細については、「ボット管理 (Legacy)」をご参照ください。

シナリオ 3：クラウドサービスインスタンスまたはドメイン名に対してカスタムルールまたはボット管理を設定し、ルールのアクションを JS チャレンジまたはスライダーチャレンジに設定している場合。

トラフィックがルールに一致すると、WAF はクライアントに JS チャレンジまたはスライダーチャレンジを発行します。クライアントがチャレンジに成功すると、WAF は HTTP ヘッダーに acw_sc__v2 または acw_sc__v3 Cookie を挿入して、クライアントを検証済みとしてマークします。

このシナリオで Cookie 挿入を無効にするには、[緩和設定] > Protection Features または 保護設定 > シナリオ固有の保護 > Bot Management > シナリオベースの保護 に移動し、対応する保護ルールまたはポリシーを無効にします。JavaScript 検証 および スライダー アクションの詳細については、「カスタムルール」または「ボット管理 (Legacy)」をご参照ください。

アプリ保護のためのデータ収集

WAF は、アプリ保護を強化するために、ネイティブアプリ (Android および iOS) 向けのソフトウェア開発キット (SDK) を提供します。統合すると、SDK はクライアント側のリスク機能を収集し、リクエストに含めるセキュリティ署名を生成します。WAF はこの署名を使用して、悪意のあるリクエストを識別してブロックします。