eCDN WAF (Web Application Firewall) の基本、機能、利点

利点:

• ストアフロントサイトのアプリケーションレベルの追加セキュリティ
• 最大 7 日間の WAF ログへのアクセス、設定可能な OWASP ルールセット
• eCDN 顧客向けの無料の付加価値機能
• Business Manager の使いやすいセルフサービスツール

機能:

• eCDN DDoS 軽減サービスの一環として、eCDN Web Application Firewall (WAF) を介して追加のレイヤー 7 の保護を顧客に提供する予定です。
• eCDN Web Application Firewall は、SQL インジェクション攻撃、クロスサイトスクリプティング、OWASP が特定したアプリケーションレイヤーを標的とする脅威などの一般的なコードレベルの脆弱性から、カスタムの本番および開発のストアフロントホスト名を保護するように設計されています。
• これは、追加費用なしで Commerce Cloud eCDN に含まれる付加価値機能です。

動作

• eCDN Web Application Firewall (WAF) ではマーチャントのサイトへのすべてのエンゲージメントが検査されます。これらのエンゲージメントには、通常の買い物客の行動、ボットトラフィック、悪意のあるリクエストなどが含まれます。
• ストアフロントへのリクエストはすべて、HTTP/S (フルサイト) と AJAX (小さなデータスニペット) を介して行われます。
• WAF では、あらゆる一般的な形式のウェブトラフィックのリクエストをすべて詳細に検査し、実際の買い物客から悪意のあるトラフィックを除外します。
• WAF は通常とは異なる悪意のあるトラフィックを識別し、隔離またはブロックすることで脅威がサーバーに到達するのを防ぎます。
• さらに、eCDN WAF ではウェブサイトのアドレスや URL も検査され、通常とは異なるものはすべて検知されます。

仕組み

• 不審なリクエストがマーチャントのサイトに対して行われた場合、eCDN WAF はリクエストを評価し、マーチャントが選択したアクションを適用します。
• アクションが「チャレンジ」の場合、不審なユーザーには CAPTCHA ページが表示され、ページへのアクセスを続けるには CAPTCHA のテストを正常に完了するよう要求されます。
• ユーザーが CAPTCHA を正常に完了できなかった場合、WAF は悪意があると識別されたトラフィックが Commerce Cloud のオリジンに到達する前に「ブロック」します。
• マーチャントが「ブロック」アクションを選択した場合、不審なユーザーを簡単にブロックできます。

eCDN WAF の適用対象外

• 正当なリクエスト (注文を適切に実行するボット) がある場合、これは WAF で処理されません。
• 不正な注文攻撃を防止するために、注文送信ページまたはボット攻撃が認識されたページに Captcha または Rate Limiter を実装することをお勧めします。

望ましくないトラフィック (ボット/自動化/スクリプトなど) の処理に関する詳細を参照してください

• 誇大広告イベント商品によって大規模なアフターマーケット経済が生まれる可能性があるため、イベントの前にボット/スクリプトが作成され、入手 (販売) 可能になることは珍しくありません。 このようなボットトラフィックは、望ましい買い物客のトラフィックを妨げ、ストアフロントのパフォーマンスに悪影響を及ぼす可能性があります。 次のアプローチでは、これらの自動ボット/スクリプトの効果と影響を制限できます。
  1. CAPTCHA/reCAPTCHA
     • 前述のように、CAPTCHA は人間のリクエストとボット/スクリプトのリクエストを区別し、人間 (ボット以外) の買い物客にのみハイプイベント商品を購入する機会を与えるために使用されるチャレンジ-レスポンスシステムです。 このチャレンジ-レスポンスメカニズムにより、自動スクリプトは検証に失敗します。
     • CAPTCHA がリクエストの前に実装されている場合、より多くのリソースを必要とする操作 (カートに追加、注文手続き) へのリクエストを防ぐことで、ボットによるリクエストの影響を軽減します。
  2. レート制限/スロットリング/絞り込み
     • ストアフロントへのリクエストをレート制限/スロットリングする機能と、リアルタイムで設定を調整する機能を備えています。
     • 多くの場合、ボット/スクリプトは短時間に大量のリクエストを行うため (人間の買い物客よりもはるかに多い)、受信リクエストのスロットリングやレート制限が適切に設定されていれば、ボット/スクリプトのリクエストにのみ影響を及ぼし、人間の買い物客には影響を与えません。
     • 多くの CDN には、多数の設定パラメーターに基づいて受信リクエストをレート制限/スロットリングする機能があり、Web Application Firewall (WAF) は、事前定義されたルールセットに基づいて受信リクエストをリアルタイムで分析できます。
     • さらに、ストアフロントでの悪意のある Web 動作を阻止するのに役立つ PerimeterX ボット防御ツールを利用することで、一部の顧客のカスタマーエクスペリエンスを向上させます。