WAF による保護

WAF は、プロキシゾーンの作成の際にデフォルトで有効になり、レイヤーを使用してセキュリティを提供し、攻撃を緩和するマルチレイヤーによる対策で非常に重要な要素です。

WAF は、発生する可能性のあるすべての攻撃に対して保護を提供するものではありませんが、Production (本番)、Staging (ステージング)、Development (開発) のストアフロントホスト名を特定のコードレベルの脆弱性から保護します。これらの脆弱性には以下が含まれる場合があります。

• SQL インジェクション攻撃
• クロスサイトスクリプティング
• Open Web Application Security Project (OWASP) WAFv2 管理ルールセット - アプリケーション層を標的とする脅威を特定。CDN プロバイダーは、Open Web Application Security Project (OWASP) ModSecurity Core Rule Set をプラットフォームに統合します。定期的なモニタリングにより、WAF ルールセットは公式コードリポジトリから入手可能な OWASP の最新バージョンで常に最新の状態に保たれます。
  • CDN によって実装される OWASP WAFv2 管理ルールセットは、OWASP ModSecurity Core Rule Set (CRS) をミラーリングし、OWASP からの更新を定期的にモニタリングします。この更新により、ルールセットが最新の公式コードリポジトリのバージョンと一致することが保証されます。
  • OWASP WAFv2 管理ルールセットは統合されたエンティティとして機能し、脅威スコアを計算し、このスコアに基づいて適切なアクションを決定します。リクエストがルールセット内のルールに一致すると、脅威スコアはルールのスコアに従って段階的に上がります。最終的な脅威スコアが構成されたしきい値を超えた場合、CDN はルールセットの最後のルールで指定されたアクションを実行します。
• eCDN 管理ルールセット - これらは CDN セキュリティチームによって特定された脅威です。このルールセットは、迅速かつ効果的な保護をすべてのアプリケーションに提供します。このルールセットは、新しい脆弱性をカバーして誤検知を減らすために頻繁に更新されます。
• eCDN 公開認証情報チェック管理ルールセット - 盗まれた認証情報に関する公開データベースに対して検索を実行する、広く知られたコンテンツ管理システム (CMS) アプリケーション用に事前設定された一連のルール。エンドユーザー認証エンドポイントに自動認証情報チェックを実装すると、WAF ルールセットを使用して、侵害された認証情報に関する公開データベースを照合し、認証情報ペアを検索できるようになります。

WAF を使用する際には、以下を念頭に置いてください。

• WAF は、一般的なコードの脆弱性を悪用するボットによる攻撃の試みを止めることができます。ただし、総当りのクーポンコードの試行では、リクエストは正常な HTTP および Web フォームのリクエストであるため、WAF ではボットの試みが見逃されることがあります。

  該当する場合は、アカウントチームに連絡して、当社が推奨するボット専門のパートナーから管理ソリューションを取得してください。

• OWASP ルールセットは「オン」または「オフ」にすることができます。WAF OWASP ルールセットでは、OWASP ルールセット内の個々のルールのカスタマイズはサポートされていません。
• eCDN 管理ルールセットは「オン」またはオフにすることができます。eCDN 管理ルールセットでは、eCDN 管理ルールセット内の個々のルールのカスタマイズはサポートされていません。
• CDN 公開認証情報チェックは「オン」または「オフ」にすることができます。eCDN 公開認証情報チェックでは、eCDN 公開認証情報チェック内の個々のルールのカスタマイズはサポートされていません。

WAF はインターネットトラフィックを監視し、ストアフロントに対して行われたすべての HTTP または HTTPS (フルサイト) と Ajax (小規模なデータスニペット) のリクエストを検討します。OWASP による最も一般的な Web アプリケーションの脆弱性を利用して、効果的なルールセットを決定します。ルールは、ユーザーエージェント、パス、国、クエリ文字列、IP アドレスなどの複数のリクエスト属性に基づくことができます。

ストアフロントの保護を支援するために、WAF は次の処理を行います。

• Web サイトアドレスや URL を検査して、正常ではないものがないかを検出します。
• アプリケーションの特定の脆弱性を標的とする、悪意のあるトラフィックをフィルターにかけます。
• 悪意をもつユーザーによる、コードの脆弱性の悪用を防止します。

WAF のデフォルト設定では、機密性モードが低で、アクションはチャレンジになります。