PaaS のみ

Fastly を利用した web アプリケーションファイアウォール（WAF）:FAQ

2025年5月5日

Adobe Commerce Managed Cloud WAF （Fastly を活用）はどのように機能しますか？

Web アプリケーションファイアウォール（WAF）は、一連のセキュリティルールに対してトラフィックをフィルタリングすることで、 悪意のあるトラフィックがサイトやネットワークに入るのを防ぎます。 いずれかの規則をトリガーするトラフィックは、サイトやネットワークに損害を与える前にブロックされます。

Adobe Commerceの Cloud WAF は、Adobe Commerce web アプリケーションを様々な攻撃から保護するように設計されたルールセットを含む WAF ポリシーを提供します。

WAF は、Web および管理トラフィックを調べて、疑わしいアクティビティを特定します。 GETとPOSTトラフィック（HTTP API 呼び出し）を評価し、ルールセットを適用して、ブロックするトラフィックを決定します。 WAF は、SQL インジェクション攻撃、クロスサイトスクリプティング攻撃、データ除外攻撃、HTTP プロトコル違反など、様々な攻撃をブロックできます。

WAF はクラウドベースのサービスで、インストールや保守にハードウェアやソフトウェアを必要としません。 既存のテクノロジーパートナーである Fastly は、ソフトウェアと専門知識を提供します。 高性能で常時稼動の WAF は、Fastly のグローバル配信ネットワークの各キャッシュノードに常駐します。

WAF はすべてのクラウド顧客が使用できますか？

はい。Cloud WAF サービスは、Adobe Commerce on cloud infrastructure Starter プランアーキテクチャおよびAdobe Commerce on cloud infrastructure Pro プランアーキテクチャプランの両方について、Adobe Commerce on cloud infrastructure サブスクリプションに追加料金なしで含まれています。 WAF サービスは、実稼動環境とステージング環境で使用できます。

WAF は PCI DSS 6.6 の要件に準拠していますか。

はい。

Adobe Commerce クラウドインフラストラクチャアカウントで複数のドメイン上のサイトを管理している場合、WAF プロファイルはドメインごとに調整されますか。それとも、すべてのドメインについてまとめて調整されますか。

WAF は、1 つのクラウドアカウント下のすべてのドメインに対してまとめて調整されます。

WAF にはどのようなルールが使用されますか？

クラウドインフラストラクチャ実稼動環境でAdobe Commerceに適用される WAF プロファイルのルールセットは、OWASP Top 10 Threat Protection ルールセットに基づいています。このルールセットでは、web サービスに対する一般的な不正利用について説明しています。 また、TrustWave SpiderLabs で開発されたAdobe Commerce固有のルールも含まれています。 Fastly のセキュリティ研究チームは、一般的に知られている攻撃からサイトとネットワークを保護するルールも追加しました：不正な IP アドレス、不正なユーザーエージェント、既知のボットネットコマンドとコントロールノード。 OWASP Paranoia Level 3 以下のルールを有効にし、高いセキュリティを提供します。

ログにアクセスするにはどうすればよいですか？

ログをログツールに送信するには、テクニカルアカウントマネージャー（TAM）と協力して、Fastly にログエンドポイントを追加してください。

ブロックリクエストはどうなっていますか。

ブロックされたリクエストは、リクエスト識別子を持つ 403 ページを返します。

カスタマイズにリクエスト識別子が含まれている限り、このページをカスタマイズできます。 詳しくは、テクニカルアカウントマネージャーにお問い合わせください。

WAF ルールセットを更新するにはどうすればよいですか？ WAF ルールを変更または更新して、実稼動環境にグローバルに適用するには、どの程度の時間がかかりますか？

Fastly は、クラウド WAF サービスの一部として、商用サードパーティ、Fastly のリサーチ、オープンソースからのルール更新を管理しています。 必要に応じて、またはルールの変更がそれぞれのソースから使用可能な場合に、公開されたルールをポリシーに更新します。 ルールの公開済みクラスに一致する新しいルールも、有効にすると任意のサービスの WAF インスタンスに挿入されます。 これにより、新しい攻撃や進化する攻撃に迅速に対応できます。 情報 ルールの更新とメンテナンスについては、Fastly ドキュメントサイトで確認できます。

Adobe Commerceの Cloud WAF は、Fastly が直接顧客に提供する WAF ソリューションとどう違いますか？

Fastly が直接販売する WAF ソリューションは、ルールのカスタマイズやマルウェア対策など、より広範なルールセットや追加機能を含む有料のソリューションです。 Adobe Commerceの Cloud WAF ソリューションには、Adobe Commerce アプリケーションをターゲットとしたルールのサブセットが含まれており、顧客の実稼動環境ごとに 1 つのルールセットのみが含まれます。

WAF はどのような種類のセキュリティ脅威に対して保護していますか？

脅威WAF 保護
SQL インジェクション攻撃OWASP ModSecurity のコア ルール セットと TrustWave の商用ルール セットの両方に、SQL 挿入攻撃とそのバリアントに対する特定のフィルタが含まれています。
クロスサイト注射OWASP ルールセットは、クロスサイト挿入攻撃から保護します。 Fastly では、クロスサイト挿入や接触チャネルに対するその他の脅威を探すリクエストごとに、スコアリングメカニズムを活用します。 すべてのリクエストにコアルールセット全体に対してスコアを付け、リクエストのスコアが設定可能なしきい値を下回っていることを検証してリクエストを合格させます。
ブルートフォース攻撃OWASP ルール・セットでカバーされます。 また、Fastly は、特定のソース、リクエスト、または元のデータセンターにトラフィックが到達する前にセキュリティ制御をブルートフォースまたは圧倒しようとする試みを認識する VCL コードを使用して、ブルートフォースアクティビティをブロックします。
ネットワーク攻撃ネットワーク攻撃、またはネットワークインフラストラクチャをターゲットとする攻撃は、Fastly によって自動的に管理されます。 Fastly は DNS をオリジンに渡さず、狭い HTTP、HTTPS、DNS プロファイルに一致しないトラフィックはネットワークのエッジで破棄されます。 制御プロトコルを標的とする攻撃は、ネットワーク全体のエンドポイントの認証を通じて防御されます。 さらに、Fastly ネットワーク内で使用されるネットワークプロトコルは、増幅やリフレクションの手段として利用できないように強化されています。 お客様には、CDN サービスのコンポーネントとしてお客様に公開されている Fastly キャッシュ IP アドレス空間を活用して、Fastly ネットワークを迂回する攻撃から保護する責任があります。 バイパス攻撃でこれらのアドレスをターゲットとして使用できないように、発信元 IP アドレス空間をパブリック DNS で公開しないことをお勧めします。
JavaScript注射攻撃WAF ルールは、悪意のあるJavaScript コードが web サービスとのクライアント通信に挿入されるのを防ぎます。 一般的なエクスプロイトパターンやスコアは、接触チャネルサービスの整合性を確保するために WAF でフィルタリングされます。