Web アプリケーションファイアウォール（WAF）

最終更新日： 2025年5月5日

作成対象：

  • 管理者
  • 開発者

Fastly を活用した、クラウドインフラストラクチャー上のAdobe Commerceの web アプリケーションファイアウォール（WAF）サービスは、サイトやネットワークに損傷を与える前に、悪意のあるリクエストトラフィックを検出、ログに記録、ブロックします。 WAF サービスは、実稼動環境でのみ使用できます。

WAF サービスには次の利点があります。

  • PCI コンプライアンス - WAFの有効化により、実稼動環境のAdobe Commerce ストアフロントが PCI DSS 6.6 のセキュリティ要件を確実に満たすようにします。

  • デフォルトのWAF ポリシー - デフォルトのWAF ポリシーは、Fastly によって設定および管理され、インジェクション攻撃、悪意のある入力、クロスサイトスクリプティング、データの取り出し、HTTP プロトコル違反およびその他の Adobe Commerce Top Ten セキュリティ脅威を含む様々な攻撃からOWASP web アプリケーションを保護するようにカスタマイズされたセキュリティルールのコレクションを提供します。

  • WAFのオンボーディングとイネーブルメント - Adobeは、プロビジョニングが完了してから 2～3 週間以内に、実稼動環境にデフォルトのWAF ポリシーをデプロイして有効にします。

  • 運用・保守サポート—

    • Adobeと Fastly は、WAF サービスのログ、ルールおよびアラートをセットアップし管理します。
    • Adobeでは、正当なトラフィックをブロックするWAF サービスの問題に関連するカスタマーサポートチケットを優先度 1 の問題としてトリアージします。
    • WAF サービスバージョンへの自動アップグレードにより、新しい攻撃や進化する攻撃を確実かつ迅速に回避できます。 WAFのメンテナンスとアップグレードを参照してください。
TIP
クラウドインフラストラクチャストア上のAdobe Commerceで PCI への準拠を維持する方法について詳しくは、PCI コンプライアンスを参照してください。

WAFの有効化

Adobeを使用すると、プロビジョニングが完了してから 2～3 週間以内に、新しいアカウントに対してWAF サービスを有効にできます。 WAFは、Fastly CDN サービスを通じて実装されます。 ハードウェアやソフトウェアをインストールまたは保守する必要はありません。

NOTE
WAF サービスを使用する前に、クラウドインフラストラクチャプロジェクト上のAdobe Commerceへのすべての外部トラフィックが、Fastly サービスを通じてルーティングされる必要があります。 Fastly の設定を参照してください。

仕組み

WAF サービスは Fastly と統合され、Fastly CDN サービス内のキャッシュロジックを使用して、Fastly グローバルノードでトラフィックをフィルタリングします。 Trustwave SpiderLabs の ModSecurity ルールとOWASP Top Ten Security Threat に基づくデフォルトのWAF ポリシーを使用して、実稼動環境でWAF サービスを有効にします。

WAF サービスは、WAF ルールセットに対して HTTP および HTTPS トラフィック（GETおよび POST リクエスト）を調べ、悪意のあるトラフィックや特定の規則に準拠しないトラフィックをブロックします。 サービスは、キャッシュの更新を試みるオリジンバインドトラフィックのみを調べます。 その結果、Fastly キャッシュでの攻撃トラフィックのほとんどを停止し、悪意のある攻撃からオリジントラフィックを保護します。 オリジントラフィックのみを処理することで、WAF サービスはキャッシュのパフォーマンスを維持し、キャッシュされていないリクエストごとに推定 1.5 ～ 20 ミリ秒の待ち時間しか発生しません。

ブロックされたリクエストのトラブルシューティング

WAF サービスが有効な場合、すべての web トラフィックと管理者トラフィックがWAFのルールに照らして検査され、ルールをトリガーするすべての web リクエストがブロックされます。 リクエストがブロックされると、ブロッキングイベントの参照 ID を含んだデフォルトの 403 Forbidden エラーページがリクエスターに表示されます。

WAF エラーページ

管理者からこのエラー応答ページをカスタマイズできます。 WAF応答ページのカスタマイズを参照してください。

Adobe Commerce管理ページまたはストアフロントが、正当な URL リクエストに対して 403 Forbidden エラーページを返した場合は、Adobe Commerce サポートチケットを送信します。 エラー応答ページから参照 ID をコピーし、チケットの説明に貼り付けます。

New Relicを使用して特定のリクエストに対するWAFの応答を特定するには、次を参照してください。

  • Agent_response - WAFのレスポンスコードを示します（200 は良好、406 はブロックを意味します）。
  • sigsci tags：要求の特性に基づいて、要求を特定の signal sciences タグにタグ付けします

WAFのメンテナンスとアップデート

Fastly は、商用のサードパーティ、Fastly の調査、オープンソースからのルールアップデートに基づいて、新しい CVE/テンプレートルールのパッチを更新およびロールアウトします。 Fastly は、必要に応じて、またはルールの変更がそれぞれのソースから利用可能な場合に、公開されたルールをポリシーに更新します。 また、Fastly では、WAF サービスが有効になった後で、公開されたルールクラスに一致するルールを、任意のサービスのWAF インスタンスに追加することができます。 これらの更新により、新しい攻撃や進化する攻撃に対する迅速な対応が保証されます。

Adobeと Fastly は、更新プロセスを管理して、更新がブロッキングモードでデプロイされる前に、新規または変更されたWAF ルールが実稼動環境で効果的に機能することを確認します。