WAF ルールを含むトラフィックフィルタールールの例と結果の分析

様々なタイプのトラフィックフィルタールールを宣言し、Adobe Experience Manager as a Cloud Service（AEMCS）CDN ログとダッシュボードツールを使用して結果を分析する方法について説明します。

この節では、WAF ルールを含むトラフィックフィルタールールの実用的な例を示します。AEM WKND Sites プロジェクトを使用して、URI（またはパス）、IP アドレス、リクエスト数、様々な攻撃タイプに基づいてリクエストを記録、許可、ブロックする方法について説明します。

さらに、AEMCS CDN ログを取り込むダッシュボードツールを使用して、アドビが提供するサンプルダッシュボードを通じて重要な指標を視覚化する方法について説明します。

特定の要件に合わせてカスタムダッシュボードを強化および作成すると、より深いインサイトを取得し、AEM Sites のルール設定が最適化されます。

例

WAF ルールを含むトラフィックフィルタールールの様々な例を見てみましょう。前述の設定方法の章で説明した必要な設定プロセスを完了し、AEM WKND Sites プロジェクトのクローンを作成する必要があります。

リクエストのログ

まず、AEM パブリッシュサービスに対する WKND ログインおよびログアウトパスのリクエストを記録します。

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    # On AEM Publish service log WKND Login and Logout requests
      - name: publish-auth-requests
        when:
          allOf:
            - reqProperty: tier
              matches: publish
            - reqProperty: path
              in:
                - /system/sling/login/j_security_check
                - /system/sling/logout
        action: log

分析 analyzing

Cloud Manager から AEMCS CDN ログをダウンロードし、前の章で設定したダッシュボードツールを使用して、publish-auth-requests ルールの結果を分析しましょう。

リクエストのブロック

この例では、デプロイした WKND プロジェクトのパス /content/wknd/internal にある​ 内部 ​フォルダーにページを追加しましょう。次に、次のようなトラフィックフィルタールールを宣言します。これにより、組織に一致する指定された IP アドレス以外の場所（企業 VPN など）からのサブページへの​ トラフィックをブロック ​できます。

独自の内部ページ（demo-page.html など）を作成することも、添付されているパッケージを使用することもできます。

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...

    # Block requests to (demo) internal only page/s from public IP address but allow from internal IP address.
    # Make sure to replace the IP address with your own IP address.
      - name: block-internal-paths
        when:
          allOf:
            - reqProperty: path
              matches: /content/wknd/internal
            - reqProperty: clientIp
              notIn: [192.150.10.0/24]
        action: block

分析中

block-internal-paths ルールの結果を分析するには、前の例で説明したのと同じ手順に従います。

ただし、今回は、ブロックされたリクエスト ​と、クライアント IP（cli_ip）、ホスト、URL、アクション（waf_action）、ルール名（waf_match）の各列に対応する値が表示されます。

DoS 攻撃の防止

1 秒あたり 100 件のリクエストを行う IP アドレスからのリクエストを、5 分間ブロックして、DoS 攻撃を防止 ​しましょう。

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    #  Prevent DoS attacks by blocking client for 5 minutes if they make more than 100 requests in 1 second.
      - name: prevent-dos-attacks
        when:
          reqProperty: path
          like: '*'
        rateLimit:
          limit: 100
          window: 1
          penalty: 300
          groupBy:
            - reqProperty: clientIp
        action: block

分析中

prevent-dos-attacks ルールの結果を分析するには、前の例で説明したのと同じ手順に従います。

今回は、多数の​ ブロックされたリクエスト ​と、クライアント IP（cli_ip）、ホスト、URL、アクション（waf_action）、ルール名（waf_match）の各列に対応する値が表示されます。

また、クライアント IP、国、およびユーザーエージェント別のトップ 100 攻撃 ​パネルには追加の詳細が表示され、ルール設定をさらに最適化するために使用できます。

DoS 攻撃と DDoS 攻撃を防止する方法の詳細については、トラフィックフィルタールールを使用した DoS 攻撃と DDoS 攻撃のブロックのチュートリアルをご覧ください。

WAF ルール

これまでのトラフィックフィルタールールの例は、Sites および Forms のすべてのお客様が設定できます。

次に、強化されたセキュリティまたは WAF-DDoS 保護ライセンスを購入したお客様のエクスペリエンスを見てみましょう。このライセンスにより、より高度な攻撃から web サイトを保護するための高度なルールを設定できます。

続行する前に、トラフィックフィルタールールドキュメントの設定手順の説明に従って、プログラムの WAF-DDoS 保護を有効にします。

WAFFlags を使用しない場合

まず、WAF ルールが宣言される前のエクスペリエンスを見てみましょう。プログラムで WAF-DDoS が有効になっている場合、デフォルトで CDN ログに悪意のあるトラフィックの一致が記録されるので、適切なルールを作成するための適切な情報を取得できます。

まず、WAF ルールを追加せずに（または wafFlags プロパティを使用して）WKND サイトを攻撃し、結果を分析してみましょう。

分析中

攻撃シミュレーションの結果を分析するには、前の例で説明したのと同じ手順に従います。

ただし、今回は​ フラグ付きリクエスト ​と、クライアント IP（cli_ip）、ホスト、URL、アクション（waf_action）、ルール名（waf_match）列に対応する値が表示されます。この情報により、結果を分析し、ルール設定を最適化できます。

WAF フラグ配布 ​パネルと​ トップ攻撃 ​パネルに追加の詳細が表示されます。これは、ルール設定をさらに最適化するために使用できます。

WAFFlags を使用する場合

次に、action プロパティの一部として wafFlags プロパティを含む WAF ルールを追加し、シミュレートされた攻撃リクエストをブロック ​してみましょう。

構文の観点から見ると、WAF ルールは前に示したものと似ていますが、action プロパティは 1 つ以上の wafFlags 値を参照します。wafFlags について詳しくは、WAF フラグリストの節を参照してください。

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    # Enable WAF protections (only works if WAF is enabled for your environment)
      - name: block-waf-flags
        when:
          reqProperty: tier
          matches: "author|publish"
        action:
          type: block
          wafFlags:
            - SANS
            - TORNODE
            - NOUA
            - SCANNER
            - USERAGENT
            - PRIVATEFILE
            - ABNORMALPATH
            - TRAVERSAL
            - NULLBYTE
            - BACKDOOR
            - LOG4J-JNDI
            - SQLI
            - XSS
            - CODEINJECTION
            - CMDEXE
            - NO-CONTENT-TYPE
            - UTF8

分析中

前の例で説明したのと同じ手順を繰り返します。

今回は、ブロックされたリクエスト ​にエントリが表示され、クライアント IP（cli_ip）、ホスト、URL、アクション（waf_action）、ルール名（waf_match）列に対応する値が表示されます。

また、WAF フラグ配布 ​パネルと​ トップ攻撃 ​パネルには追加の詳細が表示されます。

包括的な分析

上記の​ 分析 ​の節では、ダッシュボードツールを使用して特定のルールの結果を分析する方法について説明しました。次を含む他のダッシュボードパネルを使用して、結果の分析をさらに行うことができます。

次の手順

セキュリティ侵害のリスクを軽減するために推奨されるベストプラクティスを理解します。

その他のリソース

トラフィックフィルタールールの構文

CDN ログ形式