Web Application Firewall の DRS 規則グループと規則

Azure Front Door 上の Azure Web Application Firewall は、Web アプリケーションを一般的な脆弱性や悪用から保護します。 Azure で管理される規則セットでは、一般的なセキュリティ脅威のセットに対する保護をデプロイする簡単な方法が提供されます。 Azure がこれらのルール セットを管理するので、ルールは、新しい攻撃シグネチャから保護するために必要に応じて更新されます。

また、既定のルール セット (DRS) には、Microsoft 脅威インテリジェンスの収集規則が含まれます。これは、Microsoft インテリジェンス チームと協力して作成されており、カバレッジの向上、特定の脆弱性に対するパッチ、擬陽性削減の向上を実現するものです。

既定の規則セット

Azure のマネージド DRS には、次の脅威カテゴリに対するルールが含まれます:

• クロスサイト スクリプティング
• Java 攻撃
• ローカル ファイル インクルージョン
• PHP インジェクション攻撃
• リモート コマンド実行
• リモート ファイル インクルージョン
• セッション固定
• SQL インジェクションからの保護
• プロトコル攻撃者

DRS のバージョン番号は、新しい攻撃シグネチャが規則セットに追加されると増分されます。

WAF ポリシーの検出モードでは、DRS が既定で有効になります。 ご自分のアプリケーション要件に合わせて、DRS 内のルールを個別に有効または無効にすることができます。 また、規則ごとに特定のアクションを設定することもできます。 使用できるアクションは許可、ブロック、ログ、リダイレクトです。

場合によっては、Web アプリケーション ファイアウォール (WAF) の評価から特定の要求属性を省略する必要があります。 一般的な例として、認証に使用される、Active Directory で挿入されたトークンが挙げられます。 管理下にあるルールやルール グループに対する除外リスト、またはルール セット全体に対する除外リストを構成することができます。 詳細については、「Azure Front Door の Azure Web Application Firewall」をご覧ください。

既定では、DRS バージョン 2.0 以降では、要求がルールと一致するときに異常スコアリングが使用されます。 2.0 より前の DRS バージョンでは、ルールをトリガーする要求がブロックされます。 また、DRS 内の事前構成済みのルールのいずれかをバイパスしたい場合は、同じ WAF ポリシーでカスタム ルールを構成できます。

カスタム ルールは常に、DRS 内のルールが評価される前に適用されます。 要求がカスタム規則に一致した場合、対応する規則のアクションが適用されます。 要求はブロックされるか、バックエンドに渡されます。 他のカスタム ルールや DRS 内のルールは処理されません。 DRS を WAF ポリシーから削除することもできます。

Microsoft 脅威インテリジェンスの収集規則

Microsoft 脅威インテリジェンスの収集規則は、Microsoft 脅威インテリジェンス チームと協力して作成されており、カバレッジの向上、特定の脆弱性に対するパッチ、擬陽性削減の向上が実現されます。

既定では、組み込みの DRS ルールの一部が Microsoft Threat Intelligence Collection ルールによって置き換えられ、無効になります。 たとえば、ルール ID 942440、「SQL コメント シーケンスが検出されました。」は無効になっており、Microsoft Threat Intelligence Collection ルール 99031002 に置き換えられました。 置き換えられたルールにより、正当な要求の誤検知のリスクが軽減されます。

異常スコアリング

DRS 2.0 以降を使う場合、WAF には "異常スコアリング" が使われます。 WAF が防止モードであっても、いずれかの規則に一致するトラフィックはすぐにはブロックされません。 その代わり、OWASP 規則セットには、各規則に対して "重大"、"エラー"、"警告"、"注意" のいずれかの重大度が定義されています。 その重大度は、"異常スコア" という要求の数値に影響します。 要求に 5 以上の異常スコアが蓄積された場合、WAF は要求に対してアクションを実行します。

WAF を構成するときに、異常スコアのしきい値 5 を超える要求を WAF で処理する方法を決定できます。 3 つの異常スコア アクション オプションは、ブロック、ログ、またはリダイレクトです。 構成時に選択した異常スコア アクションは、異常スコアのしきい値を超えるすべての要求に適用されます。

たとえば、要求の異常スコアが 5 以上で、WAF が防止モードで、異常スコア アクションがブロックに設定されている場合、要求はブロックされます。 要求の異常スコアが 5 以上で、WAF が検出モードになっている場合、要求はログに記録されますが、ブロックされません。

防止モードで、異常スコア アクションがブロックに設定されている場合、1 つの 重大ルールが一致しただけでも、全体の異常スコアは 5 になるので、WAF によって要求はブロックされます。 一方、1 つの "警告" 規則が一致した場合、異常スコアの増加は 3 のみです。これだけではトラフィックはブロックされません。 異常ルールがトリガーされると、ログには "Matched" アクションが示されます。 異常スコアが 5 以上の場合、ルール セットに設定された異常スコア アクションでトリガーされる別のルールがあります。 既定の異常スコア アクションは "ブロック" で、その結果、アクション blocked を含むログ エントリが作成されます。

WAF が (DRS 2.0 より前の) 旧バージョンの既定のルールセットを使っている場合、WAF は従来のモードで実行されます。 いずれかの規則に一致するトラフィックが、他の規則の一致とは無関係に考慮されます。 従来のモードでは、特定の要求が一致した規則の完全なセットを確認できません。

使う DRS バージョンによって、要求本文の検査でサポートされるコンテンツ タイプも決まります。 詳細については、FAQ で WAF でサポートされるコンテンツ タイプ を参照してください。

パラノイア レベル

各ルールは、特定のパラノイア レベル (PL) で割り当てられます。 パラノイア レベル 1 (PL1) で構成されたルールは攻撃的でなく、誤検知を引き起こすことはほとんどありません。 これらは、微調整の必要性を最小限に抑えてベースライン セキュリティを提供します。 PL2 のルールは、より多くの攻撃を検出しますが、誤検知をトリガーすることが予想されます。これは微調整する必要があります。

既定では、DRS 2.2 は Paranoia レベル 1 (PL1) で構成され、すべての PL2 ルールは無効になっています。 PL2 で WAF を実行するには、任意またはすべての PL2 規則を手動で有効にします。 以前の規則セットでは、DRS 2.1 と CRS 3.2 には、PL1 と PL2 の両方の規則をカバーする Paranoia レベル 2 に定義された規則が含まれています。 PL1 で厳密に操作する場合は、特定の PL2 ルールを無効にするか、アクションをログに設定します。

Paranoia レベル 3 と 4 は、Azure WAF では現在サポートされていません。

ルールセットのバージョンのアップグレードまたは変更

新しいルールセットバージョンをアップグレードまたは割り当て、既存のルールのオーバーライドと除外を保持する場合は、PowerShell、CLI、REST API、またはテンプレートを使用してルールセットのバージョンを変更することをお勧めします。 新しいバージョンのルールセットには、新しいルール、追加のルール グループを含めることができます。また、セキュリティを強化し、誤検知を減らすために既存の署名を更新することもできます。 テスト環境での変更を検証し、必要に応じて微調整してから、運用環境にデプロイすることをお勧めします。

DRS 2.2

DRS 2.2 ルールは、以前のバージョンの DRS よりも優れた保護を提供します。 これには、Microsoft 脅威インテリジェンス チームによって開発されたルールと、誤検知を減らすための署名の更新が含まれます。 また、URL デコード以外の変換もサポートしています。

DRS 2.2 には、次の表に示すように、18 個のルール グループが含まれています。 各グループには複数のルールが含まれており、個々のルール、ルール グループ、またはルール セット全体の動作をカスタマイズできます。 DRS 2.2 は、Open Web Application Security Project (OWASP) Core Rule Set (CRS) 3.3.4 からベースライン化されており、Microsoft Threat Intelligence チームによって開発された追加の独自の保護規則が含まれています。

無効化された規則

Paranoia レベル 2 で構成された DRS 2.2 ルールは、既定で無効になっています。 Paranoia レベル 1 で WAF ポリシーを構成したままにする場合は、それらの状態を無効のままにすることができます。 ポリシーのパラノイア レベルを上げたい場合は、これらのルールの状態を有効に変更し、アクションをログ モードに安全に変更できます。 ログを分析し、必要な微調整を行い、それに応じてルールを有効にします。 詳細については、「Azure Front Door と Paranoia レベルの Web アプリケーション ファイアウォール (WAF) のチューニング」を参照してください。

一部の OWASP ルールは、Microsoft が作成した置換によって置き換えられます。 元のルールは既定で無効になっており、説明の末尾は "(...) に置き換えられます。

DRS 2.1

DRS 2.1 の規則は、以前のバージョンの DRS よりも優れた保護を実現します。 これには、Microsoft 脅威インテリジェンス チームによって開発されたルールと、誤検知を減らすための署名の更新が含まれます。 また、URL デコード以外の変換もサポートしています。

次の表に示すように、DRS 2.1 には 17 個の規則グループが含まれています。 各グループには複数のルールが含まれており、個々のルール、ルール グループ、またはルール セット全体の動作をカスタマイズできます。 DRS 2.1 は、Open Web Application Security Project (OWASP) のコア ルール セット (CRS) 3.3.2 からベースライン化されており、Microsoft 脅威インテリジェンス チームによって開発された追加の独自の保護ルールが含まれています。

詳細については、「Azure Front Door 用に Web Application Firewall (WAF) を調整する」を参照してください。

無効化された規則

DRS 2.1 では、次の規則が既定で無効になっています。

DRS 2.0

DRS 2.0 の規則は、以前のバージョンの DRS よりも優れた保護を実現します。 DRS 2.0 では、URL デコード以外の変換もサポートしています。

次の表に示すように、DRS 2.0 には 17 個の規則グループが含まれています。 各グループには、複数のルールが含まれています。 個々のルールとルール グループ全体を無効にすることができます。

DRS 1.1

DRS 1.0

Bot Manager 1.0

Bot Manager 1.0 ルール セットでは、悪意のあるボットに対する保護を行い、良いボットを検出します。 これらのルールを利用して、ボット トラフィックを Good (良い)、Bad (悪い)、Unknown (不明) のボットとして分類して、WAF によって検出されたボットをきめ細かく制御できます。

Bot Manager 1.1

Bot Manager 1.1 ルール セットは、Bot Manager 1.0 ルール セットを改良したものです。 悪意のあるボットに対する保護が強化され、良いボットの検出が向上しています。

次のルール グループとルールは、Azure Front Door で Web Application Firewall を使用するときに利用できます。

関連コンテンツ

• Azure Front Door 上の Azure Web Application Firewall 用のカスタム ルール
• Azure Front Door での Web アプリケーション ファイアウォールのポリシー設定
• Azure ネットワーク セキュリティの詳細を確認する