Web Application Firewall の DRS および CRS の規則グループと規則

Application Gateway Web アプリケーション ファイアウォール (WAF) の Azure で管理される既定の規則セット (DRS) は、一般的な脆弱性や悪用から Web アプリケーションを積極的に保護します。 Azure によって管理されるこれらのルール セットは、新しい攻撃シグネチャから保護するため、必要に応じて更新プログラムを受け取ります。 また、既定のルール セットには、Microsoft 脅威インテリジェンス コレクションのルールも組み込まれています。 Microsoft のインテリジェンス チームは、これらのルールの作成で共同作業を行い、カバレッジの強化、特定の脆弱性パッチ、および擬陽性の減少の改善を保証します。

ルールを個別に無効にすることも、ルールごとに特定のアクションを設定することもできます。 この記事では、現在利用できるルールとルール セットの一覧を示します。 公開されているルール セットの更新が必要な場合は、こちらにそれを記載します。

既定の規則セット 2.1

既定の規則セット (DRS) 2.1 は、Open Web Application Security Project (OWASP) Core Rule Set (CRS) 3.3.2 からベースライン化され、Microsoft Threat Intelligence チームによって開発された追加の独自の保護規則と、誤検知を減らすための署名の更新が含まれています。 また、URL デコード以外の変換もサポートしています。

DRS 2.1 には、Java インジェクションに対する防御用の新しいエンジンと新しいルール セット、ファイル アップロード チェックの初期セット、CRS バージョンと比較した誤検知の数が少なくなります。 また、ニーズに合わせて規則をカスタマイズすることもできます。 新しい Azure WAF エンジンの詳細を確認します。

次の表に示すように、DRS 2.1 には 17 個の規則グループが含まれています。 各グループには複数の規則が含まれており、個々の規則、規則グループ、または規則セット全体の動作をカスタマイズできます。

DRS 2.1 の微調整ガイダンス

Application Gateway WAF での DRS 2.1 の使用を開始するときに WAF を調整するには、次のガイダンスを使用します。

コア ルール セット (CRS) - レガシ

推奨される管理ルール セットは既定の規則セット 2.1 です。これは、Open Web Application Security Project (OWASP) Core Rule Set (CRS) 3.3.2 からベースライン化され、Microsoft Threat Intelligence チームによって開発された追加の独自の保護規則と、誤検知を減らすための署名の更新が含まれています。 新しい WAF ポリシーを作成するときは、推奨される最新のルールセット バージョン DRS 2.1 を使用する必要があります。 CRS 3.2 または CRS 3.1 を使用する既存の WAF ポリシーがある場合は、DRS 2.1 にアップグレードすることをお勧めします。 詳細については、 CRS または DRS ルールセットのバージョンのアップグレードを参照してください。

マネージド規則セットのチューニング

WAF ポリシーの検出モードでは、DRS と CRS の両方が既定で有効になっています。 アプリケーション要件に合わせて、マネージド規則セット内の規則を個別に有効または無効にすることができます。 また、規則ごとに特定のアクションを設定することもできます。 DRS/CRS では、ブロック、ログ、異常スコアのアクションがサポートされます。 Bot Manager ルールセットでは、許可、ブロック、ログのアクションがサポートされます。

場合によっては、WAF の評価から特定の要求属性を省略する必要があります。 一般的な例として、認証に使用される、Active Directory で挿入されたトークンが挙げられます。 除外は、特定の WAF ルールが評価される際に適用されるように、またはすべての WAF ルールの評価にグローバルに適用されるように構成することができます。 除外ルールは、Web アプリケーション全体に適用されます。 詳細については、Azure Web Application Firewall (WAF) とアプリケーション ゲートウェイ除外リストに関する記事を参照してください。

既定では、Azure WAF では、要求がルールと一致するときに異常スコアリングが使用されます。 さらに、コア ルール セットで構成済みの規則のいずれかをバイパスする場合は、同じ WAF ポリシーでカスタム規則を構成できます。

カスタム ルールは常に、コア ルール セット内のルールが評価される前に適用されます。 要求がカスタム規則に一致した場合、対応する規則のアクションが適用されます。 要求はブロックされるか、バックエンドに渡されます。 他のカスタム ルールやコア ルール セット内のルールは処理されません。

異常スコアリング

CRS または DRS 2.1 以降を使用する場合、WAF は既定で異常スコアリングを使用するように構成されます。 WAF が防止モードであっても、いずれかの規則に一致するトラフィックはすぐにはブロックされません。 その代わり、OWASP ルール セットでは、各規則に対して重大、エラー、警告、注意のいずれかの重大度が定義されています。 重大度は、異常スコアという要求の数値に影響します。

異常スコアが 5 以上で、WAF が防止モードになっている場合、要求はブロックされます。 異常スコアが 5 以上で、WAF が検出モードになっている場合、要求はログに記録されますが、ブロックされません。

たとえば防止モードになっているときには、1 つの "重大" 規則が一致しただけでも、全体の異常スコアは 5 になるので、WAF によって要求はブロックされます。 一方、1 つの "警告" 規則が一致した場合、異常スコアの増加は 3 のみです。これだけではトラフィックはブロックされません。 異常ルールがトリガーされると、ログには "Matched" アクションが示されます。 異常スコアが 5 以上の場合は、WAF ポリシーが防止モードか検出モードかに応じて、"ブロック" または "検出" アクションでトリガーされる別のルールがあります。 詳細については、「 異常スコアリング モード」を参照してください。

パラノイア レベル

各ルールは、特定のパラノイア レベル (PL) で割り当てられます。 パラノイア レベル 1 (PL1) で構成されたルールは攻撃的でなく、誤検知を引き起こすことはほとんどありません。 これらは、微調整の必要性を最小限に抑えてベースライン セキュリティを提供します。 PL2 のルールは、より多くの攻撃を検出しますが、微調整する必要がある誤検知をトリガーすることが期待されます。

既定では、DRS 2.1 および CRS 3.2 ルール バージョンは、PL1 と PL2 の両方で割り当てられたルールを含め、Paranoia レベル 2 で事前に構成されています。 WAF を PL1 のみで使用する場合は、PL2 ルールの一部またはすべてを無効にするか、アクションを "log" に変更できます。 現在、PL3 と PL4 は Azure WAF ではサポートされていません。

ルールセットのバージョンのアップグレードまたは変更

新しいルールセットバージョンをアップグレードまたは割り当て、既存のルールのオーバーライドと除外を保持する場合は、PowerShell、CLI、REST API、またはテンプレートを使用してルールセットのバージョンを変更することをお勧めします。 新しいバージョンのルール セットには、新しいルールまたは追加のルール グループを含めることができます。このルール グループは、安全に検証できます。 テスト環境での変更を検証し、必要に応じて微調整してから、運用環境にデプロイすることをお勧めします。 詳細については、CRS または DRS ルールセットのバージョンのアップグレードを参照してください。

Azure portal を使用して新しいマネージド ルールセットを WAF ポリシーに割り当てる場合、ルールの状態、ルール アクション、ルール レベルの除外など、既存のマネージド ルールセットの以前のカスタマイズはすべて、新しいマネージド ルールセットの既定値にリセットされます。 ただし、カスタム ルール、ポリシー設定、グローバル除外は、新しいルールセットの割り当ての間に影響を受けず維持されます。 運用環境にデプロイする前に、ルールのオーバーライドを再定義し、変更を検証する必要があります。

Bot Manager 1.0

Bot Manager 1.0 ルール セットでは、悪意のあるボットに対する保護を行い、良いボットを検出します。 これらのルールを利用して、ボット トラフィックを Good (良い)、Bad (悪い)、Unknown (不明) のボットとして分類して、WAF によって検出されたボットをきめ細かく制御できます。

Bot Manager 1.1

Bot Manager 1.1 ルール セットは、Bot Manager 1.0 ルール セットを改良したものです。 悪意のあるボットに対する保護が強化され、良いボットの検出が向上しています。

次の規則グループと規則は、Application Gateway で Web アプリケーション ファイアウォールを使用するときに利用できます。

以前のコア ルール セットのバージョンを次に示します。 CRS 3.2、CRS 3.1、CRS 3.0、または CRS 2.2.9 を使用している場合は、DRS 2.1 の最新のルールセット バージョンにアップグレードすることをお勧めします。 詳細については、 ルールセットのバージョンのアップグレードまたは変更を参照してください。

関連コンテンツ

• Azure portal を使用した Web アプリケーション ファイアウォール規則のカスタマイズ
• Azure ネットワーク セキュリティの詳細を確認する