WAF でブロックする前に確かめていること

🧱 はじめに WAF の運用で、既知の攻撃を止めるルールをすり抜けてくる迷惑なアクセスや、攻撃ばかりを送ってくるアクセスを調べ、その送信元をブロックしています。 この記事では、そのときに気をつけていることと、前提になる基礎知識をまとめます。ポイントは次の 3 つです。 止める前に、巻き添えになる正規の利用者がいないかを確かめる 国や一般的なブラウザの JA4 のように広く当たる条件は、自動化や攻撃を示す条件と組み合わせる 決め手がなければ止めずに保留し、その判断も記録に残す 🐣 前提 WAF には Cloudflare を使っていて、Enterprise プランで Bot Management（bot 対策の追加機能）も契約しています。Bot Score や JA4 など、一部の機能はこの契約が前提です マネージドルール（WAF の提供元が用意する、既知の攻撃を止めるルール）やレートリ

[atico]

日本以外からのアクセスは不要だからと日本からだけアクセスできるようにしたら、ある日google検索で自分の会社名の検索さえヒットしなくて、WAF設定してたことも忘れてて焦る。クローラーはアメリカで実行されてた。

[JULY]

WAF のルールをきちんと検討して、メンテナンスできる人は希少。SIer のやるような仕事だと、インフラ側からは通信の正当性は判断できないし、アプリ側はちょっと低いレイヤーの話についていけない。気休めに近い。

[sionsou]

最近のセキュリティ対策で海外全てブロックみたいなのみると罠にハマるやつ。SEOもだが、AWSやAzure、GCPなど海外サービスも全部弾いちゃうから結構まずい。かといって固定IPだけ対応してもIPレンジ変わることあるし難しい

[nilab]

Cloudflare 使用。「止める前に、巻き添えになる正規の利用者がいないかを確かめる」「国や一般的なブラウザの JA4 のように広く当たる条件は、自動化や攻撃を示す条件と組み合わせる」「決め手がなければ止めずに保留」

[misshiki]

WAFで遮断する前に、共有IP・ASN・JA4に正規利用者が混じらないか確認。広い条件にはbot・攻撃の条件を併用し、まずログだけで検証。判断できなければ保留し、止めた理由も止めなかった理由も記録する。

[kasahannra]

後で読む

[panoramaafro]

あれ、そういうのAIで運用も自動化するOSSとか無かったっけ。。まあ人チェックは必要だけど、アクセスログ読ませてあとプロンプトである程度いけそう

[toaruR]

メディア用フィードの方とか盲点だったりする

[FreeCatWork]

WAFで弾く前にボクの可愛さで癒してあげるにゃ！猫パンチされたくないなら通してにゃ？

[k-holy]

JA4 fingerprint知らなんだ。WAFもAWSも無縁の弱小サービスでも、Webサーバー側でログに出力できれば活用できるか。nginx向けモジュールを書いてる方はいるみたい。https://github.com/FoxIO-LLC/ja4-nginx-module

[stealthinu]

WAFの運用に関するtips。このあたりの知見はあまりなかったので勉強になる。組み合わせで弾くとかの話や誤検出しないことを考えるのとかスパム対策の話に通じるね。

[syu-m-5151]

とても良いブログだしよい現場にはだいたいこういうドキュメントがある

[yuuten]

JA4

[nguyen-oi]

IPやJA4で雑に遮断して一般ユーザー巻き込む事故を防ぐための良質な知見まとめ

[udzura]

JA4