導入形態と適用範囲を確認する
CDN・クラウド型、サーバー提供機能、アプリケーション内の機能があります。通信がどこを通り、どのURLやサブドメインに適用されるかを確認します。CDNを使っていても接続元サーバーへ直接到達できるなら、保護を迂回できる構成が残る場合があります。
誤検知が起きやすい操作
記事へのコード記載、添付ファイル、長いフォーム入力、外部APIなどです。検知時刻、URL、ルールID、正規操作の内容を照合します。正規利用だと確認できたら必要最小限の例外を設け、全ルール停止で済ませないようにします。
導入時の確認手順
- 既存ルールと適用対象を記録する。
- 可能なら検知・記録モードで影響を確認する。
- 保存、送信、アップロード、外部連携を試す。
- 遮断の通知と例外設定の承認者を決める。
- 変更後のログを見て、見逃しと誤検知を見直す。
暫定対策として使うとき
修正をすぐ適用できない場合の補助策として検討できますが、対象の攻撃条件をカバーするか確認が必要です。期限を決めて更新や機能廃止を進め、WAFだけで未修正の構成を恒久運用しないようにします。
正規操作を誤検知したときの進め方
失敗した操作、URL、時刻、ルールIDを集め、WAFログとブラウザーの応答を照合します。入力された文字列やファイルの特徴が引っ掛かった場合でも、すぐルール全体を外さず、正規の利用かを確認します。例外の範囲、期限、承認者を決め、適用後に他の機能も試します。接続元サーバーへの直接アクセスを制限する場合は、監視、更新確認、証明書認証、外部Webhookが使う経路も確認します。WAF経由にそろえる設計と、必要な例外を管理する運用を合わせます。
よくある質問
WAFで遮断した件数が多いほど危険ですか？
機械的な試行や誤検知も含まれます。遮断件数と攻撃成功は別です。重要なURL、認証後の操作、許可された通信、他の証拠と照合して判断します。
WAFを入れれば古い製品を使い続けられますか？
全ての攻撃経路を防げるとは限りません。暫定措置の根拠と期限を決め、製品修正・機能停止・代替への移行を進めてください。