OCI WAFについて - Speaker Deck

Slide 1

Slide 1 text

Slide 2

Slide 2 text

© 2024 Database Technology Inc. All Rights Reserved. 2 はじめに本書は、Oracle Cloud Infrastructure（以下「OCI」）のマネージドサービスであるOCI WAFについて、弊社の解釈による解説を付記して紹介するものです。 OCIの各サービスにおける最新情報については、オラクル社による公式情報をご確認ください。 OCIコンソールの実際の画面は、本書と若干異なる可能性がございます。

Slide 3

Slide 3 text

© 2024 Database Technology Inc. All Rights Reserved. 3 Index 1. WAFとは 2. OCI WAFとは 3. エッジポリシー（WAF v1）とは 4. WAFポリシー（WAF v2）とは 5. 各OCI WAFポリシーの違いについて 6. エッジポリシーの防御方法について 1. BOT管理について 2. アクセス制御について 3. 脅威インテリジェンスについて 4. 保護ルールについて 7. WAFポリシーの防御方法について 1. アクセス制御について 2. レート制限について 3. 保護ルールについて 8. まとめ

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

© 2024 Database Technology Inc. All Rights Reserved. 6 1：サイバー攻撃について ⚫ サイバー攻撃の種類は様々（クロスサイトスクリプティング、SQLインジェクション、ブルートフォースアタック、DDoS、etc.） ⚫ サイバー攻撃は多様化しており、甚大な被害をもたらす ⚫ 背景に、ECサイトを始めとしたWebサービスの普及に伴う脆弱性の増加攻撃方法も巧妙化しており、近年非常に増加している

Slide 7

Slide 7 text

© 2024 Database Technology Inc. All Rights Reserved. 7 1：WAFでは何を防げるのか1 ⚫ WAFはWebアプリケーション保護特化なので、他の防御方法と組み合わせる必要がある ⚫ 各防御方法の考え方 ⚫ WAF：Webアプリケーションレベルの防御 ⚫ IDS／IPS：OS・Webサーバレベルの防御 ⚫ FW（FireWall）：ネットワークレベルの防御防御方法によって防げる攻撃が異なる

Slide 8

Slide 8 text

© 2024 Database Technology Inc. All Rights Reserved. 8 1：WAFでは何を防げるのか2 ネットワーク OS Webシステム Webサーバ Webアプリケーション IDS／IPS ファイアウォール WAF ネットワークレベルの攻撃 OS・Webサーバレベルの攻撃 Webアプリケーションレベルの攻撃ポートスキャン、など SYNフラッド攻撃、 DoS攻撃、など SQLインジェクション、クロスサイトスクリプティング、など

Slide 9

Slide 9 text

Slide 10

Slide 10 text

© 2024 Database Technology Inc. All Rights Reserved. 10 2：OCI WAFとは ⚫ OCI WAFの概要 ⚫ WAFをクラウド型で提供する、OCIのマネージドサービス ⚫ 2種類の OCI WAFポリシーが存在する ⚫ エッジポリシー（WAF v1） ⚫ WAFポリシー（WAF v2） ⚫ エッジポリシーとWAFポリシーでは、設定方法や防御方法が異なる構成に合わせて、適切なOCI WAFポリシーを使用 OCI WAF

Slide 11

Slide 11 text

© 2024 Database Technology Inc. All Rights Reserved. 11 2：OCI WAFの特徴について ⚫ Webアプリケーションの保護 ⚫ 様々なサイバー攻撃のトラフィックを解析 ⚫ Webアプリケーションのプロキシとして動作し、多層的に不正なアクセスを検出し遮断する ⚫ OCIの専門チームが24時間365日監視・対応 ⚫ OCI WAFは常に進化している ⚫ 毎月の無料枠が豊富 ⚫ 1個のOCI WAFポリシー ⚫ 1000万件の受信したリクエスト

Slide 12

Slide 12 text

Slide 13

Slide 13 text

© 2024 Database Technology Inc. All Rights Reserved. 13 3：エッジポリシーとは ⚫ エッジポリシー（WAF v1） ⚫ 2019/02 から提供されている古いWAF ⚫ 世界中のリージョンにあるOCIのエッジPOPに設定されているWAFサーバにデプロイ ⚫ POP（Point Of Presence）はアクセスポイント ⚫ グローバルなエッジPOPは、現在11箇所ある（東京やアッシュバーンなど） ⚫ WAFの設定を変更した場合は、変更の公開が必要であり、反映までに10分以上かかる ⚫ CNAMEレコードを用いて、エッジPOPに設定されているWAFサーバの中でクライアントに一番近いものを経由 ⚫ 複雑な構成だが、フルスタックのWAF機能を使用可能 ⚫ パブリックなWebアプリケーションが対象

Slide 14

Slide 14 text

© 2024 Database Technology Inc. All Rights Reserved. 14 Tips：エッジポリシーにおけるWAFサーバの経由方法 ⚫ グローバルIPアドレスとドメイン名 ⚫ Webサーバには、グローバルIPアドレス（8.8.8.8など）がある ⚫ グローバルIPアドレスに対応するドメイン名（example.com）も取得可能 ⚫ CNAMEレコード ⚫ エッジポリシー作成時、ドメイン名に対応するCNAMEターゲット（example- com.o.waas.oci.oraclecloud.net）が作成される ⚫ CNAMEターゲットは、WAFサーバのドメイン名 ⚫ ドメイン名からCNAMEターゲットにリンクするためのCNAMEレコードを作成 ⚫ CNAMEレコードにより、ドメイン名を使用したリクエストが、クライアントに一番近いWAF サーバを経由

Slide 15

Slide 15 text

© 2024 Database Technology Inc. All Rights Reserved. 15 Edge POP（Tokyo） WAF サーバ Edge POP（Ashburn） WAF サーバ 3：エッジポリシーの動作 OCI Region:ap-tokyo-1 Availability Domain 1 Subnet A 10.1.0.0/27 Web Server VCN On-Premises Virtual Machine 利用者ハッカーハッカー OCI WAF

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

© 2024 Database Technology Inc. All Rights Reserved. 18 4： WAFポリシーとは ⚫ WAFポリシー（WAF v2） ⚫ 2021/10 から提供されている新しいWAF ⚫ OCI ロードバランサに直接デプロイ ⚫ フレキシブルロードバランサのみサポート ⚫ ネットワークロードバランサはサポートしていない ⚫ 複数のロードバランサにデプロイ可能 ⚫ WAFの設定を変更した場合は、すぐに反映される ⚫ エッジポリシーよりも簡単でシンプルな設定・構成 ⚫ パブリックおよびプライベートなWebアプリケーションが対象

Slide 19

Slide 19 text

© 2024 Database Technology Inc. All Rights Reserved. 19 4： WAFポリシーの動作 OCI Region:ap-tokyo-1 Availability Domain 1 Subnet A 10.1.0.0/27 Web server Load Balancer VCN On-Premises Virtual Machine Load Balancer Internet Gateway ハッカー利用者 OCI WAF

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

© 2024 Database Technology Inc. All Rights Reserved. 23 5：各OCI WAFポリシーの設定と防御方法の表評価基準エッジポリシー WAFポリシーアプリケーションのエンドポイントパブリックのみパブリックおよびプライベートアクセス制御〇〇（HTTPリクエストとHTTPレスポンス）脅威インテリジェンス〇 × 保護ルール〇〇 BOT対策〇 × レート制限〇（BOT管理のアドレスレート制限）〇

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

© 2024 Database Technology Inc. All Rights Reserved. 26 6：エッジポリシーの処理の順序 ⚫ ブラックリスト・ホワイトリスト ⚫ IPアドレスホワイトリスト（アクセス制御） ⚫ 良好なBOTホワイトリスト（BOT管理） ⚫ 脅威インテリジェンスによるIPブラックリスト ⚫ アクセスルール（アクセス制御） ⚫ アドレスレート制限（BOT管理） ⚫ JavaScriptチャレンジ（BOT管理） ⚫ デバイスフィンガープリントチャレンジ（BOT管理） ⚫ ヒューマンインタラクションチャレンジ（BOT管理） ⚫ CAPTHCAチャレンジ（BOT管理） ⚫ 保護ルール処理の流れ

Slide 27

Slide 27 text

Slide 28

Slide 28 text

© 2024 Database Technology Inc. All Rights Reserved. 28 6-1：BOT管理について ⚫ BOT管理 ⚫ 状況に応じてBOTトラフィックを制御 ⚫ 制御の方法 A) JavaScriptチャレンジ B) ヒューマンインタラクションチャレンジ C) デバイスフィンガープリントチャレンジ D) CAPTCHAチャレンジ E) 良好なBOTホワイトリスト F) アドレスレート制限

Slide 29

Slide 29 text

© 2024 Database Technology Inc. All Rights Reserved. 29 6-1-A：JavaScriptチャレンジについて ⚫ JavaScriptチャレンジ ⚫ リクエストがブラウザから行われたものかどうかを判断 ⚫ JavaScriptによるチャレンジがクライアントに送られ、そのチャレンジを無視してリクエストが送られた場合、トラフィックを制御 ⚫ 制御の種類 ⚫ 検出のみ ⚫ ブロック ⚫ レスポンスコードの設定 ⚫ エラーページの表示 ⚫ CAPTCHAを表示

Slide 30

Slide 30 text

© 2024 Database Technology Inc. All Rights Reserved. 30 6-1-B：ヒューマンインタラクションチャレンジについて ⚫ ヒューマンインタラクションチャレンジ ⚫ リクエストが人間の操作によるものかどうかを判断 ⚫ マウス移動、サイト滞在時間、ページスクロールといった人間特有の操作を検出 ⚫ ブラウザ内の様々なイベントリスナーをチェックし、トラフィックを制御 ⚫ 制御の種類 ⚫ 検出のみ ⚫ ブロック ⚫ レスポンスコードの設定 ⚫ エラーページの表示 ⚫ CAPTCHAを表示

Slide 31

Slide 31 text

© 2024 Database Technology Inc. All Rights Reserved. 31 6-1-C：デバイスフィンガープリントチャレンジについて ⚫ デバイスフィンガープリントチャレンジ ⚫ ブラウザ経由で取得出来るパラメータを基に判断 ⚫ 仮想ブラウザと実ブラウザでハッシュ化されたフィンガープリントを生成し、それを基にトラフィックを制御 ⚫ 制御の種類 ⚫ 検出のみ ⚫ ブロック ⚫ レスポンスコードの設定 ⚫ エラーページの表示 ⚫ CAPTCHAを表示

Slide 32

Slide 32 text

Slide 33

Slide 33 text

© 2024 Database Technology Inc. All Rights Reserved. 33 6-1-E：良好なBOTホワイトリストについて1 ⚫ 良好なBOTホワイトリスト ⚫ Googleの様な、既知のプロバイダをリスト化 ⚫ IPアドレスホワイトリストは、二番目に評価される ⚫ 特定の良好なBOTは、WAFの制御対象から除外する事が可能で、対象のトラフィックはWAFによって制御されず、全て許可される

Slide 34

Slide 34 text

Slide 35

Slide 35 text

© 2024 Database Technology Inc. All Rights Reserved. 35 6-1-F：アドレスレート制限について ⚫ アドレスレート制限 ⚫ 同一IPからのリクエスト制限を設けて制御 ⚫ レイヤー7のDDoS攻撃やブルートフォース攻撃に対して、有効的（レイヤー3／4の DDoS攻撃への防御は、OCIレベルで提供されている） ⚫ OCIコンソール画面では設定できず、APIやOCI CLIを使って設定を行う ⚫ 制御の種類 ⚫ ブロック ⚫ レスポンスコードの設定

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

© 2024 Database Technology Inc. All Rights Reserved. 38 6-2-A：アクセスルールについて1 ⚫ アクセスルール ⚫ リクエストの属性に応じて、トラフィックを制御 ⚫ 様々な属性が使用可能で、複数の条件からなるアクセスルールも作成可能 ⚫ 制御の種類 ⚫ ログに記録し許可 ⚫ 検出のみ ⚫ ブロック ⚫ リダイレクト ⚫ バイパス（BOT管理で行われる特定のチャレンジを、例外的に省略） ⚫ CAPTCHAを表示

Slide 39

Slide 39 text

© 2024 Database Technology Inc. All Rights Reserved. 39 6-2-A：アクセスルールについて2 評価基準内容備考・URL ・is（次の通り）・is not（次の通りではない）・starts with（次で始まる）・does not start with（次で始まらない）・part ends with（次で終わる）・part does not end with（次で終わらない）・part contains（次を含む）・part does not contain（次を含まない）・regex（正規表現）・does not match regex（正規表現不一致）・URL正規表現一致では、Perl互換の正規表現が使用されます。細かい条件設定が可能

Slide 40

Slide 40 text

© 2024 Database Technology Inc. All Rights Reserved. 40 6-2-A：アクセスルールについて3 評価基準内容備考・国／リージョン・ユーザエージェント・HTTPメソッド・is（次の通り）・is not（次の通りではない）・国／リージョンでは、APIの場合は2文字の国コードを使用します。・使用可能なHTTPメソッドは、GET、 POST、PUT、DELETE、HEAD、 CONNECT、OPTIONS、TRACE、 PATCHです。・HTTPヘッダ・contains（次を含む）・: のように入力します。ワイルドカードは使用出来ません。・IPアドレス・is（次の通り）・is not（次の通りではない）・in Address List（アドレスリストにある）・not in Address List（アドレスリストにない）・IPv4、CIDRをサポートしていますが、 IPv6はサポートしていません。・IPアドレスリストを選択する場合は、事前に作成しておきます。細かい条件設定が可能

Slide 41

Slide 41 text

© 2024 Database Technology Inc. All Rights Reserved. 41 6-2-B：IPアドレスホワイトリストについて ⚫ IPアドレスホワイトリスト ⚫ 許可したい接続元のIPアドレスを記述 ⚫ IPアドレスホワイトリストは、一番最初に評価される ⚫ 特定のIPv4かCIDRは、WAFの制御対象から除外する事が可能で、対象のトラフィックはWAFによって制御されず、全て許可される IPアドレスホワイトリストは使い方に気を付けて！

Slide 42

Slide 42 text

Slide 43

Slide 43 text

© 2024 Database Technology Inc. All Rights Reserved. 43 6-3：脅威インテリジェンスについて ⚫ 脅威インテリジェンス ⚫ 複数の外部機関から提供された、悪意のあるIPアドレスリストを使った制御 ⚫ OCIコンソール画面では設定できず、APIやOCI CLIを使って設定を行う ⚫ IPアドレスリストは毎日更新され、最新のソースは以下のリンクから確認可能 ⚫ https://docs.oracle.com/ja-jp/iaas/Content/WAF/Tasks/threatintel.htm ⚫ 制御の種類 ⚫ オフ ⚫ 検出 ⚫ ブロック

Slide 44

Slide 44 text

Slide 45

Slide 45 text

© 2024 Database Technology Inc. All Rights Reserved. 45 6-4：保護ルールについて ⚫ 保護ルール ⚫ 保護ルールに一致するトラフィックを制御 ⚫ 約680の保護ルールがあり、以下のリンクから確認可能 https://docs.oracle.com/ja- jp/iaas/Content/WAF/Reference/protectionruleids.htm#Supported_Protection_Rules ⚫ 有効化できる保護ルールは最大で100個まで ⚫ 制御の種類 ⚫ オフ ⚫ 検出のみ ⚫ ブロック ⚫ 除外（条件に合う場合は、例外的に保護ルールの制御から除外される）

Slide 46

Slide 46 text

© 2024 Database Technology Inc. All Rights Reserved. 46 6-4：カスタム保護ルールについて ⚫ カスタム保護ルール ⚫ 保護ルールを自分で作成する事も可能 ⚫ 有効化できる保護ルールの上限に含まれる ⚫ カスタム保護ルールとしてModSecurityルール言語を使用しており、以下のリンクから確認可能 https://github.com/owasp-modsecurity/ModSecurity

Slide 47

Slide 47 text

Slide 48

Slide 48 text

Slide 49

Slide 49 text

© 2024 Database Technology Inc. All Rights Reserved. 49 Tips：保護ルールの分類とは？ ⚫ 保護ルールの分類 1. OWASP ModSecurity Core Rule Set（CRS） & Top10 2. Common Attack Pattern Enumeration & Classification（CAPEC） 3. CVE（共通脆弱性識別子） 4. WASC Threat Classification（WASCTC） 5. Oracle独自定義 ⚫ 保護ルールはタグ付けされており、タグで分類を識別可能 ⚫ WAFポリシーではタグによるフィルタ検索が可能だが、エッジポリシーでは不可能（Ctrl + F でブラウザ検索をするしかない）

Slide 50

Slide 50 text

© 2024 Database Technology Inc. All Rights Reserved. 50 Tips-1：OWASP ModSecurity Core Rule Set（CRS） & Top10 とは ⚫ OWASP ModSecurity Core Rule Set（CRS） & Top10 ⚫ OWASP ModSecurity Core Rule Set（CRS） ⚫ WAFで使用するための、一般的な攻撃検出ルールセット ⚫ https://owasp.org/www-project-modsecurity-core-rule-set/ ⚫ OWASP Top10 ⚫ 特に危険性が高いトップ10の項目（2017年版調査結果と2021年版調査結果がある） ⚫ https://owasp.org/www-project-top-ten/ ⚫ 特に危険性が高い項目や一般的な攻撃への防御に役立つ

Slide 51

Slide 51 text

© 2024 Database Technology Inc. All Rights Reserved. 51 Tips-2：Common Attack Pattern Enumeration & Classification（CAPEC）とは ⚫ Common Attack Pattern Enumeration & Classification（CAPEC） ⚫ セキュリティ攻撃パターンを網羅的に分類・カタログ化 ⚫ https://capec.mitre.org/ ⚫ まるで辞書の様な内容で、包括的な防御に役立つコンソール上ではCAPECとしか書かれていないので、詳細を知りたい場合は、CAPECのHPで検索

Slide 52

Slide 52 text

© 2024 Database Technology Inc. All Rights Reserved. 52 Tips-3：CVE（共通脆弱性識別子）とは ⚫ CVE（共通脆弱性識別子） ⚫ 公開されているサイバーセキュリティの脆弱性を定義・カタログ化 ⚫ https://www.cve.org/ ⚫ まるで辞書の様な内容で、包括的な防御に役立つ CVEはIDまで表記されている。詳細を知りたい場合は、CVEのHPで検索

Slide 53

Slide 53 text

© 2024 Database Technology Inc. All Rights Reserved. 53 Tips-4：WASC Threat Classification（WASCTC）とは ⚫ WASC Threat Classification（WASCTC） ⚫ Webセキュリティ上の脅威を明確化して整理 ⚫ http://projects.webappsec.org/w/page/13246978/Threat%20Classification ⚫ まるで辞書の様な内容で、包括的な防御に役立つ WASCTCとしか書かれていないので、詳細を知りたい場合は、WASCTCのHPで検索

Slide 54

Slide 54 text

© 2024 Database Technology Inc. All Rights Reserved. 54 Tips-5：Oracle独自定義とは ⚫ Oracle独自定義 ⚫ Oracleによって独自に定義された項目 ⚫ https://docs.oracle.com/ja-jp/iaas/Content/WAF/Reference/protectionruleids.htm ⚫ よく推奨事項に表示される他の分類に使われていたタグが無いのが Oracle独自定義

Slide 55

Slide 55 text

Slide 56

Slide 56 text

Slide 57

Slide 57 text

Slide 58

Slide 58 text

Slide 59

Slide 59 text

Slide 60

Slide 60 text

© 2024 Database Technology Inc. All Rights Reserved. 60 7-1-A：リクエスト制御について ⚫ リクエスト制御 ⚫ アクセスルールを作成して、 HTTPリクエストを制御 ⚫ アクセスルール ⚫ 条件に一致するトラフィックを制御 ⚫ 様々な属性が使用可能で、複数の条件からなるアクセスルールも作成可能 ⚫ アクセスルールとしてJMESPath言語を使用しており、以下のリンクから確認可能 https://jmespath.org/specification.html ⚫ 制御の種類 ⚫ 許可 ⚫ チェック ⚫ HTTPレスポンスを返却

Slide 61

Slide 61 text

© 2024 Database Technology Inc. All Rights Reserved. 61 7-1-A：アクセスルールについて1 評価基準内容備考・Path ・Host ・is（次の通り）・is not（次の通りではない）・starts with（次で始まる）・does not start with（次で始まらない）・ends with（次で終わる）・does not end with（次で終わらない）・contains（次を含む）・does not contain（次を含まない）・リクエストヘッダ・リクエストcookies ・問い合わせ接頭辞・exists（次が存在する）・does not exist（次が存在しない）・contains（次を含む）・does not contain（次を含まない）リクエスト制御

Slide 62

Slide 62 text

© 2024 Database Technology Inc. All Rights Reserved. 62 7-1-A：アクセスルールについて2 評価基準内容備考・国／リージョン・リクエストメソッド・in list（次のリストの通り）・not in list（次のリストの通りではない）・国／リージョンでは、APIの場合は2文字の国コードを使用します。・使用可能なHTTPメソッドは、GET、 POST、PUT、DELETE、HEAD、 CONNECT、OPTIONS、TRACE、PATCH、 PROPFINDです。・ソースIPアドレス・in list（次のリストの通り）・not in list（次のリストの通りではない）・in network address List（アドレスリストにある）・not in network Address List（アドレスリストにない）・IPv4、CIDR、IPv6をサポートしています。リクエスト制御

Slide 63

Slide 63 text

© 2024 Database Technology Inc. All Rights Reserved. 63 7-1-B：レスポンス制御について ⚫ レスポンス制御 ⚫ アクセスルールを作成して、 HTTPレスポンスを制御 ⚫ アクセスルール ⚫ 条件に一致するトラフィックを制御 ⚫ 様々な属性が使用可能で、複数の条件からなるアクセスルールも作成可能 ⚫ アクセスルールとしてJMESPath言語を使用しており、以下のリンクから確認可能 https://jmespath.org/specification.html ⚫ 制御の種類 ⚫ 許可 ⚫ チェック ⚫ HTTPレスポンスを返却

Slide 64

Slide 64 text

© 2024 Database Technology Inc. All Rights Reserved. 64 7-1-B：アクセスルールについて1 評価基準内容備考・Host ・is（次の通り）・is not（次の通りではない）・starts with（次で始まる）・does not start with（次で始まらない）・ends with（次で終わる）・does not end with（次で終わらない）・contains（次を含む）・does not contain（次を含まない）レスポンス制御

Slide 65

Slide 65 text

© 2024 Database Technology Inc. All Rights Reserved. 65 7-1-B：アクセスルールについて2 評価基準内容備考・レスポンスコード・is（次の通り）・is not（次の通りではない）・レスポンスヘッダ・exists（次が存在する）・does not exist（次が存在しない）・contains（次を含む）・does not contain（次を含まない）レスポンス制御

Slide 66

Slide 66 text

Slide 67

Slide 67 text

© 2024 Database Technology Inc. All Rights Reserved. 67 7-2：レート制限について ⚫ レート制限 ⚫ 同一IPからのリクエスト制限を設けて制御 ⚫ レイヤー7のDDoS攻撃やブルートフォース攻撃に対して、有効的（レイヤー3／4の DDoS攻撃への防御は、OCIレベルで提供されている） ⚫ オプションで、前のページにて表記したリクエスト制御のアクセスルールの条件と組み合わせる事も可能（IPアドレスや国／リージョンなど） ⚫ 制御の種類 ⚫ チェック ⚫ HTTPレスポンスを返却

Slide 68

Slide 68 text

Slide 69

Slide 69 text

Slide 70

Slide 70 text

© 2024 Database Technology Inc. All Rights Reserved. 70 7-3-A：保護ルールについて ⚫ 保護ルール ⚫ 保護ルールに一致するトラフィックを制御 ⚫ 約490の保護ルールがあり、以下のリンクから確認可能 https://docs.oracle.com/ja- jp/iaas/Content/WAF/Protections/protections_management.htm#ProtectionRulesWAF ⚫ 有効化できる保護ルールは最大で300個まで ⚫ 制御の種類 ⚫ チェック ⚫ HTTPレスポンスを返却 ⚫ 除外（条件に合う場合は、例外的に保護ルールの制御から除外される）

Slide 71

Slide 71 text

Slide 72

Slide 72 text

© 2024 Database Technology Inc. All Rights Reserved. 72 7-3-B：リクエスト保護ルールについて ⚫ リクエスト保護ルール ⚫ 悪意のあるコンテンツがHTTPリクエストにあるかをチェックし、トラフィックを制御 ⚫ HTTPリクエストの本文の中で、検査する量の範囲を設定（0～8192バイト） ⚫ オプションで、前のページにて表記したリクエスト制御のアクセスルールの条件と組み合わせる事も可能（IPアドレスや国／リージョンなど） ⚫ 制御の種類 ⚫ 本文の一部を検査して続行（指定されたサイズ制限まで検査し、制限を超えた場合はそれ以上の制御を実行しない） ⚫ HTTPレスポンスを返却（指定された制限サイズを超えた場合は、ブロック）

Slide 73

Slide 73 text

Slide 74

Slide 74 text

© 2024 Database Technology Inc. All Rights Reserved. 74 8：まとめ ⚫ OCI WAFは多層的な防御により、アプリケーションの保護が可能 ⚫ 毎月の無料枠があるので、気軽に利用可能 ⚫ エッジポリシーとWAFポリシーには様々な違いがある ⚫ エッジポリシーは防御方法は豊富だが、設定が複雑 ⚫ WAFポリシーは防御方法はシンプルだが、設定が簡単目的に合わせたOCI WAFポリシーの利用を！

Slide 75

Slide 75 text

© 2024 Database Technology Inc. All Rights Reserved. 75 お問い合わせ OCIに関するお困りごとは，ぜひ弊社までご相談ください。お電話でのお問い合わせ 075-231-6131 受付時間：平日 10:00～17:00 メールでのお問い合わせ inquiry@db-tec.com ※お手数ですが、御社名、ご氏名、お問い合わせ内容を本文中にご記載ください。 https://www.db-tec.com/ 弊社ホームページからも、お問い合わせを承っております。 Oracleは、オラクルおよびその関連会社の登録商標です。その他の社名、商品名等は各社の商標または登録商標である場合があります。