20220725_developersio2022-waf-rule

by h-ashisan

Slide 1

Slide 1 text

"84ࣄۀຊ෦ίϯαϧςΟϯά෦Ἑ୔޿ত "848"'ͷجૅʂϦΫΤετධՁͷ࢓૊Έͱ͸ʁ

Slide 2

Slide 2 text

ࣗݾ঺հ Ἑ୔޿তʢAshizawa Hiroakiʣ • 2021೥9݄ೖࣾ • AWSιϦϡʔγϣϯΞʔΩςΫτ • ޷͖ͳAWSαʔϏε • Amazon S3 • AWS WAF

Slide 3

Slide 3 text

ຊηογϣϯʹ͍ͭͯ w ର৅ࢹௌऀ w "848"'Λӡ༻த΋͘͠͸͜Ε͔Βӡ༻͢Δํ w "848"'ͷ֓ཁ͸஌͍ͬͯΔ͕΋ͬͱৄ͘͠ͳΓ͍ͨํ w ΰʔϧ w "848"'ͷجຊతͳϦιʔεΛཧղ͢Δ w "848"'͕ϦΫΤετΛͲͷΑ͏ʹධՁ͢Δ͔ΛΠϝʔδͰ ͖ΔΑ͏ʹͳΔ

Slide 4

Slide 4 text

ຊηογϣϯͰѻΘͳ͍͜ͱ w Ұൠతͳ8"'ʹ͍ͭͯ w "848"'ͷ۩ମతͳઃఆ΍ߏஙํ๏ʹ͍ͭͯ

Slide 5

Slide 5 text

˞ ཹҙࣄ߲ w ຊηογϣϯͰݴٴ͢Δʮ"848"'ʯ͸ɺ͢΂ͯ "848"'Wͷ͜ͱΛࢦ͠·͢

Slide 6

Slide 6 text

ΞδΣϯμ "848"'ͷجૅ "848"'ͷධՁͷ࢓૊Έ ·ͱΊ

Slide 7

Slide 7 text

AWS WAFͷجૅ

Slide 8

Slide 8 text

"848"'ͷجૅ w "848"'ͱ͸ w "848"'ͷߏ੒ཁૉ w "848"'ͷΞΫγϣϯ

Slide 9

Slide 9 text

"848"'ͱ͸ w "84͕ఏڙ͢Δ8"'ʢ8FC"QQMJDBUJPO'JSFXBMMʣ αʔϏε w ؆୯ʹσϓϩΠՄೳ w ैྔ՝ۚͰ҆Ձʹར༻։࢝Ͱ͖Δ w ΠϯϑϥετϥΫνϟ͸"84ଆ͕؅ཧ w ϧʔϧͷઃఆͳͲͷӡ༻͸ར༻ऀଆͷ੹೚ൣғ

Slide 10

Slide 10 text

"848"'ͷߏ੒ཁૉ w 8FC"$- w ϧʔϧϧʔϧάϧʔϓ

Slide 11

Slide 11 text

8FC"$- w 8FC"$-8FC"DDFTT$POUSPM-JTUͷུশ

Slide 12

Slide 12 text

8FC"$- w อޢର৅ͷ"84Ϧιʔεʹର͢Δ΢ΣϒϦΫΤετ Λ੍ޚ͢ΔϧʔϧΛೖΕΔശʢͷΑ͏ͳ΋ͷʣ

Slide 13

Slide 13 text

8FC"$- w ϧʔϧ͓ΑͼϧʔϧάϧʔϓΛઃఆͰ͖Δ w ઃఆͨ͠ϧʔϧ͓Αͼϧʔϧάϧʔϓʹ͸༏ઌॱҐ͕ ઃఆ͞ΕΔ

Slide 14

Slide 14 text

ϧʔϧͱ͸ ϧʔϧεςʔτϝϯτͱϧʔϧΞΫγϣϯͷηοτ w )551 4 ϦΫΤετΛݕࠪ͢Δج४ʢϧʔϧεςʔτϝϯτʣ w ݕࠪج४ʹҰகͨ͠ͱ͖ʹ࣮ߦ͢ΔΞΫγϣϯʢϧʔϧΞΫγϣϯʣ

Slide 15

Slide 15 text

ϧʔϧάϧʔϓͱ͸ w 8FC"$-ʹઃఆͰ͖Δ࠶ར༻Մೳͳϧʔϧͷηοτ w ֤αϒϧʔϧʹ͸༏ઌॱҐ͕ઃఆ͞ΕΔ

Slide 16

Slide 16 text

8"'ͷΞΫγϣϯ w σϑΥϧτΞΫγϣϯ w ϧʔϧΞΫγϣϯ

Slide 17

Slide 17 text

σϑΥϧτΞΫγϣϯͱ͸ w ϦΫΤετ͕8FC"$-ͷͲͷϧʔϧʹ΋Ұக͠ͳ ͔ͬͨ৔߹ɺ·ͨ͸શϧʔϧΛධՁ͠ऴΘͬͯ΋ऴྃ ͠ͳ͔ͬͨ৔߹ʹ8"'͕࣮ߦ͢ΔΞΫγϣϯ w 8FC"$-࡞੒࣌ʹ8FC"$-ࣗ਎΁ઃఆ͢Δ

Slide 18

Slide 18 text

σϑΥϧτΞΫγϣϯͷछྨ w "MMPXʢڐՄʣ w #MPDLʢϒϩοΫʣ

Slide 19

Slide 19 text

σϑΥϧτΞΫγϣϯͱઃఆ͢Δ໨త w "MMPXʢڐՄʣ w େ൒ͷϢʔβʔ͔ΒͷϦΫΤετ͸ڐՄ͠ɺ߈ܸऀ΍ѱҙͷ͋ΔϢʔ βʔ͔ΒͷϦΫΤετΛϒϩοΫ͍ͨ͠৔߹ ‎ ͍ΘΏΔϒϥοΫϦετํࣜ w #MPDLʢϒϩοΫʣ w େ൒ͷϢʔβʔ͔ΒͷϦΫΤετ͸ःஅ͠ɺࢦఆ͞Εͨ*1ΞυϨε΍ ಛఆͷ஋ؚ͕·ΕΔϦΫΤετΛڐՄ͍ͨ͠৔߹ ‎ ͍ΘΏΔϗϫΠτϦετํࣜ

Slide 20

Slide 20 text

ϧʔϧΞΫγϣϯ w 8FC"$-ͷϧʔϧͰఆٛ͞Εͨ৚݅ʹҰகͨ͠ϦΫ Τετʹର͠8"'͕࣮ߦ͢ΔΞΫγϣϯ

Slide 21

Slide 21 text

ϧʔϧΞΫγϣϯͷछྨ w "MMPXʢڐՄʣ w #MPDLʢϒϩοΫʣ w $PVOUʢΧ΢ϯτʣ w $"15$)"ʢΩϟϓνϟʣ

Slide 22

Slide 22 text

"MMPXΞΫγϣϯͱ͸ w ϦΫΤετΛڐՄ͢ΔϧʔϧΞΫγϣϯ w ࣮ߦޙɺϦΫΤετͷධՁΛऴྃ͠·͢

Slide 23

Slide 23 text

#MPDLΞΫγϣϯͱ͸ w ϦΫΤετΛϒϩοΫ͢ΔϧʔϧΞΫγϣϯ w ࣮ߦޙɺϦΫΤετͷධՁΛऴྃ͠·͢

Slide 24

Slide 24 text

$PVOUΞΫγϣϯͱ͸ w ϦΫΤετ͕Χ΢ϯτ͞Εͨ͜ͱΛϩά΍ϝτϦΫε ʹه࿥͢Δ͕ɺڐՄ͢Δͷ͔ϒϩοΫ͢Δͷ͔Λܾఆ ͠ͳ͍ϧʔϧΞΫγϣϯ w ޙଓͷϧʔϧ΁ͱϦΫΤετͷධՁΛܧଓ͢Δ

Slide 25

Slide 25 text

$"15$)"ΞΫγϣϯͱ͸ w ϦΫΤετʹର͠$"15$)"νΣοΫΛ࣮ߦ͠ɺਓؒ ͕ϦΫΤετΛૹ৴͍ͯ͠Δ͜ͱΛݕূ͢ΔϧʔϧΞΫ γϣϯ w νΣοΫͷ݁ՌʹԠͯ͡ൃߦ͞ΕΔτʔΫϯͷঢ়ଶʹ ΑͬͯϦΫΤετʹର͢ΔΞΫγϣϯͷ಺༰͕มԽ͢Δ w τʔΫϯ͕༗ޮɿڐՄ΍ϒϩοΫΛߦΘͳ͍ w τʔΫϯ͕ແޮظݶ੾ΕɿϦΫΤετ͸ϒϩοΫ͞ΕΔ

Slide 26

Slide 26 text

$"15$)"νΣοΫͷΠϝʔδ Ҿ༻ɿhttps://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/waf-captcha-challenge.html

Slide 27

Slide 27 text

جૅ͕΋ͬͱΘ͔Δࢀߟϒϩά w "84࠶ೖ໳"848"'ฤ w "848"'Λ׬શʹཧղ͢Δd8"'ͷجૅ͔ΒWͷ มߋ఺·Ͱd

Slide 28

Slide 28 text

AWS WAFͷධՁͷ࢓૊Έ

Slide 29

Slide 29 text

"848"'ͷධՁͷ࢓૊Έ w ༏ઌॱҐʹΑΔධՁॱং w ϧʔϧͷऴྃΞΫγϣϯ

Slide 30

Slide 30 text

༏ઌॱҐʹΑΔධՁॱং w 8FC"$-΍ϧʔϧάϧʔϓʹઃఆ͞Εͨ༏ઌॱҐͷ਺ ஋ͷখ͍͞ϧʔϧ͔ΒධՁ͞ΕΔ ༏ઌॱҐ ༏ઌॱҐ ༏ઌॱҐ

Slide 31

Slide 31 text

ධՁॱংͷྫ

Slide 32

Slide 32 text

ධՁॱংͷྫ

Slide 33

Slide 33 text

ධՁॱংͷྫ

Slide 34

Slide 34 text

ධՁॱংͷྫ

Slide 35

Slide 35 text

ϧʔϧͷऴྃΞΫγϣϯ w ֤ϧʔϧɾϧʔϧάϧʔϓͷΞΫγϣϯΛ࣮ߦͨ͠ࡍʹɺ ͦͷޙͷϧʔϧͷධՁΛܧଓ͢Δ͔ w ऴྃΞΫγϣϯʢUFSNJOBUJOHBDUJPOʣ ‎ ΞΫγϣϯ࣮ߦޙɺͦͷޙͷධՁ͸ߦΘͳ͍ w ඇऴྃΞΫγϣϯʢOPOUFSNJOBUJOHBDUJPOʣ ‎ ΞΫγϣϯ࣮ߦޙɺϧʔϧͷධՁΛܧଓ͢Δ

Slide 36

Slide 36 text

֤ϧʔϧΞΫγϣϯͱऴྃΞΫγϣϯ w ऴྃΞΫγϣϯʢUFSNJOBUJOHBDUJPOʣ w "MMPXʢڐՄʣ w #MPDL w $"15$)"ɿτʔΫϯ͕ແޮͷ৔߹ w ඇऴྃΞΫγϣϯʢOPOUFSNJOBUJOHBDUJPOʣ w $PVOU w $"15$)"ɿτʔΫϯ͕༗ޮͷ৔߹

Slide 37

Slide 37 text

8FC"$-ͷධՁͷྫ w ͲͷΑ͏ͳධՁ͕ߦΘΕΔͷ͔ɺྫΛ͍͔ͭ͘ڍ͛ͯ Έ·͢

Slide 38

Slide 38 text

ධՁͷྫᶃ w ඇऴྃΞΫγϣϯͰ͸ධՁ͸ऴྃͤͣɺܧଓ͢Δ

Slide 39

Slide 39 text

ධՁͷྫᶄ w ༏ઌॱҐ͕খ͍͞ϧʔϧͰऴྃΞΫγϣϯ͕࣮ߦ͞Ε Δͱɺଓ͘༏ઌॱҐͷେ͖͍ϧʔϧ͸ධՁ͞Εͳ͍

Slide 40

Slide 40 text

ධՁͷྫᶅ w ͢΂ͯͷϧʔϧ͕ධՁ͞Εͯ΋ɺऴྃΞΫγϣϯ͕࣮ ߦ͞Εͳ͔ͬͨ৔߹͸σϑΥϧτΞΫγϣϯ͕࣮ߦ͞ ΕΔ

Slide 41

Slide 41 text

·ͱΊ

Slide 42

Slide 42 text

·ͱΊ w "848"'͸8FC"$-ʹఆٛ͞ΕͨϧʔϧʹΑͬͯ ϦΫΤετΛධՁ͢Δ w ϧʔϧͷ༏ઌॱҐ΍ऴྃΞΫγϣϯΛҙࣝͯ͠ධՁͷ ࢓૊ΈΛཧղ͢Δ

Slide 43

Slide 43 text

ຊ೔ͷΰʔϧ w "848"'ͷجຊతͳϦιʔεΛཧղ͢Δ w "848"'͕ϦΫΤετΛͲͷΑ͏ʹධՁ͢Δ͔Λ ΠϝʔδͰ͖ΔΑ͏ʹͳΔ