WAFログの推奨ルールを確認する

Transcript

1. WAFログの推奨ルールを確認する
2. 最初に
3. Race to Certificationの結果が届き、 私はSector3を獲得
4. Sector3の特典の1つに受験権利が付与
5. 書き⽅的に3回分無料になるかと 想定…🤔
6. 実際に確認してみると…
9. Sector3の場合獲得の場合は、 3回分ではなく、 6回分権利が付与
10. 皆さんもOracle Universityの Exam Walletを確認してみてください︕ (Sector2の場合は3回分付与︖)
11. 本題に⼊ります💪
12. このテーマを選定したきっかけ 先々週、お客様から以下の連絡が…
13. このテーマを選定したきっかけ 内容としてはWAFの推奨ルールのアクションを Pre-Configured Action(チェック) ↓ Pre-Configured 403 Block Action(ブロック) にした所、サイトに不具合が発⽣した模様。
14. このテーマを選定したきっかけ オペレーション⾃体には問題はなく、 どこがきっかけかと⾔うと、
15. このテーマを選定したきっかけ 翌⽇調査を⾏った結果、私はどのログか判別できず
16. このテーマを選定したきっかけ しかし、お客様はどのログが原因であるかを特定
17. そこで︕
18. 今回はWAFログの確認⽅法について ご紹介します︕
19. ←実⾏されたアクション ブロック時のWAFログ
20. チェック時のWAFログ ← “action”が “check” ではなく ”allow” になっている点に注意
21. ブロック時に403エラーを返す仕組みに
22. WAFログのステータス・コードは どこに表⽰されるのかと⾔うと、
23. ブロック時のWAFログ
24. 異常なアクセスをWAFが検知した場合、 LBでトラフィックを⽌めるので、 そもそもバックエンドのステータス・コードは表⽰されない
25. 補⾜ WAFのどの保護機能で検知したかについて
27. ←推奨ルールで設定したルール名
28. ←保護機能に関するキー
29. 保護機能の詳細は以下のドキュメントから確認可能 https://docs.oracle.com/ja-jp/iaas/Content/WAF/Protections/protections_management.htm
30. 今回の場合は”matchedIds”が”920370”に
31. 調べてみると、「HTTPリクエストの引数の最⼤⻑」が 原因でブロック
32. ちなみに保護機能の各設定値は 変更可能
39. 最後に ログ検索について
43. まとめ ž チェックの場合のアクションは”Allow”のまま ž ブロック時のステータス・コードはbackendStatusCodeには表⽰されない →バックエンドまでトラフィックが到達しないため ž 推奨機能の設定値は変更可能 ž ログ検索から対象ログを指定して検索もできるよ
44. ご清聴ありがとうございました〜👏