質問: 環境やセキュリティ方針により違いますと言われればそのような感じですので、質問するような内容でないと思いますが、教えて下さい。 AWSのWAFにおける標準設定についてお伺いしたいです。 WAFには大きく以下の4つのアクセス制御が可能かと思います。 -IP address -String matching -SQL injection -cross-site scripting 一般的なECサイトを運営するにあたり、標準的な設定はどのようなものか教えて頂ければと思います。 とりあえず、IPアドレスと文字列マッチング(String matching)は指定したいものがないので、以下を設定してみました。 しかし、Headerとかは種別も多く今回は'user-agent'で設定していますが、それ以外もどこまで設定すべきか不明でした。 全ての種別を設定するのが一番良いのかもしれませんが妥当とも思えません。 ≪SQL injection≫ -Body contains SQL injection threat. -Header 'user-agent' contains SQL injection threat. -Query string contains SQL injection threat. ≪cross-site scripting≫ -Header 'user-agent' contains a cross-site scripting threat. -Body contains a cross-site scripting threat. 標準的なWAFの設定内容を教えて頂けれると幸いです。 機能の説明と、それを元に設定して下さいという回答はご遠慮頂きたいです。 セキュリティ方針とそれにかける費用とのバランスもあるのも理解はしますが、その上で一般的に妥当と思われる内容がありそうだと思いますので、そちらの具体的な設定例や参考URLなどがありましたらご教授をお願いします。 よろしくお願いします。
回答: 事例の話しかできませんが── AWSにおけるWAFの事例で話しますと、 【AWS WAF】は、XSS、DDoS、BOF、SQLインジェクション対策ぐらいしかできないのはご存知かと思います。 多くの企業は、それ以上のことも求めてきますから【AWS WAF】では賄いきれないのと 一元管理したい目的からシマンテックやNRIのWAFなどを利用することが多いです。 #WAFと連携してアラームメールを飛ばしたいとかが多い AWS WAFの具体的な設定値などは、詳細設計書に書かれる内容になりますので セキュリティ対策自体の情報漏洩になりますから 恐らく誰も答えることができないし、どこにも掲載されていないかと。 私はセキュリティ勉強会とかセミナー行くことがあるのですが、 AWS WAFの紹介自体(こうやったらできるとかやってみたとか)はあるものの、 実運用に則った設定紹介やこれだけはやっておけみたいな標準設定を、今まで見た記憶がありません。 インフラ側から言いますと、安全なウェブサイトの作り方 に書かれている内容を 個々に対策していくので、システム全体で見たときにそれが防御できる構成を考えて構築します。 つまり、AWS WAFでできる内容で留めておくポリシーにするのか、アプリ側で対策するポリシーにするのか。 #個人の場合は、個人で勉強して、セキュリティポリシーを策定して決めていくしかないと思われます。