Beyond‘s blogブログ

2024.06.07 IT/Webの技術

【SaaS】Alibaba Cloud の WAF 機能【セキュリティ】

今回は、Alibaba Cloud が提供するWAFサービス「Alibaba Cloud WAF」の特徴・機能を記載します。

※ 2021年9月時点の情報です

1 Alibaba Cloud セキュリティの歴史
2 Alibaba Cloud WAF のサービス概要
- 2.1 Alibaba Cloud WAF の主な特徴
3 Alibaba Cloud WAF の機能（エディション別）
4 まとめ
- 4.1 関連サービス

Alibaba Cloud セキュリティの歴史

Alibaba Cloud では様々な外部のサイバー攻撃から、Alibaba Cloud を守るための、セキュリティプロダクトの開発に注力しています。

そのセキュリティプロダクトの一つである Alibaba Cloud WAF（Web Application Firewall）は、Alibaba Cloud での10年以上のセキュリティ経験に基づき開発された、インターネット攻撃を防御するためのセキュリティサービスで、ビッグデータの機能を活用した、高度な防御メカニズムを備えています。

Alibaba Cloud WAF のサービス概要

Alibaba Cloud WAF は、Alibaba Cloud 上だけでなく、オンプレミス環境やVPS（仮想専用サーバー）、その他のクラウドプラットフォームが提供するインフラ環境に対しても、DNS を切り替えるだけで導入できます。

そのため、導入するインフラ環境の制限を受けません。

Alibaba Cloud WAF の主な特徴

項目	特徴	概要
Webアプリケーション保護	ゼロデイ攻撃の防御	24時間以内に動的に防御ルールを更新することで、速やかにリスクに対処が可能。
	Webサイトの保護	DNSを利用してトラフィックを迂回させることで、侵入者からサイトを保護し保護。
	OWASP 攻撃の防御	様々な防御ポリシーや検疫機能を提供し、SQLインジェクションなどの、既知の攻撃も正確に判定し防御。
サイトアクセスコントロール	HTTPS機能の追加	プライベートキーファイルをアップロードするだけで、サイトにHTTPS機能を付加。
サイトアクセスコントロール	アクセスコントロール	多層保護により、侵入に必要となるサイトの情報収集行為を判定し遮断。
精度の高いトラフィック分析	正確な悪意のあるアクセス判定	ボットなどの悪意のあるアクセスを正確に判別し、ブロックする際に評価をおこないます。
精度の高いトラフィック分析	カスタムポリシー	必要に応じて、自由に防御ルールの変更や反映が可能。

Alibaba Cloud WAF の機能（エディション別）

Alibaba Cloud WAF では、処理能力や防御機能・ケース別に応じて4エディションが選択できます。

例えば、Pro Edition からスモールスタートし、Webアクセスの増加に伴って、エディション変更をするなど、用途や状況に応じて柔軟なスケールアップが可能です。

項目	概要	Pro Edition	Business Edition	Enterprise Edition	Exclusive Edition (submit tickets to purchase)
ピークリクエスト率	–	2,000 QPS	5,000 QPS	10,000 QPS 以上	5,000 QPS
最大帯域幅	配信元サーバーが Alibaba Cloud にデプロイされている場合	50 Mbit / 秒	100 Mbit / 秒	200 Mbit / 秒	100 Mbit / 秒
最大帯域幅	配信元サーバーが Alibaba Cloud にデプロイされない場合	10 Mbit / 秒	30 Mbit / 秒	50 Mbit / 秒	30 Mbit / 秒
標準でサポートされる、最大ドメイン数	–	1	1	1	1,000
標準でサポートされる、最大サブドメイン数	ワイルドカードドメインをサポート	10	10	10	1,000
HTTPS 保護	数回クリックするだけで実装	〇	〇	〇	〇
HTTP/2 保護	HTTP/2 を使用するWebサイトを保護	×	〇	〇	〇
非標準ポート保護	80・8080・443・8443 以外のポートを保護	×	〇	〇	〇
インテリジェント負荷分散	複数 SLB 接続、自動 DR、低遅延ルーティング	〇	〇	〇	〇
排他的IPアドレス	特定ドメイン向けに排他的IPを提供	〇	〇	〇	〇
排他的クラスター	SQLインジェクションやXSS攻撃から保護	×	×	×	〇
保護ルールエンジン	一般的なWeb攻撃から保護	〇	〇	〇	〇
Webゼロデイ脆弱性対策	ルール自動更新	〇	〇	〇	〇
カスタム保護ルールグループ	保護ルールグループのカスタマイズ	×	〇	〇	〇
ビッグデータ深層学習エンジン	Webゼロデイ脆弱性を検出	×	〇	〇	〇
ホワイトリストセキュリティモデル	トラフィック学習に基づく積極防御	×	×	〇	〇
Webサイト改ざん防止	Webページロックによる改ざん防止	〇	〇	〇	〇
データ漏洩防止	個人情報（ID・電話番号など）の漏洩防御	〇	〇	〇	〇
HTTPフラッド保護	予防・緊急モードでの攻撃防御	〇	〇	〇	〇
ブラックリスト（IP / CIDR）	特定 IP / CIDR からのアクセス遮断	〇	〇	〇	〇
スキャン保護	Web攻撃・スキャンツールの協調防御	〇	〇	〇	〇
スキャン保護（カスタムルール）	高頻度攻撃・パストラバーサルのカスタム遮断	×	〇	〇	〇
カスタム保護ポリシー（基本フィールド）	IP・URL・Referer・User-Agent・パラメータによるACL制御	〇	〇	〇	〇
カスタム保護ポリシー（詳細フィールド）	Cookie・Content-Type・Header・HTTP-MethodによるACL制御	×	〇	〇	〇
レート制限（IP / セッション）	一致条件付きの、HTTPフラッド保護ルールをカスタマイズ	×	〇	〇	〇
レート制限（IP / セッション / カスタムフィールド）	より高度なレート制限ポリシー	×	×	〇	〇
データリスク管理	登録・ログイン・フォーラムなどの重要サービスを保護	〇	〇	〇	〇
許可クローラーホワイトリスト	Baidu・Bing・Google など許可クローラーのアクセス許可	〇	〇	〇	〇
ボット脅威インテリジェンス	悪意クローラー・データセンターIPなどの防御情報提供	〇	〇	〇	〇
アプリ保護	ネイティブアプリの安全接続・ボット防止	〇	〇	〇	〇
アカウントセキュリティ	辞書攻撃・ブルートフォース・SMSフラッドなどの防御	〇	〇	〇	〇
WAF ログサービス	ログ収集・保存、リアルタイムクエリ、オンラインレポート	×	〇	〇	〇