Application Gateway の Azure Web アプリケーション ファイアウォールに関してよく寄せられる質問

この記事では、Application Gateway の Azure Web アプリケーション ファイアウォール (WAF) 機能に関する一般的な質問に回答します。

Azure WAF とは何ですか?

Azure WAF は Web アプリケーション ファイアウォールです。SQL インジェクション、クロスサイト スクリプティング、その他の Web エクスプロイトなどの一般的な脅威から Web アプリケーションを保護するのに役立ちます。 Web アプリケーションへのアクセスを制御するために、カスタム ルールとマネージド ルールの組み合わせからなる WAF ポリシーを定義できます。

Azure WAF ポリシーは、Application Gateway または Azure Front Door でホストされている Web アプリケーションに適用できます。

WAF SKU はどのような機能でサポートされていますか。

WAF SKU では、Standard SKU で利用可能なすべての機能がサポートされています。

WAF を監視するにはどうすればよいですか?

WAF の監視には、診断ログを使用します。 詳細については、Application Gateway の診断ログとメトリックに関するページを参照してください。

検出モードではトラフィックがブロックされますか?

いいえ。 検出モードでは、WAF 規則をトリガーするトラフィックをログに記録するにとどまります。

WAF ルールはカスタマイズできますか?

はい。 詳細については、WAF 規則グループと規則のカスタマイズに関するページを参照してください。

WAF で現在利用できるのはどのような規則ですか?

WAF で現在サポートされているのは、CRS 2.2.93.0、および 3.1 です。 これらの規則は、Open Web Application Security Project (OWASP) が特定した 10 の脆弱性のほとんどに対するベースライン セキュリティを提供するものです。

  • SQL インジェクションからの保護
  • クロスサイト スクリプティングに対する保護
  • 一般的な Web 攻撃 (コマンド インジェクション、HTTP 要求スマグリング、HTTP 応答スプリッティング、リモート ファイル インクルード攻撃など) に対する保護
  • HTTP プロトコル違反に対する保護
  • HTTP プロトコル異常に対する保護 (ホスト ユーザー エージェントと承認ヘッダーが見つからない場合など)
  • ボット、クローラー、スキャナーの防止
  • アプリケーションのよくある構成ミスの検出 (Apache、IIS など)

詳細については、OWASP の 10 の脆弱性に関するページを参照してください。

WAF はどのようなコンテンツ タイプをサポートしていますか。

Application Gateway WAF は、次のコンテンツ タイプをサポートしています (マネージド ルールの場合)。

  • application/json
  • application/xml
  • application/x-www-form-urlencoded
  • multipart/form-data

カスタム ルールの場合:

  • application/x-www-form-urlencoded
  • multipart/form-data

WAF は DDoS 保護をサポートしていますか?

はい。 アプリケーション ゲートウェイをデプロイしてある仮想ネットワーク上で、DDos 保護を有効にすることができます。 この設定によって、アプリケーション ゲートウェイの仮想 IP (VIP) も Azure DDoS Protection サービスによる保護の対象になります。

WAF は顧客データを格納しますか?

いいえ。WAF は顧客データを格納しません。

次のステップ