DDoS 対策マネージドルールグループを保護パックまたはウェブ ACL に追加する

保護パックまたはウェブ ACL でAWSManagedRulesAntiDDoSRuleSetルールグループを使用するには

1. AWS マネージドルールグループを保護パックまたはウェブ ACL AWSManagedRulesAntiDDoSRuleSetに追加し、保存する前にルールグループ設定を編集します。

   注記

   このマネージドルールグループを使用する場合、追加料金が請求されます。詳細については、「AWS WAF 料金」を参照してください。

2. ルールグループ設定ペインで、AWSManagedRulesAntiDDoSRuleSetルールグループのカスタム設定を指定します。

   1. ブロックの機密レベルには、ルールグループの DDoS 疑惑ラベル付けで照合DDoSRequestsするときにルールの機密度を指定します。機密性が高いほど、ルールが一致するラベル付けのレベルが低くなります。

      • 機密性が低いほど感度が低く、疑惑ラベル が高い攻撃の最も明白な参加者でのみルールが一致しますawswaf:managed:aws:anti-ddos:high-suspicion-ddos-request。

      • 機密性が中程度の場合、ルールは中程度と高い疑惑ラベルで一致します。

      • 感度が高いと、ルールは低、中、高のすべての疑惑ラベルで一致します。

      このルールは、DDoS 攻撃に関与している疑いがあるウェブリクエストの最も重大な処理を提供します。

   2. チャレンジを有効にする で、ルールChallengeDDoSRequestsと を有効にするかどうかを選択します。デフォルトではChallengeAllDuringEvent、一致するリクエストにChallengeアクションを適用します。

      これらのルールは、正当なユーザーが DDoS 攻撃の参加者をブロックしながらリクエストを続行できるようにすることを目的としたリクエスト処理を提供します。アクション設定を Allowまたは に上書きCountするか、完全に使用を無効にすることができます。

      これらのルールを有効にする場合は、必要な追加設定を指定します。

      • チャレンジの機密レベルには、ルールの機密ChallengeDDoSRequests度を指定します。

        機密性が高いほど、ルールが一致するラベル付けのレベルが低くなります。

        • 機密性が低いほど感度が低く、疑惑ラベル が高い攻撃の最も明白な参加者でのみルールが一致しますawswaf:managed:aws:anti-ddos:high-suspicion-ddos-request。

        • 機密性が中程度の場合、ルールは中程度と高い疑惑ラベルで一致します。

        • 感度が高いと、ルールは低、中、高のすべての疑惑ラベルで一致します。

      • Exempt URI 正規表現には、サイレントブラウザチャレンジを処理できないウェブリクエストの URIs に一致する正規表現を指定します。Challenge アクションは、サイレントブラウザチャレンジを処理できない限り、チャレンジトークンがない URIs からのリクエストを効果的にブロックします。

        Challenge アクションは、HTML コンテンツを期待するクライアントによってのみ適切に処理できます。アクションの仕組みの詳細については、「」を参照してくださいCAPTCHA および Challenge アクション動作。

        デフォルトの正規表現を確認し、必要に応じて更新します。ルールは、指定された正規表現を使用して、Challengeアクションを処理できないリクエスト URIs を識別し、ルールがチャレンジを返さないようにします。この方法で除外したリクエストは、ルール を持つルールグループによってのみブロックできますDDoSRequests。

        コンソールで提供されるデフォルトの式は、ほとんどのユースケースを対象としていますが、アプリケーションに合わせて確認して調整する必要があります。

        AWS WAF は、いくつかの例外libpcreを除いて、PCRE ライブラリで使用されるパターン構文をサポートします。ライブラリは、「PCRE - Perl Compatible Regular Expressions」で文書化されています。 AWS WAF サポートの詳細については、「」を参照してくださいでサポートされている正規表現構文 AWS WAF。

3. ルールグループに追加の設定を指定し、ルールを保存します。

   注記

   AWS では、このマネージドルールグループでスコープダウンステートメントを使用しないことをお勧めします。スコープダウンステートメントは、ルールグループが監視するリクエストを制限するため、トラフィックベースラインが不正確になり、DDoS イベント検出が低下する可能性があります。スコープダウンステートメントオプションは、すべてのマネージドルールグループステートメントで使用できますが、このステートメントには使用しないでください。スコープダウンステートメントの詳細については、「でのスコープダウンステートメントの使用 AWS WAF」を参照してください。

4. 「ルールの優先度を設定する」ページで、新しいアンチ DDoS マネージドルールグループルールを上に移動して、持っているAllowアクションルールの後に、他のルールの前にのみ実行されるようにします。これにより、ルールグループはアンチ DDoS 保護のトラフィックを最も多く追跡できます。

5. 変更を保護パックまたはウェブ ACL に保存します。