AWS WAF でのタイムスタンプの有効期限とトークンのイミュニティ時間の設定 - AWS WAF、AWS Firewall Manager、AWS Shield Advanced、および AWS Shield ネットワークセキュリティディレクター

AWS WAF の新しいコンソールエクスペリエンスのご紹介

更新されたエクスペリエンスを使用して、コンソールの任意の場所で AWS WAF 機能にアクセスできるようになりました。詳細については、「更新されたコンソールエクスペリエンスを使用する」を参照してください。

AWS WAF でのタイムスタンプの有効期限とトークンのイミュニティ時間の設定

このセクションでは、チャレンジと CAPTCHA タイムスタンプの有効期限について説明します。

AWS WAF はチャレンジおよび CAPTCHA のイミュニティ時間を使用し、チャレンジまたは CAPTCHA で単一のクライアントセッションを表示できる頻度を管理します。エンドユーザーが CAPTCHA に応答に成功した後、そのエンドユーザーに対して別の CAPTCHA が表示されない期間は、CAPTCHA イミュニティ時間によって決まります。同様に、チャレンジのイミュニティ時間は、チャレンジへの応答に成功した後、クライアントセッションが再度チャレンジを受けない期間を決定します。

AWS WAF トークンイミュニティ時間の仕組み

AWS WAF はトークン内の該当するタイムスタンプを更新することにより、チャレンジまたは CAPTCHA に成功した応答を記録します。AWS WAF がトークンのチャレンジまたは CAPTCHA を検査するとき、現在の時刻からタイムスタンプを減算します。結果が設定されたイミュニティ時間よりも大きい場合、タイムスタンプは期限切れになります。

AWS WAF トークンイミュニティ時間の設定可能な面

チャレンジおよび CAPTCHA のイミュニティ時間は、保護パック (ウェブ ACL) および CAPTCHA または Challenge ルールアクションを使用する任意のルールで設定できます。

  • 両方のイミュニティ時間におけるデフォルトの保護パック (ウェブ ACL) 設定は 300 秒です。

  • CAPTCHA または Challenge アクションを使用するすべてのルールにイミュニティ時間を指定できます。ルールにイミュニティ時間を指定しない場合、保護パック (ウェブ ACL) の設定が継承されます。

  • CAPTCHA または Challenge アクションを使用するルールグループ内のルールには、ルールのイミュニティ時間を定義しない場合、ルールグループを使用する各保護パック (ウェブ ACL) から設定が継承されます。

  • アプリケーション統合 SDK は、保護パック (ウェブ ACL) のチャレンジイミュニティ時間を使用します。

  • チャレンジイミュニティ時間の最小値は 300 秒です。CAPTCHA イミュニティ時間の最小値は 60 秒です。両方のイミュニティ時間の最大値は 259,200 秒、または 3 日間です。

保護パック (ウェブ ACL) およびルールレベルのイミュニティ時間設定を使用して、CAPTCHA アクション、Challenge、SDK チャレンジ管理の動作を調整できます。たとえば、機密性の高いデータへのアクセスを制御するルールを低いイミュニティ時間で設定し、その後に保護パック (ウェブ ACL) 内で他のルールや SDK が承継するより高いイミュニティ時間を設定できます。

特に CAPTCHA の場合、パズルを解くことは顧客のウェブサイトエクスペリエンスを低下させる恐れがあるため、CAPTCHA のイミュニティ時間を調整すると必要な保護を提供し続けながら、顧客エクスペリエンスへの影響を軽減することに役立ちます。

Challenge および CAPTCHA ルールアクションを使用する際にイミュニティ時間の調整に関する詳細については、「CAPTCHA および Challenge アクションを使用するベストプラクティス」を参照してください。