AWS WAF によるトークンの使用方法 - AWS WAF、AWS Firewall Manager、AWS Shield Advanced、および AWS Shield ネットワークセキュリティディレクター

AWS WAF の新しいコンソールエクスペリエンスのご紹介

更新されたエクスペリエンスを使用して、コンソールの任意の場所で AWS WAF 機能にアクセスできるようになりました。詳細については、「更新されたコンソールエクスペリエンスを使用する」を参照してください。

AWS WAF によるトークンの使用方法

このセクションでは、AWS WAF がトークンを使用する方法について説明します。

AWS WAF はトークンを使用して次のタイプのクライアントセッション検証を記録して検証します。

  • CAPTCHA — CAPTCHA パズルは、ボットと人間のユーザーを区別するうえで役立ちます。CAPTCHA は CAPTCHA ルールアクションによってのみ実行されます。パズルの完了が成功すると、CAPTCHA スクリプトはトークンの CAPTCHA タイムスタンプを更新します。詳細については、「AWS WAF の CAPTCHA および Challenge」を参照してください。

  • チャレンジ — 通常のクライアントセッションとボットセッションを区別しやすくし、ボットの運用コストを高めるために、チャレンジはサイレントで実行されます。チャレンジの完了が成功するとき、チャレンジスクリプトは必要に応じて自動的に新しいトークンを AWS WAF から取得し、その後トークンのチャレンジタイムスタンプを更新します。

    AWS WAF は次の場合にチャレンジを実行します。

    • アプリケーション統合 SDK — アプリケーション統合 SDK は、クライアントアプリケーションセッション内で実行され、クライアントがチャレンジの応答に成功した後にのみログイン試行が許可されるようにします。詳細については、「AWS WAF でのクライアントアプリケーション統合」を参照してください。

    • Challenge ルールアクション – 詳細については、「AWS WAF の CAPTCHA および Challenge」を参照してください。

    • CAPTCHA — CAPTCHA インタースティシャルを実行するときにクライアントがまだトークンを持っていない場合、スクリプトは最初に自動的にチャレンジを実行し、クライアントセッションを検証してトークンを初期化します。

トークンは、インテリジェントな脅威 AWS マネージドルールのルールグループ内のルールの多くで必要とされます。このルールは、セッションレベルでのクライアントの区別、ブラウザの特性の判断、アプリケーションウェブページにおける人間のインタラクティビティのレベルの理解などを行うためにトークンを使用します。これらのルールグループは AWS WAF トークン管理を呼び出し、ルールグループが後で検査するトークンラベルを適用します。

  • AWS WAF Fraud Control Account Creation Fraud Prevention (ACFP) – ACFP ルールでは、有効なトークンを含むウェブリクエストが必要です。ルールの詳細については、「AWS WAF Fraud Control Account Creation Fraud Prevention (ACFP) ルールグループ」を参照してください。

  • AWS WAF Fraud Control アカウント乗っ取り防止 (ATP) – 大量のセッションや長時間続くセッションを防ぐ ATP ルールは、有効で期限が切れていないトークンを含むウェブリクエストが必要です。詳細については、「AWS WAF Fraud Control アカウント乗っ取り防止 (ATP) のルールグループ」を参照してください。

  • AWS WAF Bot Control — このルールグループの対象ルールは、有効なトークンなしでクライアントが送信できるウェブリクエスト数を制限し、セッションレベルのモニタリングと管理にトークンセッショントラッキングを使用します。必要に応じて、ルールは Challenge および CAPTCHA ルールアクションを適用して、トークン取得および有効なクライアント動作を強制します。詳細については、「AWS WAF Bot Control ルールグループ」を参照してください。