中級・異常系 Pro-lite対象・登録不要
WAFでのWeb攻撃兆候検知とRate-based rule封じ込め
不審なHTTP request急増をWAFのRate countとmanaged rule labelで相関し、全件Edge BLOCKを確認してRate-based ruleをCOUNTからBLOCKへ強化する防御シナリオです。
- 結果
- WAF BLOCK / 正常通信200維持
- 主なプロトコル
- HTTPS / AWS WAF / SIEM / Rate-based rule
- 停止または分岐地点
- 不審なHTTP request急増をWAFの集約ログで検知し、managed ruleの遮断確認、Rate-based rule強化、影響確認、正常通信の可用性確認まで進めます。
最初に確認する証跡
- WAFログの接続元・Host・時間窓・Rate countとmanaged rule BLOCK件数
- Load Balancer・Backend・認証・Sessionの成功成果0件
- 後続15件のRate-based BLOCKと正常な低頻度request 3件のALLOW・Backend転送・HTTP 200
正常系との違い
正常な低頻度requestはWAFをALLOWされ、Load BalancerとBackendを経由して200を返します。このシナリオのWAF 403はsecurity policyによるEdge遮断であり、正規利用者の利用量制御によるHTTP 429とは異なります。
このページは学習用の模擬シナリオです。実環境への通信や入力内容の保存は行いません。
パケットの動きで確認するキャンバスを読み込んでいますパケットとログを準備しています。