AWS WAF でブロックされた特定の URI リクエストに対して除外設定を適用させてみた

　AWS WAF を導入し運用していると、正常な通信もブロック（誤検知）されることが多々あるかと思います。そこで、本ブログでは、AWS WAF で特定の URI リクエストがブロックされた時に対象のルールのみ除外設定する方法について解説します。

　AWS WAF は Web アプリケーションを保護するための重要なサービスですが、誤ってブロックされるケースも存在し、そういった場合の対処方法を理解することで、AWS WAF をより適切に運用できるようになります。

AWS WAFとは

AWS WAF の役割

　AWS WAF は、Web アプリケーションに対する一般的な攻撃パターンを検出し、それらをブロックすることで、アプリケーションを保護するマネージドサービスです。SQL インジェクション、クロスサイトスクリプティング、その他の一般的な攻撃ベクトルからアプリケーションを保護できます。

AWS WAF のルール

　AWS WAF ではルールを設定し、そのルールに基づいてリクエストをモニタリングおよびブロックします。ルールは、IP アドレス、HTTP ヘッダー、HTTP ボディ、URI などの Web リクエストの特性に基づいて設定できます。AWS Managed Rules や自分でカスタムルールを作成することができます。

AWS WAF で特定の URI リクエストがブロックされた時

　正規のリクエストであっても、AWS WAF に誤ってブロックされてしまい、一部の機能が利用できなくなってしまうことがあります。その場合以下の流れで原因調査を行い対象のルールを確認します。

AWS WAF のアクセスログを確認し、ブロックされたリクエストの詳細を把握
ログから、そのリクエストがどの WAF ルールにマッチしてブロックされたかを特定
ルールの内容を確認し、なぜそのリクエストがブロックされたのか原因を分析

ブロックされた AWS WAF ログの一例をご参考までに載せます。

ログは一部省略しています。今回は「AWS-AWSManagedRulesCommonRuleSet」の ruleid「CrossSiteScripting_BODY」で「uri=/test/document」がブロックされたログとなります。

2024-MM-DD 00:00:00.000 Asia/Tokyo,"アカウント番号","1","arn:aws:wafv2:ap-northeast-1","AWS-AWSManagedRulesCommonRuleSet","MANAGED_RULE_GROUP","BLOCK","[{conditiontype=XSS, location=BODY, matcheddata=[<, meta]}]", {rulegroupid=AWS#AWSManagedRulesCommonRuleSet, terminatingrule={ruleid=CrossSiteScripting_BODY, action=BLOCK, rulematchdetails=null},~~省略~~,uri=/test/document,~~省略~~

調査の結果ブロックされた通信が問題なかった場合、除外設定を適用します。

除外設定の手順

　今回はサイトの URI /test/document リクエストが誤って AWS WAF の Rules の「AWS-AWSManagedRulesCommonRuleSet」でブロックされたと仮定し、除外設定する手順を解説していきます。

※ 本手順では、予め AWS WAF を作成し、Rules に「AWS-AWSManagedRulesCommonRuleSet」を設定しています。

マネジメントコンソールから AWS WAF > Web ACLs > 対象の WAF（今回は test-waf）を選択し、Rules > AWS-AWSManagedRulesCommonRuleSet を押下

右上の Edit を選択

Scope of inspection > Choose the scope of inspection の
Only inspect requests that match a scope-down statement を選択し
If a request で don't match the statement (NOT) を選択

※ don't match the statement (NOT) を選択することで除外設定となります。

Statement の設定を以下の値に設定します。

Inspect：URI Path

Match type：Matches regular expression

Regular expression：^/test/document$

Text transformation：None

＜設定値の補足説明＞

Inspect：検査対象を指定します。この場合は URI Path なので、リクエストの URI パスが検査対象になります。
Match type：マッチングの種類を指定します。Matches regular expression は正規表現によるパターンマッチングを行います。
Regular expression：マッチングさせる正規表現パターンを指定します。ここでは ^/test/document$ を設定しています。この正規表現は、/test/document という URI パスにのみ一致します。
Text transformation：検査対象のテキストに対する変換処理を指定します。ここでは None なので、テキストに変換はされません。