[小ネタ] AWS WAF マネージドルールの例外登録は ruleGroupList内の ruleIdを使う！

はじめに

コンサルティング部の川原です。

AWS WAF マネージドルールでは誤検知対策のために、例外ルールの登録が可能です。

[新機能]AWS WAFマネージドルールで誤検知対応できる例外ルールの設定が可能になりました

例外ルールの登録の手順で ruleId という情報を使いますが、 勘違いしていた (しやすい)部分があったので備忘録として残します。

Web ACLログについて

AWS WAFの Web ACLのトラフィック情報のログは以下のような形式となっています。

{
  "timestamp": 1545597243349,
  "formatVersion": 1,
  "webaclId": "d7e7af02-****-****-****-************",
  "terminatingRuleId": "Default_Action",
  "terminatingRuleType": "REGULAR",
  "action": "ALLOW",
  "httpSourceName": "ALB",
  "httpSourceId": "app/test-alb/0000000000000000",
  "ruleGroupList": [
    {
      "ruleGroupId": "be06c7bc-****-****-****-************",
      "terminatingRule": {
        "ruleId": "68661648-****-****-****-************",
        "action": "BLOCK"
      },
      "nonTerminatingMatchingRules": [],
      "excludedRules": null
    }
  ],
  "rateBasedRuleList": [],
  "nonTerminatingMatchingRules": [
    {
      "ruleId": "be06c7bc-****-****-****-************",
      "action": "COUNT"
    }
  ],
  "httpRequest": {
    "clientIp": "xx.xx.xx.xx",
    "country": "JP",
    "headers": [
      {
        "name": "Host",
        "value": "test-alb-000000000.ap-northeast-1.elb.amazonaws.com"
      },
      {
        "name": "Content-Length",
        "value": "28"
      },
      {
        "name": "User-Agent",
        "value": "curl/7.54.0"
      },
      {
        "name": "Accept",
        "value": "*/*"
      },
      {
        "name": "Content-Type",
        "value": "application/x-www-form-urlencoded"
      }
    ],
    "uri": "/wordpress/",
    "args": "id=1",
    "httpVersion": "HTTP/1.1",
    "httpMethod": "POST",
    "requestId": null
  }
}

ログ分析で使いそうな項目を挙げてみます。 (詳細は ウェブ ACLトラフィック情報のログ記録: AWS を参照ください)

AWS WAFの初期構築後などで COUNTモードで運用している際は、COUNTとなったリクエストのログを洗い出し、 誤検知が無いか調査することが多いかと思います。

その際に httpRequest 内のクライアントIPアドレスや、URI、クエリ文字列などを確認して 正常なリクエストか、ブロックすべきリクエストか判断するでしょう。

マネージドルールで例外を登録するとき

正常なリクエストが COUNTされている場合、そのログの ruleId を Rules > Rule group exceptions に登録することで、例外登録が完了します。

さて、COUNTモード運用のログでは

• ruleGroupList内の terminatingRule.ruleId
• nonTerminatingMatchingRules内の ruleId

の 2つの ruleId が出てきますが、例外登録では rouleGroupList内の terminatingRule.ruleId を使います。

一方の nonTerminatingMatchingRules内の ruleId は ルールグループのIDです。

おわりに

以上 AWS WAF マネージドルールで例外登録は ruleGroupList内の ruleIdを使う！ でした

この記事が少しでもどなたかのお役に立てば幸いです。