自動スキャンの遮断
スキャナーのブロック機能は、短時間に発生した不審なアクセス動作に基づいて、送信元を独立したスキャナーのブラックリストへ追加します。繰り返し行われる探索のノイズを抑える用途に適していますが、WAF、共通ブラックリスト、ログイン試行制限の代わりにはなりません。
システム設定 → ブロック で、有効／無効、集計期間、ブロックしきい値、ブロックの有効期間を設定します。集計期間は 5 分以上、しきい値は 1 回以上、ブロックの有効期間は 1 日以上です。最初は余裕のあるしきい値に設定し、しばらく監視してから厳しくしてください。ヘルスチェック、自動化スクリプト、リバースプロキシの探索、モバイルネットワークの再試行によって、頻度が高く見えるリクエストが発生することもあります。
トリガーと記録
スキャナーは、ゲートウェイが通常とは異なると判断したパスへのアクセス回数を集計します。しきい値に達すると、送信元は独立したスキャナーのブラックリストへ追加されます。管理者が管理する共通ブラックリストへ自動的に追加されることはありません。セッションとセキュリティ → スキャナーのブラックリスト では、次の情報と操作を利用できます。
- 指定期間内のブロック合計数、1 時間あたりの件数、推移。
- IP、ヒット数、最初と最後のヒット時刻、有効期限。
- ヒットしたパスと、前後するヒットの時間間隔。
- 検索、ページ切り替え、1 件ずつまたは一括での削除。
スキャナーのブラックリストから記録を削除すると、このレイヤーのブロックは直ちに解除されます。ただし、送信元が引き続きトリガー条件を満たすと、再び追加されます。確認済みの攻撃元を長期間拒否する必要がある場合は、共通ブラックリストを使用して理由を記録してください。
除外範囲
既知の地域または CIDR を除外対象に設定できます。選択した地域は保存時に最終的な CIDR へ解決されます。カスタム CIDR は 1 行に 1 件入力し、IPv4 と IPv6 の両方を使用できます。形式に誤りがある場合、画面上で保存がブロックされます。地域条件は China Telecom、China Unicom、China Mobile で CIDR を絞り込むこともできます。この絞り込みには CIDR データベース 0.1.3 以降が必要です。
よく使う地域を除外 は、最近のログイン成功履歴から作られた、よく使う地域を使用します。除外する地域 と 除外する CIDR は、管理者が固定で設定します。いずれかの除外条件に一致する送信元はスキャナーのブラックリストでブロックされず、通常とは異なるパスへのアクセス回数も加算されません。除外によって誤検知は減りますが、その送信元に対するスキャン保護も弱くなります。確認できるオフィスネットワーク、VPN、サービスプロバイダーのネットワーク範囲だけを追加してください。
他のルールとの関係
| 仕組み | 対象 |
|---|---|
| スキャナーのブロック | 繰り返し行われる、または不審なスキャン動作 |
| 共通ブラックリスト | 管理者が確認した個別の送信元 |
| WAF | HTTP リクエストの内容とルールへの一致 |
| ログイン試行制限 | ログイン認証の失敗 |
誤検知の調査
- スキャナーのブラックリストで IP の詳細を開き、トリガーされたパスと時間間隔を確認します。
- リクエストログで、同じ時刻のクライアント IP、Host、ルート種別を照合します。
- 前段の CDN またはリバースプロキシによって、多数の利用者が誤認された 1 つの送信元 IP を共有していないか確認します。
- 誤ったヘルスチェックまたは探索パスを修正します。信頼できる固定の送信元と確認できた場合にだけ、正確な CIDR を追加してください。
- ブラックリストの記録を削除して再度検証し、もう一度トリガーされないか監視します。
広すぎる地域の除外設定で、実クライアント IP やヘルスチェック設定の問題を隠さないでください。