F5 XC WAAPのアドバンストなWAF機能紹介（Part.1 Data Guard）
目次[非表示]
はじめに
先日のブログ「F5 XC WAAPで実現！ベーシックなクラウドWAF」では、F5社のWAAPサービス「F5 XC WAAP」のベーシックなWAF機能「App Firewall」をご紹介しました。
F5 XC WAAPには他にもアドバンストなWAFの機能として以下が提供されています。
・Data Guard Rules
・Cross-Site Request Forgery Protection
・GraphQL Inspection
・Cookie Protection
上記機能の中で、今回は「Data Guard Rules」をご紹介します。
「Data Guard Rules」とは
F5 XC WAAPでは、HTTPレスポンスに機密情報が含まれている場合、そのデータの一部を*(アスタリスク)でマスキング処理するData Guard機能が利用可能です。
本機能を利用することで、意図せぬ機密情報の漏洩を防ぐことができます。クレジットカード番号と米国の社会保障番号（social security numbers）が、マスキング処理の対象となります。
こちらの機能は、HTTP Load BalancerのWeb Application Firewall設定にあるData Guard Rulesで設定します。任意のリクエスト条件に対して、Data Guard機能の処理をスキップさせることも可能です。
以下は、HTTPレスポンスにクレジットカード番号が露出していたため、Data Guard機能によってクレジットカード番号の一部がマスキング処理されたWEB画面のサンプルとなります。
「Data Guard Rules」の設定方法
DomainとPathの条件に対して、Data Guard機能を適用するか、スキップするかを設定可能です。
F5 XC WAAPのData Guard機能を利用するにあたって必要な設定は以下の3つのみです。
- HTTP Load BalancerでWAFを有効化
- Data Guard Rulesを構成
- Data Guard Rulesの適用順序を指定
それぞれの設定の詳細を以下でご紹介します。すべてHTTP Load Balancerの設定画面内でおこないます。
HTTP Load BalancerでWAFを有効化
HTTP Load BalancerでWAF（App Firewall）を有効化します。
WAFの有効化手順は、前回のブログ「F5 XC WAAPで実現！ベーシックなクラウドWAF」でご紹介しています。こちらのブログにてご確認ください。
Data Guard Rulesを構成
Data Guard設定を「Data Guard Rules」で構成します。
Data Guard Rulesの「Configure」からData Guard Rules設定画面に遷移し、「Add Item」から設定を追加します。
設定項目は以下の通りです。Description以外は必須設定です。
設定項目 |
設定内容 |
Name |
Data Guard Rulesの名前を入力 |
Description |
Data Guard Rulesの説明を入力 |
Action |
Apply：Data Guard機能の処理を適用 |
Domain |
Data Guard Ruleを適用するDomainの条件を以下で指定します。 |
Path |
Data Guard Ruleを適用するPathの条件を以下で指定します。 |
以下は、設定画面のサンプルとなります。
Data Guard Rulesの適用順序を指定
Data Guard Rulesを複数作成した場合、適用される優先順序を指定します。
指定した順序でData Guard Rulesが適用され、条件に一致するData Guard RulesのActionに従い、HTTPレスポンスが処理されます。
「Action：Skip」のルール順序を最後に設定することはできず、最後は「Action：Apply」のルールとなるように設定する必要があります。
上記は、以下設定のサンプル画面となります。
・適用順序No.1）PathのPrefixが「/test/」の場合、Data Guard機能を無効化
・適用順序No.2）PathのPrefixが「/」の場合、Data Guard機能を有効化
この場合、PathのPrefixが「/test/」以外の場合に、Data Guard機能が動作します。
おわりに
今回は、F5 XC WAAPで利用できるアドバンストなWAF機能のうち、Data Guard Rulesをご紹介しました。アプリケーションに合わせてData Guard Rulesを構成することで、機密情報の意図せぬ漏えいを防ぐことができると考えております。
次回は、「Cross-Site Request Forgery Protection機能」についてご紹介いたします。前回ブログ「F5 XC WAAPで実現！ベーシックなクラウドWAF」でベーシックなWAF機能（App Firewall）についてもご紹介しておりますので、こちらも是非ご確認ください。
F5 XC WAAPにご興味ございましたら、以下サイトからお気軽に弊社までお問い合わせください。
「F5 Distributed Cloud Web Application and API Protection (F5 XC WAAP)」
