基本編techblogこんにちは。ソリューションアーキテクトの松田(@MatYoshr)です。12日目の記事になります。国際サイトの内容をベースに説明しています。意外と多くのセキュリティ関連のプロダクトがある事をご存知でしょうか?以下の図はザックリ2019年12月時点での一覧になります。使いやすく良いプロダクトですね。以下の記事でも簡単に紹介されていますが、出来る事が多いのでどこかで改めてご紹介したいです。簡単にご紹介させて頂きたいと思います。対抗するサービスです。何だ?という事になりますが大まかには下記の様な定義になるのかなと思います。Webボットあるいは単にボットとも呼ぶ。一般に単純な繰り返しのタスクをこなし、そのようなタスクに関しては人間が手でやるよりも高速である。ボットは主にクローラとして使われることが多く、人間の何倍もの速さでWebページを自動的に集め、その内容(情報)を分析して分類する。天猫(Tmall)、支付宝(Alipay)など)での経験をベースに作られているとのことなので、実際に中国でクローラーや悪意のあるボットプログラムからユーザーのサイトやアプリを守るために蓄積されたナレッジや仕組みを利用できるサービスという事になります。設定画面や価格が異なっています。検証を行いましたのでソチラの内容での記事となります。以下購入画面のサンプルサービス購入後に一番最初に行うことはドメインの紐付けです。保護できるのは1つのTLDと最大9つのサブドメインまたはワイルドカードドメインです。それ以上の保護には追加オプションが必要になります。SSLのオフロードをすることも可能ですし、HTTPで待ち受けることも可能です。※SSL証明書は別途用意する必要があります。サービスである必要はありません。2種類の機能を提供します。基本機能の部分をご紹介いたします。機能としては以下の様になっています。オプション機能に関してはそれぞれ追加費用が必要になります、詳しくは後ほど説明します。今回未検証の機能です、どこかで改めて紹介できればと思います。配置する様なイメージになります。上で公開されている必要性はありません。保護の対象とすることが可能です。同時に使用すると言う構成も可能です。3つはWAFの様な設定をしていく機能になります。Whitelist下記の様な画面で設定します。それぞれ最大で200個のIPアドレス又はIPセグメントを指定できます。5.6.7.8/24の様にカンマ区切りで入力します。ドメインでの指定はNGです。ルールとマッチしたリクエストの内容に対するアクションを定義します。Fieldの項目は以下になります。以下の4つになります。動作を少し説明します。実際に人が操作する場合はブラウザ上で表示されるスライダーを操作して先に進むことが出来ますが、単純なBotやクローラーの場合は先に進むことが出来ずここでブロックされることになります。今回の場合特定のURLに対してブロック動作を定義したのでブラウザでもブロック画面が表示されていますが、User-AgentやHeaderなどを上手く使ってブラウザではない場合にブロックするのが実際の利用シーンかと思います。特定のURLへの単位時間あたりのアクセス数などから悪意のあるBotを検出するために使用します。使って人間と異なる動きをするbotを検出するために使用します。5秒間に2回、同一のIPからrate-testというURLへアクセスした場合にBlockが適用されます。時の405とは異なり一時的にアクセス自体が遮断される様な動きになります。認証処理を行うJavaScriptファイルがブラウザ、又はbotに渡されます。ブラウザであれば一瞬遷移したなと言うレベルで上記が実施され気づかずに通過できますが、一般的なBotやクローラーは渡されたJavaScriptファイルを処理できずにブロックされると言う仕組みになります。Validationのルールに該当したアクセスを行うと以下の様に謎のJavaScriptが間に差し込まれていることがわかります。※ちゃんとデベロッパーツールを閉じると正常にページにアクセスできます。アクセスすると謎の結果が返ってきます。botやクローラーの場合はこの様な結果が返ってきて、正常な画面へのアクセスを防ぐ仕組みになっています。基本編ということでココまでの内容になります。理解の一助になれば幸いです。・・・と言いつつWAFでも近いこと出来ると思った方もいるかもしれません。真の強みはオプション機能部分にあります。次回の記事ではその辺りをご紹介したいと思います。reserved.スターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。