WAFで海外を一括で止める前に、客まで締め出していないか

10月10日、エンジニアが記事を出すサイトZennに「WAF でブロックする前に確かめていること」という記事が載った。書いたのは、えみり〜（@azunyan）。迷惑なアクセスをWAFで止める。その「止める前」に何を確かめているかを並べたものだ。これが、記事に一言を付けて共有するサイト「はてなブックマーク」で、16日の朝までに329人に集められた。

意外なのは、最初に来るのが攻撃の見分け方ではないことだ。1つめは「止める前に、巻き添えになる正規の利用者がいないかを確かめる」。2つめは「国や一般的なブラウザの JA4 のように広く当たる条件は、自動化や攻撃を示す条件と組み合わせる」。3つめは「決め手がなければ止めずに保留し、その判断も記録に残す」。泥棒を止める鍵の作り方より、客を締め出さない確かめ方が先に来ている。前提として、CloudflareのEnterpriseプランと、bot対策のBot Managementを契約しているという。

なぜ、客まで巻き添えになるのか

理由は、IPアドレスが1人のものではないからだ。携帯電話の回線では、1つのIPアドレスを大勢の契約者で使い回していることがある。CGNという仕組みだ。会社の出口も同じで、社内のパソコンの通信は1つのIPアドレスにまとめられて外に出る。1つのIPアドレスを止めれば、その裏にいる人がまとめて止まる。ASNのような大きな単位なら、その事業者から来るアクセスが全部止まる。だから記事は、ISPや携帯キャリアについては「ASN だけでは止めない」と書く。

では、何と組み合わせるのか。Cloudflareが付ける点数だ。Bot Scoreは、そのアクセスが人間からか、botからかを1〜99で表す。1に近いほど自動化されたものらしく、30から上は人間らしい。攻撃スコアのほうは、1〜20が攻撃、21〜50が攻撃の可能性あり。国や、普通のブラウザのJA4のような広く当たる条件は、こうした点数と「かつ」でつなぐ。

ここが、ややこしい。影響を読み切れない条件は、いきなり止めずに記録だけの扱いで入れ、どんなアクセスが当たるかを見るという。

ネットの評判

コメント欄には、実際に客を締め出した話が並んだ。あるユーザーは、日本からだけに絞った結果をこう書いている。「ある日google検索で自分の会社名の検索さえヒットしなくて、WAF設定してたことも忘れてて焦る。クローラーはアメリカで実行されてた」。

別のユーザーは「最近のセキュリティ対策で海外全てブロックみたいなのみると罠にハマるやつ。SEOもだが、AWSやAzure、GCPなど海外サービスも全部弾いちゃうから結構まずい」と書く。

記事そのものへの評価は高く、「WAF の運用に関するtips。このあたりの知見はあまりなかったので勉強になる」という声が並ぶ。冷めた見方もあった。「WAF のルールをきちんと検討して、メンテナンスできる人は希少」。インフラ側もアプリ側も、片方だけでは判断しきれない、という中身だ。

止めなかった理由も、記録に残す

止めたものだけでなく、保留にしたものも同じ形で残す。日付、対象、判断の理由、根拠にしたログや分析画面、送信元を調べた結果。そこまで書いてあれば、次に同じ送信元を調べるときに、別の人でも一から判断し直さずに済む。

著者はこう締める。「これから WAF の運用を始めるなら、止めた理由だけでなく、止めなかった理由も記録に残しておくのがおすすめです」。