AWS WAF のマネージドルールで誤検知が発生した場合、どうすれば回避できますか？

AWSテクニカルサポートノート

#AWS WAF

#AWS

yama

2023.02.13

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

困っていた内容

AWS WAF のマネージドルールにて誤検知（BLOCK）が発生しました。
どのような設定を行えば誤検知を回避できるか教えてください。

具体的な回答

誤検知の一般的な回避方法は、以下手順にて設定を行う必要があります。

①.誤検知があったルールと文字列を特定する。
②.誤検知があった文字列を許可（ALLOW）するルールを追加する。
③.追加したルールを、誤検知があったルールより高い優先度に設定する。

誤検知があったルールと文字列を特定する。

始めに、誤検知があったルールと誤検知の根本的な原因である文字列を WAF のログから特定する必要があります。
※WAF ログが無効となっている場合は有効に設定し、ログの取得を行う必要があります。

誤検知が発生した時間帯の WAF ログを取得し、ログから誤検知があったルールと文字列を特定します。
まず、ログから "action" フィールドが "BLOCK" となっているルールを探します。

例として、AWS ドキュメントのログの例を抜粋して解説します。

{
    "timestamp":1592361810888,
    "formatVersion":1,
    "webaclId":"arn:aws:wafv2:us-east-1:123456789012:global/webacl/hello-world/5933d6d9-9dde-js82-v8aw-9ck28nv9"
    ,"terminatingRuleId":"RG-Reference"
    ,"terminatingRuleType":"GROUP"
    ,"action":"BLOCK",
    "terminatingRuleMatchDetails":
    [{
        "conditionType":"XSS"
        ,"location":"HEADER"
        ,"matchedData":["<","frameset"]
    }]
    ,"httpSourceName":"-"
    ,"httpSourceId":"-"
    ,"ruleGroupList":

ログの例 - AWS WAF、AWS Firewall Manager、および AWS Shield Advanced

"action" フィールドが "BLOCK" となっているルールの、
"terminatingRuleId" フィールド内の記述が、誤検知したルールID
"matchedData"フィールド内が、誤検知した文字列です。
※文字列は ,（カンマ）区切りで1文字です。

上記 JSON を例とすると、
"RG-Reference"が誤検知したルールID
"<"、"frameset" が誤検知した文字列となります。