【Tips】Web Application Firewall ポリシーのマネージドルール有効化時にアクションが初期化される挙動

インターネットに公開するシステムを Azure で構築する際、Application Gateway と Web Application Firewall ポリシー（以降、WAF と表記）を利用する事も多いかと思います。

実際に私が WAF を利用している際、WAF のマネージドルール有効化時にアクションが初期化される、という挙動がありました。

本記事では、この挙動について詳しく解説します。

当時、私は一部無効化していたマネージドルールを、先にアクションを変更してから有効化したいと考えておりました。

しかし、実際は先に変更したアクションの設定値のままマネージドルールは有効化されず、アクションが初期値に戻された状態でマネージドルールが有効化されました。

初期化を避けるためには、マネージドルールが有効化された状態でアクションの変更を行う必要があるようです。

今回は、以下の流れで改めてこの挙動を確認します。

まず、Azure ポータルにアクセスし、WAF のマネージドルールの設定画面から、今回は以下の各アクションを変更します。

次の通り、各アクションを変更しました。

アクションを変更した 4つのルールを無効化します。

この時点ではアクションはまだ初期化されておりません。

無効化したルールを再度有効化します。

次の通り、変更していたアクションがすべて初期化されていることがわかります。

ルール ID	変更前のアクション	変更後のアクション	マネージドルール再度有効化後のアクション
100100	ブロック	ログ	ブロック
200100	許可	ログ	許可
300100	ログ	許可	ログ
930100	異常スコア	ブロック	異常スコア

今回は WAF のマネージドルール有効化時にアクションが初期化される挙動について解説しました。

検証結果の通り、無効化していたマネージドルールを「アクションを変更してから有効化する」ことはできず、「マネージドルールを有効化した上でアクションを変更する」必要があることがわかりました。

例えば、初期アクションが「ブロック」となっている無効化されたあるマネージドルールを、「ログ」アクションに変更した上で有効化したとします。

検証前は、「ログ」アクションに変更された状態でマネージドルールが有効化されるため、そのマネージドルールによってトラフィックがブロックされることはない想定でした。*1

ですが、実際には「ブロック」アクションに初期化された状態でマネージドルールが有効化されてしまいます。

そのため、その後に「ログ」アクションに変更するまでの間は、該当のマネージドルールによってトラフィックを予期せずブロックしてしまう可能性があり、設定変更を行う時間帯によってはネットワーク障害となり得ます。

今回の挙動については、実際に WAF を触っていないと気付きにくい部分かと思いましたのでご紹介させていただきました。

以上、参考になれば幸いです。

*1:「ログ」アクションは、マネージドルールの条件に一致したトラフィックをログ出力のみ行います。