EdgeOneにはどのようなセキュリティ機能がありますか？
EdgeOneはWebアプリケーションサービスとTCP/UDPアプリケーションサービスにリバースプロキシとサービス対応プロトコルのセキュリティ保護を提供します。
|
L4プロキシ （TCP/UDPアプリケーションサービス） | | - | - | - |
L7サイト （Webアプリケーションサービス） | | ✓ | ✓ | |
説明：
注2
：Bot管理のサブスクリプションが必要です。詳細は課金概要（新版）をご覧ください。ソースサーバーでWAFを設定済みですが、EdgeOneのセキュリティ保護を使用する必要がありますか？
EdgeOneは、一体化された高速化とセキュリティ機能を提供することを目的としています。そのため、お客様がアプリケーションとサービスをEdgeOneに接続すると、EdgeOneは直ちに保護サービスの提供を開始します。お客様のオリジンサーバーに既存の保護機能があることを前提として、EdgeOneは以下を提供します：
分散型セキュリティ保護：世界中のアベイラビリティーゾーンに分散された複数の独立したクリーニングセンターを含む保護リソースを提供し、分散型アクセスアーキテクチャを通じて効率的な冗長性と災害復旧を提供します。
WAFおよびWebサイト保護：脆弱性攻撃検出、レート制限、Bot管理3を含むアプリケーションセキュリティ保護機能を提供します。 キャッシュリソースの保護機能：キャッシュ済みリソースにアクセスするリクエストを同時に検査できます。EdgeOneのセキュリティポリシーによってブロックされた使用量は課金されず、不要なコンテンツ配信コストを削減します。
クライアントに最も近い脅威識別：EdgeOneは通常、クライアントから直接アクセスが開始され、クライアントのL4接続セッション特性とTLSフィンガープリント特性を収集・分析し、ポリシーによる悪意のあるアクセスの識別を支援します。
お客様のオリジンサーバーセキュリティポリシーとの互換性：オリジンサーバーへのリクエストに対するマーキング3をサポートし、お客様はオリジンサーバーでリクエストをさらに分析できます。 説明：
注3
：Bot管理のサブスクリプションと有効化が必要です。Bot管理はオリジンサーバーへのリクエストに識別ヘッダーを付与し、お客様がリクエストをさらに分析するのを支援します。 EdgeOneはIP許可リストと拒否リストをサポートしていますか？
IP拒否リストを設定する必要がある場合、つまり指定リスト内のクライアントIPをブロックするには、カスタムルールの基本アクセス制御を使用し、クライアントIP制御オプションを選択し、ブロックするIPリストを設定し、ブロック処理方法を選択します。
IP許可リストを設定する必要がある場合、つまり指定リスト内のクライアントIPを許可するには、保護例外ルールを使用し、クライアントIP一致条件を選択し、スキップするセキュリティモジュールを選択します。 注意：
IP許可リストの想定される用途は、シナリオによって異なります：
1. 指定リスト内のクライアントIPを許可します。このシナリオでは、保護例外ルールを設定し、指定されたセキュリティモジュールをスキップする必要があります。 2. 指定リスト内のクライアントIPのみアクセスを許可します。このシナリオでは、カスタムルールの基本アクセス制御ルールを設定し、指定リストにないクライアントIPをブロックする必要があります。 地域ブロックをどのように設定しますか？中国本土以外の地域からのアクセスをどのようにブロックしますか？
カスタムルールの基本アクセス制御を使用し、地域制御オプションを選択して、ブロックするクライアント地域リストを設定し、ブロック処理方法を選択できます。中国本土以外の地域からのアクセスをブロックする必要がある場合は、地域不一致オプションを選択し、一致内容として中国本土の地域を選択し、ブロック処理方法を選択できます。 ホットリンク保護をどのように設定しますか？このドメインと指定ドメインのリンクのみアクセスを許可するにはどうすればよいですか？
ホットリンク保護技術は、主に静的リソースが外部サイトのページに読み込まれるのを防ぐために使用されます。
一般的なホットリンク保護技術
基本的なホットリンク保護ポリシーは、リクエストのRefererヘッダーによってページ読み込みからのアクセスかどうかを判断し、外部サイトがリソースを参照するリクエストや、ページ読み込みを経由せずに直接アクセスするリクエスト（例えば、ブラウザにURLを入力して静的リソースに直接アクセスする場合）をブロックします。カスタムルールの基本アクセス制御機能を使用して、Refererヘッダーが指定ドメインリストにないリクエストをブロックできます。 データアクセスセキュリティのさらなる検証
HTTPヘッダーフィールドを使用することで一般的なホットリンクのシナリオに対応できますが、悪意のあるリクエストは技術的手段によって正規のHTTPリクエストを生成し、サイトリソースを取得する可能性があります。サイトリソースへのアクセスの安全性をさらに高めるために、URLを動的に生成し、URLに有効期限付きのランダム署名を含めることができます。リソースへのアクセスを提供する前に、署名の正当性と有効性を確認し、リクエストにリソースへのアクセス権限があるかどうかを識別します。EdgeOneのルールエンジン機能はToken認証オプションを提供しており、署名付きURLの生成を支援し、署名検証メカニズムを提供します。エッジ関数を使用してカスタムの動的アクセス認証を実装することもできます。 「観察」とは何ですか？「観察」の処理アクションはブロックを行いますか？
「観察」の処置動作はログのみを記録し、リクエストをブロックしません。これはポリシーの評価に非常に役立ちます。「観察」に設定されたルールはお客様の業務に影響を与えないため、ログで当該ルールの一致状況を確認することで、正常な業務への影響と悪意のあるリクエストへの一致状況を判断し、ブロックとして有効にする必要があるかどうかを判断できます。詳細は処置方法をご参照ください。 「JavaScriptチャレンジ」とは何ですか？「JavaScriptチャレンジ」の処理アクションはビジネスにどのような影響を与えますか？
「JavaScriptチャレンジ」の処置動作はページを応答します。このページはリクエストクライアントがCookieとJavaScript実行環境をサポートしているかどうかを検証し、検証条件を満たすブラウザは引き続きアクセスでき、その他のツール（例：cURLなど）はブロックされます。この方式は一部の非ブラウザツールを識別できます。詳細は処置方法をご参照ください。 注意：
1. 大部分のAPIインターフェースはJavaScript応答を処理できないため、「JavaScriptチャレンジ」アクションによってブロックされます。
2. ネイティブAPPやミニプログラムのリクエストもAPIリクエストに属し、JavaScript応答を処理できないため、「JavaScriptチャレンジ」アクションによってブロックされます。JavaScriptチャレンジに対応する必要がある場合、クライアントはAPIインターフェースにアクセスする前に、まずweb-viewまたはH5フレームワークを通じてJavaScriptチャレンジを完了し、APIインターフェースにアクセスするリクエストが「JavaScriptチャレンジ」によってブロックされるのを防ぐことができます。
EdgeOneで開放されているポートはすべてオリジンサーバーにアクセスできますか？
EdgeOneの開放ポートはデフォルトではサイト業務へのアクセスを提供しません。接続済みサイトのプロトコルとポート設定に基づき、EdgeOneはアクセスリクエストを解析し、セキュリティと加速設定に基づいて指定ポートからのリクエストを処理するかどうかを決定し、設定に基づいて応答、ブロック、またはオリジンへの転送を行います。
お客様の業務でポートが有効になっていない場合、またはアクセスプロトコルが設定されていない場合、クライアントは当該ポートまたはプロトコルを通じて業務ドメイン名のリソースまたはオリジンサーバーにアクセスできません：
接入フローが完了していないサイトドメイン名は、EdgeOneのHTTP、HTTP/2、QUICなどのプロトコルを通じてドメイン名業務にアクセスできません。
HTTPS、HTTP/2、QUICサービスまたは対応する証明書が有効化または設定されていない場合、クライアントはHTTPS、HTTP/2、QUICなどのプロトコルを通じて対応するドメイン名リソースまたはオリジンサーバーにアクセスできません。
四層プロキシで指定ポートの転送ルールが設定されていない場合、当該ポートを通じてオリジンサーバーの対応ポート業務にアクセスできません。
説明：
ドメイン名サービスに接続すると、EdgeOneはデフォルトで指定ポートによるサイトHTTPサービスへのアクセスをサポートします。詳細はドメイン名サービスに関する問題をご参照ください。