Webセキュリティ分析
ダウンロード
フォーカスモード
フォントサイズ
概要
Webセキュリティ分析は、セキュリティイベントの詳細な分析ツールを提供し、セキュリティポリシーの策定や調整の参考となります。お客様は、最近のセキュリティイベントを数十のディメンションで統計分析や分布傾向を確認できるだけでなく、サンプルログを表示することで、特定のイベントの具体的な内容や詳細情報をさらに理解することができます。Webセキュリティ分析は、EdgeOne Web保護機能を通過したリクエストデータに対して複数の分析ディメンションを提供し、効率的なセキュリティポリシーの策定を支援します。
サポートされる機能
説明：
1. 1つのセキュリティイベントでは、単一のリクエストが複数のセキュリティルールに一致する可能性があります。フィルタリングや統計ディメンションの選択を行う際は、ルールの処理方法とリクエストの処理結果を区別してください。例えば、あるリクエストが処理方法「観察」のルールに複数一致し、同時に処理方法「ブロック」のルールに1つ一致した場合、そのリクエストの最終的な処理結果はブロックとなります。
2. ユーザーエクスペリエンスを最適化するため、EdgeOneデータ分析ではサンプリングデータ統計技術を導入しています。これにより、大量のデータを処理する場合でも、クエリの正確性と即時性を維持できます。
1. データ期間
クエリ時間範囲を調整することで、特定の期間のセキュリティイベントを照会できます。
説明：
2. フィルターの追加
リクエスト特徴、ルールIDなどの多次元に基づいて、統計対象のWebセキュリティデータをフィルタリングできます。Webセキュリティ分析でサポートされるフィルタ項目については、フィルタ条件の使用方法を参照してください。
説明：
1. 同一のリクエストが複数のルールに一致する可能性があるため、ルールIDでフィルタリングする際には、同時に一致した他のルールの統計詳細と傾向分布が表示されます。
2. 統計詳細でフィルタリングしたい特徴値をクリックすると、すばやくフィルタに追加できます。
3. 分析ディメンション
統計分析：選択したディメンションに基づいて指標ランキングを表示し、異常なアクセス量や異常なアクセス傾向を発見するのに役立ちます。例えば、User-Agentヘッダーディメンションで表示することを選択した場合、アクセスのデバイス分布とアクセス指標の傾向を確認でき、アクセス量が異常なデバイスタイプや、一定速度で周期的にアクセスする不審なアクセス行動を識別できます。
サンプルログ：セキュリティイベントの詳細をさらに確認し、リクエストが一致したセキュリティポリシーが想定どおりかどうかを判断するのに役立ちます。例えば、サンプルログを通じて、リクエストが一致したマネージドルールや、マネージドルールが一致したフィールド内容を確認できます。これにより、誤検知かどうかを判断し、それに基づいてセキュリティポリシーを調整できます。
4. よく使うビュー
必要に応じて、現在のビューオプションをよく使うビューとして保存し、後で素早く利用できるようにできます。よく使うビューに名前を付けることができ、ビューには現在のトレンド表示オプション、統計指標、統計ディメンション情報が保存されます。
5. トレンド表示の統計方式
説明：
データフィルタリングの時間範囲を調整すると、適切なトレンドチャートを表示するために、データ粒度が自動的に調整されます。
必要に応じてトレンド図の表示オプションを調整できます：
データ粒度：トレンド図の各バーに対応するデータ統計期間です。
集計方式：トレンド図の各バーに対応するデータの計算方法です。
合計：選択したディメンションでデータをフィルタリングした後、その期間内のすべての統計項目の指標合計を表示します。例えば、トレンド図の1つのバーに対応する統計期間中に6000件のリクエストがある場合、そのバーに表示されるデータは6000です。
平均値：選択したディメンションでデータをフィルタリングした後、その期間内のすべての統計項目の指標平均値を表示します。例えば、Hostディメンションで統計データを表示する場合、データには合計5つのHostデータが含まれ、トレンド図の1つのバーに対応する統計期間中に6000件のリクエストがある場合、そのバーに表示されるデータは6000 / 5 = 1200です。
最大値：選択したディメンションで分割した後、その期間内の最大データ項目を表示します。
99パーセンタイル値：選択したディメンションでデータを分割した後、その期間内の99%を超えるデータ項目の最小値を表示します。つまり、この値は他の99%の統計項目指標値より大きいことを示します。
99.9パーセンタイル値：選択したディメンションでデータを分割した後、その期間内の99.9%を超えるデータ項目の最小値を表示します。つまり、この値は他の99.9%の統計項目指標値より大きいことを示します。
6. 統計指標
必要な統計特性（例：レート特性やリクエスト数特性）を表示するために、
リクエスト数または平均リクエストレート指標を選択して表示できます。リクエスト数：現在の統計ディメンションに基づいて総リクエスト数を表示し、大量のリクエストを行う訪問者の特徴を区別するために使用します。例えば、
リクエスト Hostディメンションで分析すると、アクセスが集中しているビジネスドメインを区別できます。平均リクエストレート：現在の統計ディメンションに基づいて平均リクエストレートを統計し、アクセス頻度が高い訪問者の特徴を区別するために使用します。例えば、
User-Agentヘッダーディメンションで分析すると、アクセス頻度が異常なデバイスタイプを区別できます。7. 統計ディメンション
Webセキュリティ分析は以下の分析ディメンション分類を提供します。選択したディメンションに基づいて統計対象とグループ化方法を調整できます：
リクエスト属性で分類される統計ディメンションは以下の通りです：
クライアントIP：異なるクライアントIPからのリクエスト数を統計します。
クライアントIP（XFFヘッダー優先）：異なるクライアントIPからのリクエスト数を統計します。クライアントがWebプロキシ経由でアクセスする場合、XFFヘッダー内の直近ホップのIPに基づいて統計します。
User-Agent：異なるデバイスタイプ（HTTP User-Agentヘッダーで区別）からのリクエストを統計します。
リクエストURL：異なるURL（アクセスパスとクエリパラメータを含む）にアクセスするリクエストを統計します。
ドメイン Host：異なるドメイン（HTTPヘッダーのHostnameで区別）にアクセスするリクエストを統計します。
参照元 Referer：異なる参照方法（HTTP Refererヘッダーで区別）でリソースにアクセスするリクエストを統計します。
ルール属性で分類される統計ディメンションは以下の通りです：
タイプ：異なるセキュリティモジュール（例：カスタムルール、マネージドルールなど）に一致したリクエストを統計します。
ルールID：異なるルールに一致したリクエストを統計します。
説明：
1. ルール分類のルールIDオプションを使用して、すべてのセキュリティ保護ルールに一致したリクエストを統合して表示できます。
2. 具体的なセキュリティ機能分類のルールIDオプションを使用して、該当モジュール内のルールに一致した状況のみを表示することもできます。例：Web保護カスタムルールに一致したルールIDに基づいてリクエストを統計します。
3. 異なるバージョンのプランでサポートされる統計ディメンションは異なります。詳細については、プランオプション比較を参照してください。
他の保護機能別に提供される分析オプションを選択することもできます。例：マネージドルールの一致フィールド、Botインテリジェント分析のBotタグなどを使用して、統計分析を実行します。
8. 統計トレンドグラフ
統計トレンド図は、お客様のトレンド表示オプションとフィルタ条件に基づいて、対応する集計データの棒グラフを表示します。
9. 統計詳細
お客様の統計ディメンションと統計指標オプションに基づいて、異なるディメンションのリクエスト特徴値と、対応する指標を表示します。例えば、
リクエスト数指標とUser-Agent 分析ディメンションを選択した場合、統計詳細セクションには、異なるクライアントデバイスタイプ（User-Agentヘッダーの値）のリクエスト数が表示され、リクエスト数の多い順に並べて表示され、各デバイスタイプのリクエスト傾向も表示されます。分析例
シーン1：直近1日間のCC攻撃防御におけるリクエスト傾向の分析
シーン例
お客様のサイト
example.comで不審なアクセス量の急増が検出され、CC攻撃保護ルールに一致したと仮定します。直近1日以内にCC攻撃保護に一致したすべてのリクエストが正常なリクエストであるかどうかを分析する必要がある場合、以下の手順を参照して分析を行うことができます。操作手順
1. EdgeOneコンソールにログインし、左側のメニューバーでWebセキュリティ分析をクリックします。
2. 分析対象のサイトドメイン、時間範囲、および集計条件を絞り込んで表示します。現在のシナリオを例にとると、過去1日間の時間範囲を選択できます。
3. 統度分析で、Web 防护 > CC 攻击防护 > 规则 IDをクリックします。
4. データ結果を確認します。上図を例にとると、インテリジェントクライアントフィルタリングによってトリガーされたリクエスト数が非常に高くなっています（ルールID：4294967293）。該当するルールIDをクリックしてフィルタに追加できます。次に、左側の統計ディメンション内のリクエスト>User Agentをクリックすると、このルールに一致したすべてのUser Agentヘッダー集計情報を表示できます。User Agentの値に基づいて、正常なクライアントの想定と一致するかどうかを判断できます。統計ディメンションに他の統計ディメンションを追加し続けることもできます。例：クライアントIPとリクエストURLを追加して、フィルタ範囲をさらに絞り込むことができます。
シーン2：直近1日間におけるBot疑いリクエストの異常リクエスト有無の分析
シーン例
お客様のサイト
example.comで最近、Botによる不審なアクセスが頻繁に発生していると仮定します。過去1日以内のすべてのBotによる不審なリクエストが正常なリクエストであるかどうかを分析する必要がある場合、以下の手順を参照して分析を行うことができます。操作手順
1. EdgeOneコンソールにログインし、左側のメニューバーでWebセキュリティ分析をクリックします。
2. 分析対象のサイトドメイン、時間範囲、および集計条件を絞り込んで表示します。現在のシナリオを例にとると、過去1日間の時間範囲を選択できます。
3. 統計分析で、Bot管理 > Botインテリジェント分析>Bot Tagをクリックします。
4. データ結果を照会します。統計詳細内で、対応するBot Tagのリクエスト回数を確認できます。現在のシナリオを例にとると、Botリクエスト疑い>等しいフィルタに追加をクリックしてさらに分析できます。フィルタ条件を追加した後、統計ディメンションに他の統計ディメンションを追加し続けることもできます。例：User-Agentを追加して、フィルタ範囲をさらに絞り込むことができます。
5. サンプルログをクリックし、詳細なサンプルログ分析に切り替えます。各ログの左側にある矢印をクリックすると、詳細なリクエストヘッダーと一致したルールの状況を展開して表示できます。これにより、そのリクエストが正常なリクエストであるかどうかを判断できます。
シーン3：リクエストIDによるブロックされたリクエスト詳細の特定と分析
シーン例
お客様のサイト
example.comで、ユーザーからアクセス時にブロックページが表示されたとの報告があり、ページに表示されたリクエストIDが提供されたと仮定します。Webセキュリティ分析で該当リクエストを迅速に特定し、そのサンプルログの詳細と一致したルールを確認して、ブロックが想定どおりか誤ブロックかを判断する必要があります。以下の手順を参照して分析を行うことができます。操作手順
1. EdgeOneコンソールにログインし、左側のメニューバーでWebセキュリティ分析をクリックします。
2. 分析対象の時間範囲とデータアベイラビリティーゾーンを絞り込んで表示します。現在のシナリオを例にとると、ブロックページに表示されたリクエスト時間を含む時間範囲を選択できます。
3. フィルタ条件でリクエストIDを選択し、ブロックページに表示されたリクエストIDを入力して、確定をクリックします。
4. サンプルログタグをクリックし、該当リクエストIDに一致するログレコードを表示します。
5. サンプルログリストで、ログの左側にある矢印をクリックして詳細を展開すると、クライアントIP、リクエストメソッド、リクエストパス、User-Agent、一致したルールIDと処理方法、ルール分類、および元のリクエストヘッダー内容など、完全なリクエスト情報を表示できます。
6. マッチングルールのタイプ、マッチング条件、および処理方法に基づき、サイトのビジネスシナリオと通常のアクセス特徴を考慮して、該当ブロックが想定どおりかどうかを判断します。業務上の誤ブロックであると確認された場合、安全性を確保した上で、関連する防护ルールを適切に調整または最適化できます。例えば、マッチング条件を緩和するか、より多くのマッチング条件を追加してヒット範囲を正確に限定する、防护例外ルールを追加する、またはルールの優先順位を調整するなどして、通常のアクセスへの影響を軽減します。詳細については、Web防护をご参照ください。
フィードバック