# ステップ 1. スタックを起動する
<a name="step-1.-launch-the-stack"></a>

この自動 AWS CloudFormation テンプレートは、AWS クラウドにソリューションをデプロイします。

1. [AWS マネジメントコンソール](https://aws.amazon.com/console)にサインインして、**[ソリューションを起動]** を選択して `waf-automation-on-aws.template` CloudFormation テンプレートを起動します。

    [![Launch solution](https://docs.aws.amazon.com/ja_jp/solutions/latest/security-automations-for-aws-waf/images/launch-button.png)](https://console.aws.amazon.com/cloudformation/home?region=us-east-1#/stacks/new?stackName=WAFSecurityAutomations&templateURL=https:%2F%2Fs3.amazonaws.com%2Fsolutions-reference%2Fsecurity-automations-for-aws-waf%2Flatest%2Faws-waf-security-automations.template&redirectId=ImplementationGuide) 

1. テンプレートはデフォルトで米国東部 (バージニア北部) リージョンで起動します。別の AWS リージョンでこのソリューションを起動するには、コンソールのナビゲーションバーのリージョンセレクターを使用します。エンドポイントとして `CloudFront` を選択した場合は、ソリューションを米国東部 (バージニア北部) (`us-east-1`) リージョンにデプロイする必要があります。
**注記**  
定義する入力パラメータ値に応じて、このソリューションに必要なリソースは異なります。これらのリソースは現在、特定の AWS リージョンでのみ使用できます。そのため、これらのサービスが利用可能な AWS リージョンでこのソリューションを起動する必要があります。詳細については、「[サポートしている AWS リージョン](plan-your-deployment.md#supported-aws-regions)」を参照してください。

1. **[テンプレートの指定]** ページで、正しいテンプレートを選択したことを確認し、**[次へ]** を選択します。

1. **[スタックの詳細を指定]** ページの **[スタック名]** フィールドで AWS WAF 設定に名前を割り当てます。これは、テンプレートが作成するウェブ ACL の名前にもなります。

1. **[パラメータ]** で、テンプレートのパラメータを確認し、必要に応じて変更します。特定の機能をオプトアウトするには、必要に応じて `none` または `no` を選択します。このソリューションでは、次のデフォルト値を使用します。


<table>
<thead>
  <tr><th>パラメータ</th><th>デフォルト </th><th>説明</th></tr>
</thead>
<tbody>
  <tr><td> <b>スタック名</b> </td><td> <code>[.red]#</code>&lt;入力必須&gt;`</td><td>スタック名にスペースを含めることはできません。この名前は AWS アカウント内で一意である必要があり、テンプレートが作成するウェブ ACL の名前です。</td></tr>
  <tr><td> <b>リソースタイプ</b> </td><td></td><td></td></tr>
  <tr><td> <b>Endpoint</b> </td><td> <code>CloudFront</code> </td><td>使用するリソースのタイプを選択します。注意: エンドポイントに <code>CloudFront</code> を選択した場合は、米国東部 (バージニア北部) リージョン (<code>us-east-1</code>) で WAF リソースを作成してソリューションを起動する必要があります。</td></tr>
  <tr><td> <b>AWS マネージドの IP 評価ルールグループ</b> </td><td></td><td></td></tr>
  <tr><td> <b>Activate Amazon IP reputation List Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td><b>Amazon IP 評価リストマネージドルールグループ</b>をウェブ ACL に追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、Amazon の内部脅威インテリジェンスに基づきます。これは、通常、ボットやその他の脅威に関連付けられている IP アドレスをブロックする場合に便利です。これらの IP アドレスをブロックすることで、ボットを緩和し、悪意のあるアクターが脆弱なアプリケーションを発見するリスクを緩和できます。<br />必要な WCU は 25 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>Activate Anonymous IP List Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td>ウェブ ACL に<b>匿名 IP リストマネージドルールグループ</b>を追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、ビューワー ID の難読化を許可するサービスからのリクエストをブロックします。これには、VPN、プロキシ、Tor ノード、ホスティングプロバイダーなどからのリクエストが含まれます。このルールグループは、アプリケーションから ID を隠そうとするビューワーを除外する場合に便利です。これらのサービスの IP アドレスをブロックすると、ボットの緩和や地理的制限の回避に役立ちます。<br />必要な WCU は 50 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>AWS マネージドのベースラインルールグループ</b> </td><td></td><td></td></tr>
  <tr><td> <b>Activate Core Rule Set Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td><b>コアルールセット (CRS) マネージドルールグループ</b>をウェブ ACL に追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、リスクが高く一般的に発生するいくつかの脆弱性を含む、さまざまな脆弱性の悪用に対する保護を提供します。すべての AWS WAF ユースケースでこのルールグループを使用することを検討してください。<br />必要な WCU は 700 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>Activate Admin Protection Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td><b>管理者保護マネージドルールグループ</b>をウェブ ACL に追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、公開されている管理ページへの外部アクセスをブロックします。これは、サードパーティーのソフトウェアを実行している場合や、悪意のあるアクターがアプリケーションへの管理アクセスを得るリスクを緩和したい場合に便利です。<br />必要な WCU は 100 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>Activate Known Bad Inputs Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td>ウェブ ACL に<b>既知の不正な入力マネージドルールグループ</b>を追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、公開されている管理ページへの外部アクセスをブロックします。これは、サードパーティーのソフトウェアを実行している場合や、悪意のあるアクターがアプリケーションへの管理アクセスを得るリスクを緩和したい場合に便利です。<br />必要な WCU は 100 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>AWS マネージドのユースケース固有のルールグループ</b> </td><td></td><td></td></tr>
  <tr><td> <b>Activate SQL Database Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td><b>SQL データベースマネージドルールグループ</b>をウェブ ACL に追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、SQL インジェクション攻撃などの SQL データベースの悪用に関連するリクエストパターンをブロックします。これにより、不正なクエリのリモートインジェクションを防ぐことができます。アプリケーションが SQL データベースと連結している場合は、このルールグループを評価します。AWS マネージド SQL ルールグループが既に有効になっている場合、SQL インジェクションカスタムルールの使用はオプションです。<br />必要な WCU は 200 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>Activate Linux Operating System Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td><b>Linux オペレーティングシステムマネージドルールグループ</b>をウェブ ACL に追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、Linux 固有のローカルファイルインクルージョン (LFI) 攻撃など、Linux 固有の脆弱性の悪用に関連するリクエストパターンをブロックします。これにより、攻撃者がアクセスしてはならないファイルの内容を公開したり、コードを実行したりする攻撃を防ぐことができます。アプリケーションの一部が Linux で実行されている場合は、このルールグループを評価します。このルールグループは、POSIX オペレーティングシステムルールグループと組み合わせて使用する必要があります。<br />必要な WCU は 200 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>Activate POSIX Operating System Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td><b>コアルールセット (CRS) マネージドルールグループの保護</b>をウェブ ACL に追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、POSIX および POSIX と同等のオペレーティングシステムに固有の脆弱性の悪用 (LFI 攻撃など) に関連するリクエストパターンをブロックします。これにより、攻撃者がアクセスしてはならないファイルの内容を公開したり、コードを実行したりする攻撃を防ぐことができます。アプリケーションの一部が POSIX または POSIX と同等のオペレーティングシステムで実行されている場合は、このルールグループを評価します。<br />必要な WCU は 100 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>Activate Windows Operating System Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td><b>Windows オペレーティングシステムマネージドルールグループ</b>をウェブ ACL に追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、PowerShell コマンドのリモート実行など、Windows 固有の脆弱性の悪用に関連するリクエストパターンをブロックします。これにより、攻撃者が不正なコマンドまたは悪意のあるコードを実行できる脆弱性の悪用を防ぐことができます。アプリケーションの一部が Windows オペレーティングシステムで実行されている場合は、このルールグループを評価します。<br />必要な WCU は 200 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>Activate PHP Application Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td><b>PHP アプリケーションマネージドルールグループ</b>をウェブ ACL に追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、安全でない PHP 関数のインジェクションなど、PHP プログラミング言語の使用に固有の脆弱性の悪用に関連するリクエストパターンをブロックします。これにより、攻撃者が許可されていないコードまたはコマンドを遠隔で実行できる脆弱性の悪用を防ぐことができます。アプリケーションが連結するサーバーに PHP がインストールされている場合は、このルールグループを評価します。<br />必要な WCU は 100 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>Activate WordPress Application Managed Rule Group Protection</b> </td><td> <code>no</code> </td><td><b>WordPress アプリケーションマネージドルールグループ</b>をウェブ ACL に追加するように設計されたコンポーネントをオンにするには、<code>yes</code> を選択します。<br />このルールグループは、WordPress サイト固有の脆弱性の悪用に関連するリクエストパターンをブロックします。WordPress を実行している場合は、このルールグループを評価します。このルールグループは、SQL データベースおよび PHP アプリケーションルールグループと組み合わせて使用する必要があります。<br />必要な WCU は 100 です。アカウントには、容量制限を超えたためにウェブ ACL スタックのデプロイが失敗するのを避けるために、十分な WCU 容量が必要です。<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html">AWS マネージドルールのルールグループリスト</a>」を参照してください。</td></tr>
  <tr><td> <b>カスタムルール – スキャナー &amp; プローブ</b> </td><td></td><td></td></tr>
  <tr><td> <b>Activate Scanner &amp; Probe Protection</b> </td><td> <code>yes - AWS Lambda log parser</code> </td><td>スキャナーとプローブをブロックするために使用するコンポーネントを選択します。緩和策オプションに関連するトレードオフの詳細については、「<a href="log-parser-options.md">ログパーサーオプション</a>」を参照してください。</td></tr>
  <tr><td> <b>Application Access Log Bucket Name</b> </td><td> <code>[.red]&lt;requires input&gt;</code> </td><td><b>[Activate Scanner &amp; Probe Protection]</b> パラメータに <code>yes</code> を選択した場合は、CloudFront ディストリビューション (複数可) または ALB (複数可) のアクセスログを保存する Amazon S3 バケット (新規または既存) の名前を入力します。既存の Amazon S3 バケットを使用している場合は、CloudFormation テンプレートをデプロイしているのと同じ AWS リージョンにある必要があります。ソリューションのデプロイごとに異なるバケットを使用する必要があります。<br />この保護を無効にするには、このパラメータを無視します。注意: CloudFront ウェブディストリビューション (複数可) または ALB (複数可) のウェブアクセスログを有効にして、この Amazon S3 バケットにログファイルを送信します。スタックで定義されているのと同じプレフィックス (デフォルトのプレフィックス <code>AWSLogs/</code>) にログを保存します。詳細については、「<b>Application Access Log Bucket Prefix</b>」パラメータを参照してください。</td></tr>
  <tr><td> <b>Application Access Log Bucket Prefix</b> </td><td> <code>AWSLogs/</code> </td><td><b>[Activate Scanner &amp; Probe Protection]</b> パラメータに <code>yes</code> を選択した場合は、上記のアプリケーションアクセスログバケットにオプションのユーザー定義プレフィックスを入力できます。<br /><b>Endpoint</b> パラメータに <code>CloudFront</code> を選択した場合は、<code>yourprefix/</code> などの任意のプレフィックスを入力できます。<br /><b>[Endpoint]</b> パラメータに <code>ALB</code> を選択した場合は、<code>yourprefix/AWSLogs/</code> などのプレフィックスに <code>AWSLogs/</code> を追加する必要があります。<br />ユーザー定義のプレフィックスがない場合は、<code>AWSLogs/</code> (デフォルト) を使用します。<br />この保護を無効にするには、このパラメータを無視します。</td></tr>
  <tr><td> <b>Is bucket access logging turned on?</b></td><td> <code>no</code> </td><td><b>[Application Access Log Bucket Name]</b> パラメータに既存の Amazon S3 バケット名を入力し、バケットのサーバーアクセスログ記録が既にオンになっている場合は、<code>yes</code> を選択します。<br /><code>no</code> を選択すると、ソリューションはバケットのサーバーアクセスログ記録を有効にします。<br /><b>[Activate Scanner &amp; Probe Protection]</b> パラメータに <code>no</code> を選択した場合は、このパラメータを無視します。</td></tr>
  <tr><td> <b>Error Threshold</b> </td><td> <code>50</code> </td><td><b>[Activate Scanner &amp; Probe Protection]</b> パラメータに <code>yes</code> を選択した場合は、IP アドレスごとに 1 分あたりに許容される不正なリクエストの最大数を入力します。<br /><b>[Activate Scanner &amp; Probe Protection]</b> パラメータに <code>no</code> を選択した場合は、このパラメータを無視します。</td></tr>
  <tr><td> <b>Keep Data in Original S3 Location</b> </td><td> <code>no</code> </td><td><b>[Activate Scanner &amp; Probe Protection]</b> パラメータに <code>yes - Amazon Athena log parser</code> を選択した場合、ソリューションはアプリケーションアクセスログファイルと Athena クエリにパーティション化を適用します。デフォルトでは、ソリューションはログファイルを元の場所から Amazon S3 のパーティション化されたフォルダ構造に移動します。<br />ログのコピーも元の場所に保持する場合は、<code>yes</code> を選択します。これにより、ログストレージが複製されます。<br /><b>[Activate Scanner &amp; Probe Protection]</b> パラメータに <code>yes - Amazon Athena log parser</code> を選択しなかった場合は、このパラメータを無視します。</td></tr>
  <tr><td> <b>カスタムルール – HTTP フラッド</b> </td><td></td><td></td></tr>
  <tr><td> <b>Activate HTTP Flood Protection</b> </td><td> <code>yes - AWS WAF rate-based rule</code> </td><td>HTTP フラッド攻撃をブロックするために使用するコンポーネントを選択します。緩和策オプションに関連するトレードオフの詳細については、「<a href="log-parser-options.md">ログパーサーオプション</a>」を参照してください。</td></tr>
  <tr><td> <b>Default Request Threshold</b> </td><td> <code>100</code> </td><td><b>[Activate HTTP Flood Protection]</b> パラメータに <code>yes</code> を選択した場合は、IP アドレスごとに 5 分あたりの最大許容リクエスト数を入力します。<br /><b>[Activate HTTP Flood Protection]</b> パラメータに <code>yes - AWS WAF rate-based rule</code> を選択した場合、許容される最小値は <code>10</code> です。<br /><b>[Activate HTTP Flood Protection]</b> パラメータに <code>yes - AWS Lambda log parser</code> または <code>yes - Amazon Athena log parser</code> を選択した場合、任意の値にすることができます。<br />この保護を無効にするには、このパラメータを無視します。</td></tr>
  <tr><td> <b>Request Threshold by Country</b> </td><td> <i>&lt;オプション入力&gt;</i> </td><td><b>[Activate HTTP Flood Protection]</b> パラメータに <code>yes - Amazon Athena log parser</code> を選択した場合は、この JSON 形式 <code>{"TR":50,"ER":150}</code> に従って国別にしきい値を入力できます。このソリューションは、指定された国から発信されたリクエストにこれらのしきい値を使用します。このソリューションは、残りのリクエストに <b>[Default Request Threshold]</b> パラメータを使用します。注意: このパラメータを定義すると、<b>[Group By Requests in HTTP Flood Athena Query]</b> パラメータで選択できる IP フィールドやその他のオプションのグループ別フィールドとともに、国が Athena クエリグループに自動的に含まれます。 +<br />この保護を無効にすることを選択した場合は、このパラメータを無視します。</td></tr>
  <tr><td> <b>Group By Requests in HTTP Flood Athena Query</b> </td><td> <code>None</code> </td><td><b>[Activate HTTP Flood Protection]</b> パラメータに <code>yes - Amazon Athena log parser</code> を選択した場合は、グループ別フィールドを選択して、IP あたりのリクエストと選択したグループ別フィールドをカウントできます。例えば、<code>URI</code> を選択した場合、ソリューションは IP および URI あたりのリクエストをカウントします。<br />この保護を無効にすることを選択した場合は、このパラメータを無視します。</td></tr>
  <tr><td> <b>WAF Block Period</b> </td><td> <code>240</code> </td><td><b>[Activate Scanner &amp; Probe Protection]</b> または <b>[Activate HTTP Flood Protection]</b> パラメータに <code>yes - AWS Lambda log parser</code> または <code>yes - Amazon Athena log parser</code> を選択した場合は、該当する IP アドレスをブロックする期間 (分単位) を入力します。<br />ログ解析を無効にするには、このパラメータを無視します。</td></tr>
  <tr><td> <b>Athena Query Run Time Schedule (Minute)</b> </td><td> <code>5</code> </td><td><b>[Activate Scanner &amp; Probe Protection]</b> または <b>[Activate HTTP Flood Protection]</b> パラメータに <code>yes - Amazon Athena log parser</code> を選択した場合は、Athena クエリが実行される時間間隔 (分単位) を入力できます。デフォルトでは、Athena クエリは 5 分ごとに実行されます。<br />これらの保護を無効にすることを選択した場合は、このパラメータを無視します。</td></tr>
  <tr><td> <b>ルールキー</b> </td><td> <code>IP</code> </td><td><b>Activate HTTP Flood Protection</b> パラメータに <code>yes - AWS WAF rate-based rule</code> を選択した場合は、他のさまざまな集計キーの組み合わせを使用するように、このルールを設定します。利用可能なオプション:<br />IP (デフォルト)<br />IP+カスタムヘッダー (このオプションを選択した場合、<code>Rule Keys Custom Header</code> は必須)<br />IP+URI<br />IP+HTTP メソッド<br />詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/waf-rule-statement-type-rate-based-aggregation-options.html">WAF rule rate based aggregation options</a>」を参照してください。</td></tr>
  <tr><td> <b>ルールキーのカスタムヘッダー</b> </td><td> <code>no</code> </td><td><b>Rule Keys</b> パラメータに <code>IP+Custom Header</code> を選択した場合は、リクエストの集約に使用するカスタムヘッダーの名前を入力します。<br />詳細については、「<a href="https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-properties-wafv2-webacl-ratelimitheader.html">WAF rule statement type rate based aggregation options</a>」を参照してください。</td></tr>
  <tr><td> <b>時間枠のしきい値 (分)</b> </td><td> <code>5</code> </td><td>HTTP フラッド保護の時間枠のしきい値です。レートベースのルールと Lambda ログパーサーの両方に適用されます。使用可能なオプション: [1, 2, 5, 10]。<br /><b>Activate HTTP Flood Protection</b> パラメータに <code>yes - AWS WAF rate-based rule</code> を選択した場合、評価時間枠に使用されます。詳細については、「<a href="https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-properties-wafv2-webacl-ratebasedstatement.html">WAF web ACL rate based statement</a>」を参照してください。<br /><b>Activate HTTP Flood Protection</b> パラメータに <code>yes - AWS Lambda log parser</code> を選択した場合、ブロック期間に加えて評価期間にも使用されます。</td></tr>
  <tr><td> <b>カスタムルール – 悪意のあるボット</b> </td><td></td><td></td></tr>
  <tr><td> <b>Activate Bad Bot Protection</b> </td><td> <code>yes</code> </td><td><code>yes</code> を選択すると、悪意のあるボットやコンテンツスクレイパーをブロックするように設計されたコンポーネントが有効になります。</td></tr>
  <tr><td> <b>ARN of an IAM role that has write access to CloudWatch logs in your account</b> </td><td> <i>&lt;オプション入力&gt;</i> </td><td>アカウントの CloudWatch ログへの書き込みアクセス権を持つ IAM ロールのオプション ARN を指定します。<br />例: <code>ARN: arn:aws:iam::account_id:role/myrolename</code>。<br />このパラメータを空白 (デフォルト) のままにすると、ソリューションによって新しいロールが作成されます。</td></tr>
  <tr><td> <b>カスタムルール – サードパーティーの IP 評価リスト</b> </td><td></td><td></td></tr>
  <tr><td> <b>Activate Reputation List Protection</b> </td><td> <code>yes</code> </td><td><code>yes</code> を選択すると、サードパーティーの評価リスト (サポートされているリストは Spamhaus、Emerging Threats、Tor exit ノードを含みます) にある IP アドレスからのリクエストがブロックされます。</td></tr>
  <tr><td> <b>レガシーカスタムルール</b> </td><td></td><td></td></tr>
  <tr><td> <b>Activate SQL Injection Protection</b> </td><td> <code>yes</code> </td><td><code>yes</code> を選択すると、一般的な SQL インジェクション攻撃をブロックするように設計されたコンポーネントが有効になります。AWS マネージドコアルールセットまたは AWS マネージド SQL データベースルールグループを使用していない場合は、有効にすることを検討してください。<br />また、8 KB (8,192 バイト) を超えるオーバーサイズのリクエストを AWS WAF に処理させるオプション (<code>yes</code> (continue)、<code>yes - MATCH</code>、または <code>yes - NO_MATCH</code>) の 1 つを選択することができます。デフォルトでは、<code>yes</code> はルールの検査基準に従ってサイズ制限内にあるリクエストコンポーネントのコンテンツを検査します。詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/waf-rule-statement-oversize-handling.html">AWS WAF でのオーバーサイズウェブリクエストコンポーネントの処理</a>」を参照してください。<br />この機能を無効にするには、<code>no</code> を選択します。注意: CloudFormation スタックは、選択したオーバーサイズ処理オプションをデフォルトの SQL インジェクション保護ルールに追加し、AWS アカウントにデプロイします。CloudFormation 以外でルールをカスタマイズした場合、変更内容はスタックの更新後に上書きされます。</td></tr>
  <tr><td> <b>Sensitivity Level for SQL Injection Protection</b> </td><td> <code>LOW</code> </td><td>AWS WAF が SQL インジェクション攻撃の検査に使用する感度レベルを選択します。<br /> <code>HIGH</code> はより多くの攻撃を検出しますが、より多くの誤検出を生成する可能性があります。<br /> <code>LOW</code> は、通常 SQL インジェクション攻撃に対する他の保護をすでに備えているリソースや、誤検知に対する許容度が低いリソースにとって、より適切な選択肢です。<br />詳細については、「<i>AWS CloudFormation ユーザーガイド</i>」の「<a href="https://aws.amazon.com/about-aws/whats-new/2022/07/aws-waf-sensitivity-levels-sql-injection-rule-statements/">AWS WAF で SQL インジェクションルールステートメントの感度レベルを追加</a>」および「<a href="https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-properties-wafv2-webacl-sqlimatchstatement.html#cfn-wafv2-webacl-sqlimatchstatement-sensitivitylevel">SensitivityLevel プロパティ</a>」を参照してください。<br />SQL インジェクション保護を無効にする場合は、このパラメータを無視してください。注意: CloudFormation スタックは、選択した機密レベルをデフォルトの SQL インジェクション保護ルールに追加し、AWS アカウントにデプロイします。CloudFormation 以外でルールをカスタマイズした場合、変更内容はスタックの更新後に上書きされます。</td></tr>
  <tr><td> <b>Activate Cross-site Scripting Protection</b> </td><td> <code>yes</code> </td><td><code>yes</code> を選択すると、一般的な XSS 攻撃をブロックするように設計されたコンポーネントが有効になります。AWS マネージドコアルールセットを使用していない場合は、有効にすることを検討してください。また、8 KB (8192 バイト) を超えるオーバーサイズのリクエストを AWS WAF に処理させるオプション (<code>yes</code> (continue)、<code>yes - MATCH</code>、<code>yes - NO_MATCH</code>) の 1 つを選択することができます。デフォルトで、<code>yes</code> は <code>Continue</code> オプションを使用し、ルールの検査基準に従ってサイズ制限内にあるリクエストコンポーネントのコンテンツを検査します。詳細については、「<a href="https://docs.aws.amazon.com/waf/latest/developerguide/waf-rule-statement-oversize-handling.html">AWS WAF でのオーバーサイズウェブリクエストコンポーネントの処理</a>」を参照してください。<br />この機能を無効にするには、<code>no</code> を選択します。注意: CloudFormation スタックは、選択した過剰サイズの処理オプションをデフォルトのクロスサイトスクリプティングルールに追加して、AWS アカウントにデプロイします。CloudFormation 以外でルールをカスタマイズした場合、変更内容はスタックの更新後に上書きされます。</td></tr>
  <tr><td> <b>許可および拒否された IP 保持設定</b> </td><td></td><td></td></tr>
  <tr><td> <b>Retention Period (Minutes) for Allowed IP Set</b> </td><td> <code>-1</code> </td><td>許可された IP セットの IP 保持を有効にする場合は、保持期間 (分) として数値 (<code>15</code> 以上) を入力します。保持期間に達する IP アドレスは期限切れになり、ソリューションは IP セットから IP アドレスを削除します。このソリューションは、最低 15 分の保持期間をサポートしています。<code>0</code>～<code>15</code> の数値を入力すると、ソリューションはそれを <code>15</code> として扱います。<br />IP 保持をオフにするには、<code>-1</code> (デフォルト) のままにします。</td></tr>
  <tr><td> <b>Retention Period (Minutes) for Denied IP Set</b> </td><td> <code>-1</code> </td><td>拒否された IP セットの IP 保持を有効にする場合は、保持期間 (分) として数値 (<code>15</code> 以上) を入力します。保持期間に達する IP アドレスは期限切れになり、ソリューションは IP セットから IP アドレスを削除します。このソリューションは、最低 15 分の保持期間をサポートしています。<code>0</code>～<code>15</code> の数値を入力すると、ソリューションはそれを <code>15</code> として扱います。<br />IP 保持をオフにするには、<code>-1</code> (デフォルト) のままにします。</td></tr>
  <tr><td> <b>Email for receiving notification upon Allowed or Denied IP Sets expiration</b> </td><td> <i>&lt;オプション入力&gt;</i> </td><td>IP 保持期間パラメータ (前述の 2 つのパラメータを参照) を有効にして、IP アドレスの有効期限が切れたときに E メール通知を受信する場合は、有効な E メールアドレスを入力します。<br />IP 保持をアクティブにしなかった場合、または E メール通知を無効にする場合は、空白 (デフォルト) のままにしてください。</td></tr>
  <tr><td> <b>詳細設定</b> </td><td></td><td></td></tr>
  <tr><td> <b>Retention Period (Days) for Log Groups</b> </td><td> <code>365</code> </td><td>CloudWatch ロググループの保持を有効にする場合は、保持期間 (日数) として数値 (<code>1</code> 以上) を入力します。保持期間は 1 日 (<code>1</code>) から 10 年 (<code>3650</code>) の間で選択できます。デフォルトでは、ログは 1 年後に期限切れになります。<br />ログを無期限に保持するには、<code>-1</code> に設定します。</td></tr>
</tbody>
</table>


1. [**次へ**] を選択します。

1. **[スタックオプションの設定]** ページでは、スタック内のリソースのタグ (キー値のペア) を指定し、追加オプションを設定できます。[**次へ**] を選択します。

1. **[確認および作成]** ページで、設定を確認して確定します。テンプレートによって IAM リソースと必要な追加機能が作成されることを承認するボックスを選択します。

1. **[送信]** を選択してスタックをデプロイします。

   AWS CloudFormation コンソールの **[ステータス]** 列でスタックのステータスを確認します。約 15 分で CREATE\_COMPLETE ステータスが表示されます。
**注記**  
このソリューションには、AWS Lambda 関数 `Log Parser` と `IP Lists Parser` に加えて、Lambda 関数 `helper` と `custom-resource` が含まれています。この 2 つの関数は、初期設定時、またはリソースの更新時や削除時にのみ実行されます。  
このソリューションを使用すると、AWS Lambda コンソールにすべての関数が表示されますが、3 つの主要なソリューション関数のみが定期的にアクティブになります。他の 2 つの関数は関連付けられたリソースを管理するために必要になるため削除しないでください。

スタックリソースの詳細を表示するには、**[出力]** タブを選択します。これには、**BadBotHoneypotEndpoint** 値が含まれます。この値を覚えておいてください。[ウェブアプリケーションにハニーポットリンクを埋め込む](embed-the-honeypot-link-in-your-web-application-optional.md)際に使用します。