AWS WAF Bot Control ルールグループ - AWS WAF、 AWS Firewall Manager、および AWS Shield Advanced
保護レベルこのルールグループの使用このルールグループによって追加されるラベルルールの一覧

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS WAF Bot Control ルールグループ

このセクションでは、Bot Control マネージドルールグループの動作について説明します。

VendorName: AWS、名前: AWSManagedRulesBotControlRuleSet、WCU: 50

注記

このドキュメントでは、このマネージドルールグループの最新の静的バージョンリリースについて説明します。バージョンの変更は、 の変更ログで報告されますAWS マネージドルールの変更ログ。他のバージョンについては、 API コマンドを使用しますDescribeManagedRuleGroup。

AWS マネージドルールのルールグループでルールに対して公開する情報は、不正なアクターにルールを回避するために必要なものを与えることなく、ルールを使用するために必要なものを提供することを目的としています。

ここに記載されている情報よりも詳細な情報が必要な場合は、 AWS Support センターにお問い合わせください。

Bot Control マネージドルールグループは、ボットからのリクエストを管理するルールを提供します。ボットは過剰なリソースを消費し、ビジネスメトリクスを歪め、ダウンタイムを引き起こし、悪意のあるアクティビティを実行する可能性があります。

保護レベル

Bot Control マネージドルールグループには、次の 2 レベルの保護から選択できます。

  • 共通 – ウェブスクレイピングフレームワーク、検索エンジン、自動ブラウザなど、さまざまな自己識別ボットを検出します。このレベルの Bot Control 保護は、静的リクエストデータ分析など、従来のボット検出技術を使用して一般的なボットを識別します。ルールはこれらのボットからのトラフィックにラベルを付け、検証できないものはブロックします。

  • ターゲットを絞った – 一般的な保護機能に加え、自己識別を行わない高度なボットに対するターゲットを絞った検出機能も追加されています。ターゲットを絞った保護は、レート制限CAPTCHAとバックグラウンドブラウザの課題を組み合わせてボットのアクティビティを軽減します。

    • TGT_ – ターゲットを絞った保護を提供するルールには、TGT_ で始まる名前が付いています。すべてのターゲットを絞った保護では、ブラウザ調査、フィンガープリント、行動ヒューリスティックなどの検出技術を使用して不正なボットトラフィックを識別します。

    • TGT_ML_ – 機械学習を使用するターゲットを絞った保護のルールには、TGT_ML_ で始まる名前が付いています。これらのルールは、ウェブサイトトラフィック統計の自動機械学習分析を使用して、分散された調整されたボットアクティビティを示す異常な動作を検出します。 は、タイムスタンプ、ブラウザの特性、以前にURLアクセスしたことがあるウェブサイトトラフィックに関する統計 AWS WAF を分析して、Bot Control 機械学習モデルを改善します。機械学習機能はデフォルトで有効になっていますが、ルールグループ設定で無効にすることができます。機械学習が無効になっている場合、 AWS WAF はこれらのルールを評価しません。

ターゲットを絞った保護レベルと AWS WAF レートベースのルールステートメントはどちらもレート制限を提供します。この 2 つのオプションの比較については、「レートベースのルールとターゲットを絞った Bot Control ルールにおけるレート制限のオプション」を参照してください。

このルールグループの使用に関する考慮事項

このルールグループは、 AWS WAFでのインテリジェントな脅威の軽減保護の一部です。詳細については、でのインテリジェントな脅威の軽減 AWS WAF を参照してください。

注記

このマネージドルールグループを使用する場合、追加料金が請求されます。詳細については、「AWS WAF 料金」を参照してください。

コストを抑え、ウェブトラフィックを希望どおりに管理していることを確実にするには、AWS WAF におけるインテリジェントな脅威を軽減するためのベストプラクティス のガイダンスに従ってこのルールグループを使用してください。

ボットの予測を改善するために、ターゲットを絞った保護レベルの ML に基づくルールの機械学習 (ML) モデルを定期的に更新しています。ML に基づくルールには、TGT_ML_ で始まる名前があります。これらのルールによって行われたボット予測に突然、大幅な変更が見られた場合は、アカウントマネージャーを通じて当社に連絡するか、「AWS Support センター」でケースを開いてください。

このルールグループによって追加されるラベル

このマネージドルールグループは、評価するウェブリクエストにラベルを追加します。これは、ウェブ でこのルールグループの後に実行されるルールで使用できますACL。 AWS WAF は、Amazon CloudWatch メトリクスにもラベルを記録します。ラベルとラベルメトリクスに関する一般的な情報については、「ウェブリクエストのラベル付け」および「ラベルメトリクスとディメンション」を参照してください。

トークンラベル

このルールグループは、 AWS WAF トークン管理を使用して、 AWS WAF トークンのステータスに従ってウェブリクエストを検査およびラベル付けします。 は、クライアントセッションの追跡と検証にトークン AWS WAF を使用します。

トークンおよびトークンの管理の詳細については、「AWS WAF インテリジェントな脅威の軽減におけるトークンの使用」を参照してください。

ここで説明するラベルコンポーネントについては、「AWS WAF でのラベル構文と命名要件」を参照してください。

クライアントセッションラベル

ラベルには、 AWS WAF トークン管理がクライアントセッションを識別するために使用する一意の識別子awswaf:managed:token:id:identifierが含まれています。この識別子は、クライアントが使用していたトークンを破棄した後など、新しいトークンを取得すると変わる可能性があります。

注記

AWS WAF はこのラベルの Amazon CloudWatch メトリクスを報告しません。

ブラウザフィンガープリントラベル

ラベルには、 AWS WAF トークン管理がさまざまなクライアントブラウザシグナルから計算する堅牢なブラウザフィンガープリント識別子awswaf:managed:token:fingerprint:fingerprint-identifierが含まれています。この識別子は、複数のトークン取得の試行で同じままです。フィンガープリント識別子は、単一のクライアントに固有ではありません。

注記

AWS WAF はこのラベルの Amazon CloudWatch メトリクスを報告しません。

トークンステータスラベル: ラベル名前空間プレフィックス

トークンステータスラベルは、トークンのステータス、チャレンジのステータス、およびトークンに含まれるCAPTCHA情報についてレポートします。

各トークンステータスラベルは、次のプレフィクスの 1 つで始まります。

  • awswaf:managed:token:— トークンの一般的なステータスを報告したり、トークンのチャレンジ情報のステータスを報告したりするために使用されます。

  • awswaf:managed:captcha: – トークンCAPTCHAの情報のステータスを報告するために使用されます。

トークンステータスラベル: ラベル名

プレフィックスに続いて、ラベルの残りの部分には詳細なトークンステータス情報が表示されます。

  • accepted - リクエストトークンが存在し、以下の内容が含まれています。

    • 有効なチャレンジまたはCAPTCHAソリューション。

    • 有効期限が切れていないチャレンジまたはCAPTCHAタイムスタンプ。

    • ウェブ に有効なドメイン仕様ACL。

    例: ラベル awswaf:managed:token:accepted には、ウェブリクエストのトークンに有効なチャレンジソリューション、有効期限が切れていないチャレンジタイムスタンプ、および有効なドメインがあることが示されています。

  • rejected - リクエストトークンは存在するが、承認基準を満たしていない。

    トークン管理では、拒否されたラベルに加えて、理由を示すカスタムラベル名前空間と名前が追加されます。

    • rejected:not_solved – トークンにチャレンジまたはCAPTCHAソリューションがありません。

    • rejected:expired – ウェブ で設定されたトークンのイミュニティ時間に従って、トークンACLのチャレンジまたはCAPTCHAタイムスタンプの有効期限が切れています。

    • rejected:domain_mismatch – トークンのドメインがウェブのACLトークンドメイン設定と一致しません。

    • rejected:invalid - 指定されたトークンを読み取ることが AWS WAF できませんでした。

    例: トークンのCAPTCHAタイムスタンプがウェブ で設定されたCAPTCHAトークンイミュニティ時間を超えたためにリクエストが拒否されたawswaf:managed:captcha:rejected:expiredことを示すラベル awswaf:managed:captcha:rejectedと ACL。

  • absent — リクエストにトークンがないか、トークンマネージャーがそれを読み取れなかった。

    例: ラベル awswaf:managed:captcha:absent には、リクエストにトークンがないことが示されています。

Bot Control ラベル

Bot Control マネージドルールグループは、名前空間プレフィックス awswaf:managed:aws:bot-control: の後にカスタム名前空間およびラベル名が続くラベルを生成します。ルールグループは、リクエストに複数のラベルを追加する場合があります。

各ラベルは、Bot Control ルールの検出結果を反映しています。

  • awswaf:managed:aws:bot-control:bot: – リクエストに関連付けられたボットに関する情報。

    • awswaf:managed:aws:bot-control:bot:name:<name> – ボット名は (利用可能な場合)、たとえばカスタム名前空間 bot:name:slurp、bot:name:googlebot、bot:name:pocket_parser。

    • awswaf:managed:aws:bot-control:bot:category:<category> – ボットのカテゴリ AWS WAF。 bot:category:search_engineや などで定義されますbot:category:content_fetcher。

    • awswaf:managed:aws:bot-control:bot:organization:<organization> – ボットのパブリッシャー (例: bot:organization:google)。

    • awswaf:managed:aws:bot-control:bot:verified – 自己を識別し、Bot Control が検証できたボットを示すために使用されます。これは、一般的な望ましいボットに使用され、bot:category:search_engine のようなカテゴリラベルや bot:name:googlebot のような名前ラベルと組み合わせると便利です。

      注記

      Bot Control は、ウェブリクエストの送信元の IP アドレスを使用して、ボットが検証されているかどうかを判断します。 AWS WAF 転送された IP 設定を使用して別の IP アドレスソースを検査するように設定することはできません。プロキシまたはロードバランサーを介してルーティングするボットを検証した場合、Bot Control ルールグループの前に実行するルールを追加してこの問題に対処します。転送された IP アドレスを使用し、検証済みのボットからのリクエストを明示的に許可するように新しいルールを設定します。転送した IP アドレスの詳細については、「AWS WAF で転送された IP アドレスの使用」を参照してください。

    • awswaf:managed:aws:bot-control:bot:user_triggered:verified – 検証済みのボットに類似しているが、エンドユーザーによって直接呼び出される可能性のあるボットを示すために使用されます。このカテゴリのボットは、Bot Control のルールによって未検証のボットのように扱われます。

    • awswaf:managed:aws:bot-control:bot:developer_platform:verified – 検証済みのボットに類似しているが、Google Apps Script などのデベロッパープラットフォームによってスクリプト作成のために使用されるボットを示すために使用されます。このカテゴリのボットは、Bot Control のルールによって未検証のボットのように扱われます。

    • awswaf:managed:aws:bot-control:bot:unverified – 自己を識別するボットを示すために使用されるため、名前を付けて分類できます。ただし、そのボットのアイデンティティを個別に検証する場合に使用する情報は公開されていません。これらの種類のボットシグネチャは改ざんされる可能性があるため、未検証として扱われます。

  • awswaf:managed:aws:bot-control:targeted:<additional-details> — Bot Control の対象となる保護に固有のラベルに使用されます。

  • awswaf:managed:aws:bot-control:signal:<signal-details> および awswaf:managed:aws:bot-control:targeted:signal:<signal-details> — 一部の状況において、リクエストに関する追加情報を提供するために使用されます。

    シグナルラベルの例は、次のとおりです。これは網羅的なリストではありません。

    • awswaf:managed:aws:bot-control:signal:cloud_service_provider:<CSP> – リクエストのクラウドサービスプロバイダー (CSP) を示します。例としてCSPsは、Amazon Web Services インフラストラクチャaws、gcpGoogle Cloud Platform (GCP) インフラストラクチャ、azureMicrosoft Azure クラウドサービス、Oracle クラウドサービスoracleなどがあります。

    • awswaf:managed:aws:bot-control:targeted:signal:browser_automation_extension – Selenium などのオートメーションを支援するブラウザ拡張機能の検出を示しますIDE。

      このラベルは、ユーザーがこのタイプの拡張をインストールすると、ユーザーが自発的に使用していない場合でも追加されます。このためのラベル照合ルールを実装する場合は、ルールロジックとアクション設定で誤検出が発生する可能性があることに注意してください。例えば、CAPTCHA ではなく アクション Block または、このラベル一致を他のラベル一致と組み合わせることで、オートメーションが使用されているという信頼度を高めることができます。

    • awswaf:managed:aws:bot-control:signal:automated_browser — リクエストに、クライアントブラウザが自動化されている可能性があることを示す要素が含まれていることを示します。

    • awswaf:managed:aws:bot-control:targeted:signal:automated_browser – リクエストの AWS WAF トークンに、クライアントブラウザが自動化されている可能性があることを示すインジケータが含まれていることを示します。

ルールグループのすべてのラベルは、 から を呼び出すAPIことで取得できますDescribeManagedRuleGroup。ラベルは、応答の AvailableLabels プロパティにリストされています。

Bot Control マネージドルールグループは、一般的に許可されている検証可能な一連のボットにラベルを適用します。ルールグループは、これらの検証済みボットをブロックしません。必要に応じて、Bot Control マネージドルールグループによって適用されたラベルを使用するカスタムルールを記述することで、それらのボットまたはそのサブセットをブロックできます。これと例の詳細については、「AWS WAF Bot Control」を参照してください。

Bot Control のルールリスト

このセクションには Bot Control ルールが表示されています。

注記

このドキュメントでは、このマネージドルールグループの最新の静的バージョンリリースについて説明します。バージョンの変更は、 の変更ログで報告されますAWS マネージドルールの変更ログ。他のバージョンについては、 API コマンドを使用しますDescribeManagedRuleGroup。

AWS マネージドルールのルールグループでルールに対して公開する情報は、不正なアクターにルールを回避するために必要なものを与えることなく、ルールを使用するために必要なものを提供することを目的としています。

ここに記載されている情報よりも詳細な情報が必要な場合は、 AWS Support センターにお問い合わせください。

ルール名 説明
CategoryAdvertising

広告目的で使用されるボットを検査します。例えば、プログラムによるウェブサイトへのアクセスを必要とするサードパーティーの広告サービスを使用する場合があります。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:advertising および awswaf:managed:aws:bot-control:CategoryAdvertising

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategoryArchiver

アーカイブ目的で使用されるボットを検査します。これらのボットは、アーカイブを作成する目的でウェブをクロールし、コンテンツをキャプチャします。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:archiver および awswaf:managed:aws:bot-control:CategoryArchiver

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategoryContentFetcher

ユーザーに代わってアプリケーションのウェブサイトにアクセスするボットを検査し、RSSフィードなどのコンテンツを取得したり、コンテンツを検証または検証したりします。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:content_fetcher および awswaf:managed:aws:bot-control:CategoryContentFetcher

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategoryEmailClient

アプリケーションのウェブサイトを指し示すメール内のリンクをチェックするボットを検査します。これには、E メール内のリンクを確認したり、疑わしい電子メールにフラグを立てたりする企業や E メールプロバイダーによって実行されるボットが含まれます。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:email_client および awswaf:managed:aws:bot-control:CategoryEmailClient

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategoryHttpLibrary

さまざまなプログラミング言語のHTTPライブラリからボットによって生成されたリクエストを検査します。これには、許可またはモニタリングするAPIリクエストが含まれる場合があります。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:http_library および awswaf:managed:aws:bot-control:CategoryHttpLibrary

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategoryLinkChecker

壊れたリンクをチェックするボットを検査します。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:link_checker および awswaf:managed:aws:bot-control:CategoryLinkChecker

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategoryMiscellaneous

他のカテゴリに一致しないその他のボットを検査します。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:miscellaneous および awswaf:managed:aws:bot-control:CategoryMiscellaneous

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategoryMonitoring

モニタリング目的で使用されるボットを検査します。例えば、パフォーマンスや稼働時間などをモニタリングするために、アプリケーションのウェブサイトに定期的に ping を送信するボットモニタリングサービスを使用することができます。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:monitoring および awswaf:managed:aws:bot-control:CategoryMonitoring

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategoryScrapingFramework

ウェブサイトからのコンテンツのクロールと抽出を自動化するために使用される、ウェブスクレイピングフレームワークからのボットを検査します。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:scraping_framework および awswaf:managed:aws:bot-control:CategoryScrapingFramework

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategorySearchEngine

ウェブサイトをクロールしてコンテンツをインデックス化し、その情報を検索エンジンの結果に利用できるようにする検索エンジンボットを検査します。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:search_engine および awswaf:managed:aws:bot-control:CategorySearchEngine

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategorySecurity

ウェブアプリケーションの脆弱性をスキャンしたり、セキュリティ監査を実施したりするボットを検査します。例えば、ウェブアプリケーションのセキュリティをスキャン、モニタリング、または監査するサードパーティーのセキュリティベンダーを利用することができます。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:security および awswaf:managed:aws:bot-control:CategorySecurity

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategorySeo

検索エンジンの最適化に使用されるボットを検査します。例えば、検索エンジンのランキングを向上させるために、サイトをクロールする検索エンジンツールを使用することができます。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:seo および awswaf:managed:aws:bot-control:CategorySeo

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategorySocialMedia

ユーザーがコンテンツを共有するときに、コンテンツの概要を提供するためにソーシャルメディアプラットフォームで使用されるボットを検査します。

未検証のボットにのみ適用されるルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:social_media および awswaf:managed:aws:bot-control:CategorySocialMedia

検証済みボットについては、ルールグループはこのルールに一致もしないし、アクションを実行しませんが、ボット名とカテゴリにラベル付け、また、ラベル awswaf:managed:aws:bot-control:bot:verified を追加します。
CategoryAI

人工知能 (AI) ボットを検査します。

注記

このルールは、ボットの検証の有無にかかわらず、すべての一致のアクションに適用します。

ルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:bot:category:ai および awswaf:managed:aws:bot-control:CategoryAI

検証済みボットの場合、ルールグループはこのルールに一致し、アクションを実行します。さらに、ボット名とカテゴリのラベル付け、ルールのラベル付け、ラベル awswaf:managed:aws:bot-control:bot:verified が追加されます。
SignalAutomatedBrowser

検証済みのボットからのリクエストを検査し、クライアントブラウザが自動化されている可能性があることを示す要素があるかどうかを確認します。自動ブラウザはテストやスクレイピングに使用できます。例えば、以下のようなタイプのブラウザを使用して、アプリケーションウェブサイトのモニタリングや検証を行うことができます。

ルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:signal:automated_browser および awswaf:managed:aws:bot-control:SignalAutomatedBrowser

検証済みボットの場合、ルールグループはこのルールに一致せず、シグナルラベルやルールラベルは適用されません。
SignalKnownBotDataCenter

検証済みのボットからではないリクエストを検査し、ボットが通常使用するデータセンターの要素があるかどうかを確認します。

ルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:signal:known_bot_data_center および awswaf:managed:aws:bot-control:SignalKnownBotDataCenter

検証済みボットの場合、ルールグループはこのルールに一致せず、シグナルラベルやルールラベルは適用されません。
SignalNonBrowserUserAgent

検証済みのボットからではないリクエストを検査し、ウェブブラウザからではないと考えられるユーザーエージェント文字列を検査します。このカテゴリにはAPIリクエストを含めることができます。

ルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:signal:non_browser_user_agent および awswaf:managed:aws:bot-control:SignalNonBrowserUserAgent

検証済みボットの場合、ルールグループはこのルールに一致せず、シグナルラベルやルールラベルは適用されません。
TGT_VolumetricIpTokenAbsent

検証済みのボットからのリクエストを検査し、過去 5 分間の単一クライアントからのリクエストで、有効なチャレンジトークンが含まれていないものが 5 つ以上あるかどうかを確認します。トークンの詳細については、「AWS WAF インテリジェントな脅威の軽減におけるトークンの使用」を参照してください。

注記

同じクライアントからのリクエストで、最近トークンの欠落が発生するようになったという場合は、このルールがトークンを有するリクエストに一致する可能性があります。

このルールが適用されるしきい値は、レイテンシーによって若干異なる場合があります。

このルールは、トークンラベル awswaf:managed:token:absent とは異なる方法で欠落したトークンを処理します。トークンラベルは、トークンがない個々のリクエストにラベルを付けます。このルールは、各クライアント IP のトークンが欠落しているリクエスト数を把握し、制限を超過するクライアントに一致させます。

ルールアクション：Challenge

ラベル: awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:ip:token_absent および awswaf:managed:aws:bot-control:TGT_VolumetricIpTokenAbsent

TGT_TokenAbsent

有効なチャレンジトークンを含まない検証済みのボットからのリクエストを検査します。トークンの詳細については、「AWS WAF インテリジェントな脅威の軽減におけるトークンの使用」を参照してください。

ルールアクション：Count

ラベル: awswaf:managed:aws:bot-control:TGT_TokenAbsent

TGT_VolumetricSession

5 分間で、単一クライアントセッションの検証済みのボットからではないリクエスト数が異常に多いかどうかを検査します。評価は、過去のトラフィックパターンを使用して が AWS WAF 維持する標準のボリューメトリックベースラインとの比較に基づいています。

この検査は、ウェブリクエストにトークンがある場合にのみ適用されます。トークンは、アプリケーション統合SDKsとルールアクションによってリクエストに追加されます。CAPTCHA また、Challenge。 詳細については、「」を参照してくださいAWS WAF インテリジェントな脅威の軽減におけるトークンの使用。

注記

このルールは、有効にしてから有効になるまでに 5 分かかることがあります。Bot Control は、現在のトラフィックを が AWS WAF 計算するトラフィックベースラインと比較することで、ウェブトラフィックの異常な動作を特定します。

ルールアクション：CAPTCHA

ラベル: awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:high および awswaf:managed:aws:bot-control:TGT_VolumetricSession

ルールグループは、最小しきい値を超える中規模および低ボリュームのリクエストに次のラベルを適用します。これらのレベルでは、クライアントが検証されているかどうかにかかわらず、ルールは何も実行しません。すなわち、awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:medium および awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:low。
TGT_VolumetricSessionMaximum

5 分間で、単一クライアントセッションの検証済みのボットからではないリクエスト数が異常に多いかどうかを検査します。評価は、過去のトラフィックパターンを使用して が AWS WAF 維持する標準のボリューメトリックベースラインとの比較に基づいています。

このルールは、評価における最大の信頼度を示します。

この検査は、ウェブリクエストにトークンがある場合にのみ適用されます。トークンは、アプリケーション統合SDKsとルールアクションによってリクエストに追加されます。CAPTCHA また、Challenge。 詳細については、「」を参照してくださいAWS WAF インテリジェントな脅威の軽減におけるトークンの使用。

注記

このルールは、有効にしてから有効になるまでに 5 分かかることがあります。Bot Control は、現在のトラフィックを が AWS WAF 計算するトラフィックベースラインと比較することで、ウェブトラフィックの異常な動作を特定します。

ルールアクション：Block

ラベル: awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:maximum および awswaf:managed:aws:bot-control:TGT_VolumetricSessionMaximum

TGT_SignalAutomatedBrowser

クライアントブラウザが自動化されている可能性があることを示す要素がないか、リクエストのトークンを検査します。詳細については、「AWS WAF トークンの特徴」を参照してください。

この検査は、ウェブリクエストにトークンがある場合にのみ適用されます。トークンは、アプリケーション統合SDKsとルールアクションによってリクエストに追加されます。CAPTCHA また、Challenge。 詳細については、「」を参照してくださいAWS WAF インテリジェントな脅威の軽減におけるトークンの使用。

ルールアクション：CAPTCHA

ラベル: awswaf:managed:aws:bot-control:targeted:signal:automated_browser および awswaf:managed:aws:bot-control:TGT_SignalAutomatedBrowser

TGT_SignalBrowserAutomationExtension

Selenium などの自動化を支援するブラウザ拡張機能の存在を示す検証済みボットからのリクエストを検査しますIDE。このルールの一致は、ユーザーがこのタイプの拡張をインストールすると、ユーザーが自発的に使用していない場合でも追加されます。

この検査は、ウェブリクエストにトークンがある場合にのみ適用されます。トークンは、アプリケーション統合SDKsとルールアクションによってリクエストに追加されます。CAPTCHA また、Challenge。 詳細については、「」を参照してくださいAWS WAF インテリジェントな脅威の軽減におけるトークンの使用。

ルールアクション：CAPTCHA

ラベル: awswaf:managed:aws:bot-control:targeted:signal:browser_automation_extension および awswaf:managed:aws:bot-control:TGT_SignalBrowserAutomationExtension
TGT_SignalBrowserInconsistency

検証済みボットからではないリクエストを検査し、一貫性のないブラウザインテロゲーションデータがないかを確認します。詳細については、「AWS WAF トークンの特徴」を参照してください。

この検査は、ウェブリクエストにトークンがある場合にのみ適用されます。トークンは、アプリケーション統合SDKsとルールアクションによってリクエストに追加されます。CAPTCHA また、Challenge。 詳細については、「」を参照してくださいAWS WAF インテリジェントな脅威の軽減におけるトークンの使用。

ルールアクション：CAPTCHA

ラベル: awswaf:managed:aws:bot-control:targeted:signal:browser_inconsistency および awswaf:managed:aws:bot-control:TGT_SignalBrowserInconsistency

TGT_ML_CoordinatedActivityLow, TGT_ML_CoordinatedActivityMedium, TGT_ML_CoordinatedActivityHigh

検証済みボットからではないリクエストを検査し、分散、および調整されたボットアクティビティと一致する異常な動作があるかどうかを確認します。ルールレベルは、リクエストのグループが協調攻撃に参加しているかどうかの信頼度のレベルを示します。

注記

これらのルールは、ルールグループが機械学習 (ML) を使用するように設定されている場合にのみ実行されます。この場合の設定については、「AWS WAF Bot Control マネージドルールグループをウェブ ACL に追加」を参照してください。

注記

このルールが適用するしきい値は、レイテンシーによって若干異なる場合があります。ルールアクションが適用される前に、いくつかのリクエストが制限を超えることがあります。

AWS WAF は、ウェブサイトのトラフィック統計の機械学習分析を通じてこの検査を実行します。 は数分ごとにウェブトラフィック AWS WAF を分析し、多数の IP アドレスに分散される低強度の長時間ボットの検出のために分析を最適化します。

これらのルールは、協調攻撃が進行中ではないと判断される前に、ごく少数のリクエストに一致する場合があります。そのため、表示された一致が 1 つか 2 つしかない場合は、結果が誤検出である可能性があります。ただし、これらのルールからの一致が多数表示されている場合は、協調攻撃を受けていると考えられます。

注記

ML オプションで Bot Control ターゲットルールを有効にしてから、これらのルールが有効になるまでに最大 24 時間かかることがあります。Bot Control は、現在のトラフィックを が計算した AWS WAF トラフィックベースラインと比較することで、ウェブトラフィックの異常な動作を識別します。 は、Bot Control のターゲットルールを ML オプションで使用している間 AWS WAF のみベースラインを計算し、意味のあるベースラインを確立するまでに最大 24 時間かかる場合があります。

これらのルールの機械学習モデルを定期的に更新して、ボットの予測を改善します。これらのルールによってボット予測が突然大幅に変更された場合は、アカウントマネージャーに連絡するか、「AWS Support センター」でケースを開きます。

ルールのアクション:

  • 低：Challenge

  • 中：CAPTCHA

  • 高：CAPTCHA

ラベル: awswaf:managed:aws:bot-control:targeted:aggregate:coordinated_activity:low|medium|high および awswaf:managed:aws:bot-control:TGT_ML_CoordinatedActivityLow|Medium|High

TGT_TokenReuseIpLow, TGT_TokenReuseIpMedium, TGT_TokenReuseIpHigh

過去 5 分間IPsに複数の 間で 1 つのトークンが使用されていないかどうか、検証済みボットからのリクエストを検査します。各レベルには、個別の の数に制限がありますIPs。

  • 低: 3 つ以上

  • 中: 4 つ以上

  • 高: 8 つ以上

注記

このルールが適用するしきい値は、レイテンシーによって若干異なる場合があります。ルールアクションが適用される前に、いくつかのリクエストが制限を超えることがあります。

ルールのアクション:

  • 低：Count

  • 中：CAPTCHA

  • 高：Block

ラベル: awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:token_reuse:ip:low|medium|high および awswaf:managed:aws:bot-control:TGT_TokenReuseIpLow|Medium|High

TGT_TokenReuseCountryLow, TGT_TokenReuseCountryMedium, TGT_TokenReuseCountryHigh

過去 5 分間に、検証済みのボットからではないリクエストを検査し、複数の国/地域で 1 つのトークンを使用しているかどうかを確認します。各レベルには、個別の国/地域の数に制限があります:

  • 低: 1 つ以上

  • 中: 2 つ以上

  • 高: 3 つ以上

注記

このルールが適用するしきい値は、レイテンシーによって若干異なる場合があります。ルールアクションが適用される前に、いくつかのリクエストが制限を超えることがあります。

ルールのアクション:

  • 低：Count

  • 中：CAPTCHA

  • 高：Block

ラベル: awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:token_reuse:country:low|medium|high および awswaf:managed:aws:bot-control:TGT_TokenReuseCountryLow|Medium|High

TGT_TokenReuseAsnLow, TGT_TokenReuseAsnMedium, TGT_TokenReuseAsnHigh

過去 5 分間に、検証済みボットからのリクエストではないリクエストで、複数のネットワーク自律システム番号 (ASNs) にまたがる 1 つのトークンの使用を検査します。各レベルには、個別の の数に制限がありますASNs。

  • 低: 1 つ以上

  • 中: 2 つ以上

  • 高: 3 つ以上

注記

このルールが適用するしきい値は、レイテンシーによって若干異なる場合があります。ルールアクションが適用される前に、いくつかのリクエストが制限を超えることがあります。

ルールのアクション:

  • 低：Count

  • 中：CAPTCHA

  • 高：Block

ラベル: awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:token_reuse:asn:low|medium|high および awswaf:managed:aws:bot-control:TGT_TokenReuseAsnLow|Medium|High