AWS WAF でクライアントアプリケーションを使用する
このセクションでは、お使いの AWS WAF 機能で、インテリジェントな脅威に対応した統合 API および JavaScript CAPTCHA 統合 API を使用する方法について説明します。
AWS WAF クライアントアプリケーション統合 API を使用し、クライアント側の保護をユーザーの AWS サーバー側のウェブ ACL 保護と組み合わせて、保護されたリソースにウェブリクエストを送信するクライアントアプリケーションが意図されたクライアントであること、およびユーザーが人間であることを検証できるようにします。
クライアント統合を使用して、サイレントブラウザのチャレンジと CAPTCHA パズルを管理し、ブラウザとエンドユーザーの応答が成功したことを証明するトークンを取得し、保護されたエンドポイントへのリクエストにこれらのトークンを含めます。AWS WAF トークンの一般情報については、「AWS WAF でのウェブリクエストでのトークンの使用」を参照してください。
クライアント統合を、リソースへのアクセスに有効なトークンを必要とするウェブ ACL 保護と組み合わせます。次のセクション インテリジェントな脅威に対応した統合と AWS マネージドルール に示されているような、チャレンジトークンをチェックおよびモニタリングするルールグループを使用できるため、「AWS WAF で CAPTCHA と Challenge を使用する」の説明に従い、CAPTCHA および Challenge ルールアクションを使用してチェックします。
AWS WAF では、JavaScript アプリケーション用に 2 つのレベルの統合、モバイルアプリケーション用に 1 つのレベルの統合が用意されています。
-
インテリジェントな脅威に対応した統合 – クライアントアプリケーションを検証し、AWS トークンの取得と管理を行います。これは AWS WAF Challenge ルールアクションで提供される機能に似ています。この機能により、クライアントアプリケーションは、
AWSManagedRulesACFPRuleSetマネージドルールグループ、AWSManagedRulesATPRuleSetマネージドルールグループ、およびAWSManagedRulesBotControlRuleSetマネージドルールグループのターゲットを絞った保護レベルと完全に統合されます。インテリジェントな脅威に対応した統合 API は、AWS WAF サイレントブラウザのチャレンジを使用しているため、クライアントで有効なトークンを取得した後にのみ、保護されたリソースに対するログイン試行やその他の呼び出しが許可されるようになっています。API は、クライアントアプリケーションセッションのトークン認可を管理し、クライアントに関する情報を収集して、ボットによる操作か、人間による操作かを判断します。
注記
JavaScript ならびに Android および iOS モバイルアプリケーションで使用できます。
-
CAPTCHA 統合 – アプリケーションで管理するカスタマイズされた CAPTCHA パズルでエンドユーザーを検証します。これは AWS WAF CAPTCHA ルールアクションで提供される機能に類似していますが、パズルの配置と動作をより細かく制御できます。
この統合では、JavaScript のインテリジェントな脅威に対応した統合が活用されているため、サイレントチャレンジの実行や顧客のページへの AWS WAF トークンの提供が可能です。
注記
これは JavaScript アプリケーションで使用できます。
トピック
