Azure Application GatewayのWeb Application Firewall (WAF) のトラブルシューティング

まとめ

この記事は、正当な要求がブロックされている場合のAzure Application GatewayのWeb Application Firewall (WAF) のトラブルシューティングに役立ちます。そのため、保護を維持しながら有効なトラフィックを許可できます。

まず、 WAF の概要と WAF の構成に関するドキュメントを確認し、 WAF の監視が有効になっていることを確認します。これらの記事では、WAF の動作方法、ルールセットの動作方法、WAF ログへのアクセス方法について説明します。

OWASP規則セットは、初期状態で厳格に設定されており、WAFを使用するアプリケーションまたは組織の特定のニーズに合わせて調整可能です。除外、カスタムルールを作成し、問題や誤検知を引き起こす可能性のあるルールを無効にすることは、完全に正常であり、多くの場合に期待されます。サイトごとおよび URI ごとのポリシーを使用すると、これらの変更が特定のサイト/URI にのみ影響を与えます。そのため、同じ問題が発生していない可能性がある他のサイトに変更を加える必要はありません。

WAF ログを理解する

WAF ログの目的は、WAF が一致またはブロックするすべての要求を表示することです。これは、一致またはブロックされたすべての評価された要求の台帳です。 WAF がブロックすべきではない要求 (誤検知) に気付いた場合は、いくつかの操作を実行できます。まず、特定の要求を絞り込んで見つけます。ログを確認して、要求の特定の URI、タイムスタンプ、またはトランザクション ID を見つけます。関連するログエントリが見つかると、誤検知に対する対処を開始できます。

たとえば、WAF を通過する文字列 1=1 を含む正当なトラフィックがあるとします。要求を試すと、WAF はパラメーターまたはフィールドに 1=1 文字列を含むトラフィックをブロックします。これは、多くの場合、SQL インジェクション攻撃に関連付けられている文字列です。ログを調べて、要求のタイムスタンプと、ブロック/一致したルールを確認できます。

次の例では、(TransactionId フィールドを使用して) 同じ要求中に 4 つのルールがトリガーされることがわかります。 1 つ目は、ユーザーが要求に数値/IP URL を使用したために一致したと述べています。これは、警告であるため、異常スコアが 3 つ増加します。次に一致したルールは 942130 です。これは探しているルールです。 [1=1] フィールドにdetails.dataが表示されます。これにより、異常スコアは再び3点増加します。これは警告でもあるためです。一般に、一致アクションを持つすべてのルールによって異常スコアが増加し、この時点で異常スコアは 6 になります。詳細については、「異常スコアリングモード」を参照してください。

最後の 2 つのログエントリは、異常スコアが十分に高かったために要求がブロックされたことを示しています。これらのエントリのアクションは、他の 2 つのエントリとは異なります。実際に要求を ブロック していることを示します。これらのルールは必須であり、無効にすることはできません。これらはルールとしてではなく、WAF 内部のコアインフラストラクチャとして考える必要があります。

{ 
    "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": { 
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "OWASP_CRS",
        "ruleSetVersion": "3.0.0",
        "ruleId": "920350",
        "message": "Host header is a numeric IP address",
        "action": "Matched",
        "site": "Global",
        "details": { 
            "message": "Warning. Pattern match \\\"^[\\\\\\\\d.:]+$\\\" at REQUEST_HEADERS:Host. ",
            "data": "40.90.218.160",
            "file": "rules\/REQUEST-920-PROTOCOL-ENFORCEMENT.conf\\\"",
            "line": "791" 
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt" 
    } 
} 
{ 
    "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": { 
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "OWASP_CRS",
        "ruleSetVersion": "3.0.0",
        "ruleId": "942130",
        "message": "SQL Injection Attack: SQL Tautology Detected.",
        "action": "Matched",
        "site": "Global",
        "details": { 
            "message": "Warning. Pattern match \\\"(?i:([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)([\\\\\\\\d\\\\\\\\w]++)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)(?:(?:=|\\u003c=\\u003e|r?like|sounds\\\\\\\\s+like|regexp)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)\\\\\\\\2|(?:!=|\\u003c=|\\u003e=|\\u003c\\u003e|\\u003c|\\u003e|\\\\\\\\^|is\\\\\\\\s+not|not\\\\\\\\s+like|not\\\\\\\\s+regexp)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)(?!\\\\\\\\2)([\\\\\\\\d\\\\\\\\w]+)))\\\" at ARGS:text1. ",
            "data": "Matched Data: 1=1 found within ARGS:text1: 1=1",
            "file": "rules\/REQUEST-942-APPLICATION-ATTACK-SQLI.conf\\\"",
            "line": "554" 
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt" 
    } 
} 
{ 
    "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": { 
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "",
        "ruleSetVersion": "",
        "ruleId": "0",
        "message": "Mandatory rule. Cannot be disabled. Inbound Anomaly Score Exceeded (Total Score: 8)",
        "action": "Blocked",
        "site": "Global",
        "details": { 
            "message": "Access denied with code 403 (phase 2). Operator GE matched 5 at TX:anomaly_score. ",
            "data": "",
            "file": "rules\/REQUEST-949-BLOCKING-EVALUATION.conf\\\"",
            "line": "57" 
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt" 
    } 
} 
{ 
    "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": { 
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "",
        "ruleSetVersion": "",
        "ruleId": "0",
        "message": "Mandatory rule. Cannot be disabled. Inbound Anomaly Score Exceeded (Total Inbound Score: 8 - SQLI=5,XSS=0,RFI=0,LFI=0,RCE=0,PHPI=0,HTTP=0,SESS=0): SQL Injection Attack: SQL Tautology Detected.",
        "action": "Blocked",
        "site": "Global",
        "details": { 
            "message": "Warning. Operator GE matched 5 at TX:inbound_anomaly_score. ",
            "data": "",
            "file": "rules\/RESPONSE-980-CORRELATION.conf\\\"",
            "line": "73" 
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt" 
    }
}

誤検知を修正する

この情報を使用すると、ルール 942130 が 1=1 文字列と一致するという知識により、トラフィックがブロックされないようにするためにいくつかの操作を行うことができます。

除外リストを使用します。除外リストの詳細については、「WAF の除外リスト」を参照してください。
ルールを無効にします。

除外リストを使用する

誤検知の処理に関する情報に基づいた意思決定を行うには、アプリケーションで使用されるテクノロジについて理解することが重要です。たとえば、テクノロジスタックに SQL サーバーが存在せず、それらのルールに関連する誤検知が発生しているとします。これらのルールを無効にしても、必ずしもセキュリティが低下するわけではありません。

除外リストを使用する利点の 1 つは、要求の特定の部分のみが無効になることです。ただし、これは、WAF がグローバル設定であるため、WAF を通過するすべてのトラフィックに特定の除外が適用されることを意味します。たとえば、 1= 1 が特定のアプリの本文で有効な要求であり、他のアプリでは有効でない場合、これは問題につながる可能性があります。もう 1 つの利点は、要求全体を除外するのではなく、特定の条件が満たされた場合に除外する本文、ヘッダー、Cookie を選択できることです。

場合によっては、直感的ではない方法で特定のパラメーターが WAF に渡されることがあります。たとえば、Microsoft Entra IDを使用して認証するときに渡されるトークンがあります。 __RequestVerificationToken は通常、要求 Cookie として渡されます。ただし、Cookie が無効になっている場合、このトークンは要求属性または argとしても渡されます。このような場合は、 __RequestVerificationToken が 要求属性名 として除外リストに追加されるようにする必要があります。

Azure ポータルの WAF 除外リスト設定のスクリーンショット

この例では、text1 と等しい要求属性名を除外します。これは、ファイアウォールログに属性名 ( data: Matched Data: 1=1 が ARGS:text1: 1= 1 内で見つかった) を確認できるために明らかです。属性は text1 です。この属性名は、他のいくつかの方法でも確認できます。要求属性名の検索を参照してください。

Application Gateway では、さまざまなスコープレベルで WAF の除外を作成できます。詳細については、「Web Application Firewall除外リストを参照してください。

ルールを無効にする

誤検知を回避するもう 1 つの方法は、WAF が悪意があると考えた入力で一致するルールを無効にすることです。 WAF ログを解析し、ルールを 942130 に絞り込んだので、Azure ポータルで無効にすることができます。 Azure ポータルを使用して Web アプリケーションファイアウォール規則をカスタマイズするを参照してください。

ルールを無効にする利点の 1 つは、通常ブロックされている特定の条件を含むすべてのトラフィックが有効なトラフィックであることがわかっている場合は、WAF 全体に対してそのルールを無効にできることです。ただし、特定のユースケースで有効なトラフィックのみである場合は、グローバル設定であるため、WAF 全体に対してそのルールを無効にすることで脆弱性を開きます。

Azure PowerShellを使用する場合は、「 PowerShell を使用して Web アプリケーションファイアウォール規則をカスタマイズするを参照してください。 Azure CLIを使用する場合は、「Azure CLIを参照してください。

HAR ファイルを記録する

ブラウザーまたは Fiddler などの外部ツールを使用して、HTTP アーカイブ (HAR) ファイルを記録できます。 HAR ファイルには、Web ページを読み込むときにブラウザーが行う要求と応答に関する情報が含まれています。この情報は、WAF の問題のトラブルシューティングに役立ちます。

ヒント

サポートに問い合わせるときは、HAR ファイルを準備することをお勧めします。サポートチームは HAR ファイルを使用して問題の診断に役立てることができます。

エッジ
クロム

HAR ファイルをMicrosoft Edgeに記録して保存するには、次の手順に従います。

F12 または Ctrl + Shift + I を押して、Edge 開発者ツールを起動します。ツールバーメニューのその他のツールから「開発者ツール」を起動することもできます。
[ コンソール ] タブで、[ コンソールのクリア ] を選択するか、 Ctrl キーを押しながら L キーを押します。

[ ネットワーク ] タブを選択します。
[ ネットワークログのクリア] を選択するか、 Ctrl キーを押しながら L キーを押し、記録していない場合は [ ネットワークログの記録 ] を選択します。

トラブルシューティングしたい WAF で保護されたウェブページを開きます。
[ネットワークログの記録の停止] を選択して 、記録を停止します。
[ HAR のエクスポート (サニタイズ済み)]を 選択し、HAR ファイルを保存します。

要求属性名を検索する

Fiddler を使用すると、個々の要求を検査し、Web ページの特定のフィールドが呼び出されるかどうかを判断できます。この情報を使用すると、除外リストを使用して検査から特定のフィールドを除外できます。

この例では、 1= 1 の文字列が入力されたフィールドが text1 と呼ばれることがわかります。

これは除外できるフィールドです。除外リストの詳細については、「 Web アプリケーションファイアウォールの除外リスト」を参照してください。この場合、次の除外を構成することで、評価を除外できます。

ファイアウォールログを調べて情報を取得し、除外リストに追加する必要がある内容を確認することもできます。ログ記録を有効にするには、 Application Gateway のバックエンドの正常性、リソースログ、メトリックを参照してください。

ファイアウォールログを調べて、検査する要求が発生した時間の PT1H.json ファイルを表示します。

この例では、同じ TransactionID を持つ 4 つのルールがあり、すべてがまったく同時に発生していることがわかります。

{
    "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": {
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "OWASP_CRS",
        "ruleSetVersion": "3.0.0",
        "ruleId": "920350",
        "message": "Host header is a numeric IP address",
        "action": "Matched",
        "site": "Global",
        "details": {
            "message": "Warning. Pattern match \\\"^[\\\\\\\\d.:]+$\\\" at REQUEST_HEADERS:Host. ",
            "data": "40.90.218.160",
            "file": "rules\/REQUEST-920-PROTOCOL-ENFORCEMENT.conf\\\"",
            "line": "791"
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt"
    }
}
{
    "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": {
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "OWASP_CRS",
        "ruleSetVersion": "3.0.0",
        "ruleId": "942130",
        "message": "SQL Injection Attack: SQL Tautology Detected.",
        "action": "Matched",
        "site": "Global",
        "details": {
            "message": "Warning. Pattern match \\\"(?i:([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)([\\\\\\\\d\\\\\\\\w]++)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)(?:(?:=|\\u003c=\\u003e|r?like|sounds\\\\\\\\s+like|regexp)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)\\\\\\\\2|(?:!=|\\u003c=|\\u003e=|\\u003c\\u003e|\\u003c|\\u003e|\\\\\\\\^|is\\\\\\\\s+not|not\\\\\\\\s+like|not\\\\\\\\s+regexp)([\\\\\\\\s'\\\\\\\"`\\\\\\\\(\\\\\\\\)]*?)(?!\\\\\\\\2)([\\\\\\\\d\\\\\\\\w]+)))\\\" at ARGS:text1. ",
            "data": "Matched Data: 1=1 found within ARGS:text1: 1=1",
            "file": "rules\/REQUEST-942-APPLICATION-ATTACK-SQLI.conf\\\"",
            "line": "554"
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt"
    }
}
{
    "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": {
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "",
        "ruleSetVersion": "",
        "ruleId": "0",
        "message": "Mandatory rule. Cannot be disabled. Inbound Anomaly Score Exceeded (Total Score: 8)",
        "action": "Blocked",
        "site": "Global",
        "details": {
            "message": "Access denied with code 403 (phase 2). Operator GE matched 5 at TX:anomaly_score. ",
            "data": "",
            "file": "rules\/REQUEST-949-BLOCKING-EVALUATION.conf\\\"",
            "line": "57"
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt"
    }
}
{
    "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/DEMOWAF-V2",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": {
        "instanceId": "appgw_3",
        "clientIp": "203.0.113.139",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "",
        "ruleSetVersion": "",
        "ruleId": "0",
        "message": "Mandatory rule. Cannot be disabled. Inbound Anomaly Score Exceeded (Total Inbound Score: 8 - SQLI=5,XSS=0,RFI=0,LFI=0,RCE=0,PHPI=0,HTTP=0,SESS=0): SQL Injection Attack: SQL Tautology Detected.",
        "action": "Blocked",
        "site": "Global",
        "details": {
            "message": "Warning. Operator GE matched 5 at TX:inbound_anomaly_score. ",
            "data": "",
            "file": "rules\/RESPONSE-980-CORRELATION.conf\\\"",
            "line": "73"
        },
        "hostname": "vm000003",
        "transactionId": "AcAcAcAcAKH@AcAcAcAcAyAt"
    }
}

CRS ルールセットの仕組み、そして CRS ルールセット 3.0 が異常スコアリングシステムを使用していることを知っていれば（Azure Application Gateway の Web Application Firewallを参照）、action: Blocked プロパティの最後の 2 つのルールが異常スコアの合計に基づいてブロックされていることがわかるはずです。注目するルールは上位 2 つです。

ユーザーが数値 IP アドレスを使用して Application Gateway に移動したため、最初のエントリがログに記録されます。この場合は無視できます。

2 つ目 (ルール 942130) は興味深いものです。パターン (1=1)と一致し、フィールドの名前が text1 であることを詳細に確認できます。同じ前の手順に従って、と等しい1=1を除外します。

要求ヘッダー名の検索

Fiddler を使用して要求ヘッダー名を検索できます。次のスクリーンショットでは、この GET 要求のヘッダー ( Content-Type、 User-Agent など) を確認できます。

要求ヘッダーと応答ヘッダーを表示するもう 1 つの方法は、Microsoft Edgeまたは Google Chrome の開発者ツールを使用することです。詳細については、 HAR ファイルの記録を参照してください。

要求に Cookie が含まれている場合は、[ Cookie ] タブを選択して Fiddler で表示できます。

グローバルパラメーターを制限して誤検知をなくす

要求本文の検査を無効にする

Inspect リクエストボディをオフに設定すると、トラフィックのリクエストボディは WAF によって評価されません。これは、要求本文がアプリケーションに対して悪意を持たないことがわかっている場合に便利です。

このオプションを無効にすると、要求本文のみが検査をバイパスします。個々のヘッダーと Cookie は、除外リスト機能を使用して除外されない限り、引き続き検査されます。
リクエスト本文の最大値制限を無効にする

WAF では、最大要求本文の制限を無効にすることで、サイズ制限を超えた大きな要求本文を拒否することなく処理できます。この設定は、定期的に大量の要求がある場合に便利です。

このオプションを無効にすると、要求本文は最大要求本文検査制限までしか検査されません。要求に最大要求本文検査制限を超える悪意のあるコンテンツがある場合、WAF はそれを検出しません。
最大ファイルサイズ制限を無効にする

WAF のファイルサイズ制限を無効にすると、WAF がこれらのファイルのアップロードを拒否することなく、大きなファイルをアップロードできます。大きなファイルをアップロードできるようにすることで、バックエンドが圧倒されるリスクが高まります。ファイルのアップロードに使用できる最大サイズがわかっている場合は、予想される最大サイズをわずかに上回るファイルアップロードのサイズ制限を設定できます。ファイルサイズをアプリケーションの通常のユースケースに制限することは、攻撃を防ぐもう 1 つの方法です。ただし、ファイルのアップロードが、強制可能な最大ファイルアップロードサイズの制限を定期的に超えている場合は、誤検知を回避するために、ファイルアップロードサイズの制限を完全に無効にする必要がある場合があります。

注

アプリで特定のサイズを超えるファイルのアップロードが不要になることがわかっている場合は、制限を設定して制限できます。

Warnung

新しいマネージドルールセットを WAF ポリシーに割り当てると、ルールの状態、ルールアクション、ルールレベルの除外など、既存のマネージドルールセットから以前に行ったすべてのカスタマイズが、新しいマネージドルールセットの既定値にリセットされます。ただし、カスタムルール、ポリシー設定、グローバル除外は、新しいルールセットの割り当ての間に影響を受けず維持されます。

ファイアウォールメトリック (WAF v1 のみ)

v1 Web アプリケーションファイアウォールの場合、ポータルで次のメトリックを使用できるようになりました。

Web Application Firewall ブロックされた要求数ブロックされた要求の数
Web Application Firewall ブロックされた全てのルール数一致したすべてのルールとその要求がブロックされた
Web Application Firewall ルール分布の合計評価中に一致したすべてのルール

メトリックを有効にするには、ポータルで [メトリック] タブを選んで、3 つのメトリックのいずれかを選びます。

次のステップ

Application Gateway でのWeb Application Firewallの構成

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-04-13