F5 Networks.Inc の Application Firewall Module (ASM) を使った Web サイトの保護方法についてです．

ASM のセットアップ方法については, http://pied-piper.hatenablog.com/entry/2017/01/07/112953 か，Qiita に幾つかすでに投稿があるので省きます．

ポジティブとかネガティブとか（性格の話じゃ無いよ）

WAF にも色々なベンダーや Open Source のものがあると思いますが，基本的なアプローチは Positive Security Model か Negative Security Model に則っているはずです．

Positive Security Model :
ホワイトリスト型のアプローチ．例えば， URI は /home.html と /profile.html だけを許可して，あとは全て violation と認識するといったように，許可するリソースを明示的に設定する方法．つまり，どのような URI が存在するのか，どのような parameter が使われるのか把握していないと設定できません．ASM では，トラフィックから必要な URI や parameter を自動的に検出・定義してくれるポリシービルダーという機能があります．

Negative Security Model :
ブラックリスト型のアプローチ．例えば既知の攻撃パターンに該当するものはブロックして，あとは許可するといった方法．

Positive, Negative という話が出たので，False Positive と False Negatie の説明もしておきます．

False Positive :
正当なリクエスト (legitimate request) を不正なリクエストとして誤検知してしまうこと．

False Negative :
不正なリクエスト (illegal request) を許可してしまうこと．

環境等の説明

・MAC book 上の VMware Fusion に，サーバ用の Debian と BigIP v13 をセットアップしてある．
・web サイトは Hackazon を使用 (https://github.com/rapid7/hackazon)
・手動でポリシーを設定するため，ASM のポリシービルダー機能は disable にしてあります．
・security log profile は Log All Requests を virtual server にセットしてあります．
・ASM ポリシーのモードは Blocking Mode です．

Qiita 未投稿時の 画像 2MB 制限に引っかかったため，続きは次の投稿に掲載します．