XML サービス拒否チェック

August 15, 2023

寄稿者:

XML サービス拒否 (XML DoS または XDoS) チェックでは、受信した XML 要求がサービス拒否 (DoS) 攻撃の特性と一致するかどうかを判断します。一致するものがあれば、それらのリクエストをブロックします。XML DoS チェックの目的は、攻撃者が XML リクエストを使用して Web サーバーや Web サイトにサービス拒否攻撃を仕掛けるのを防ぐことです。

ウィザードまたは GUI を使用する場合、「XML DoS チェックの変更」ダイアログボックスの「一般」タブで、ブロック、ログ、統計、および学習アクションを有効または無効にできます。

コマンドラインインターフェイスを使用する場合は、次のコマンドを入力して XML サービス拒否チェックを設定できます。

set appfw profile <name> -xmlDoSAction [**block**] [**log**] [**learn**] [**stats**] [**none**]

XML サービス拒否ルールを個別に設定するには、GUI を使用する必要があります。[XMLサービス拒否チェック の変更]ダイアログボックスの[チェック]タブで、ルールを選択し、[ 開く ]をクリックして、そのルールの[XMLサービス拒否 の変更]ダイアログボックスを開きます。個々のダイアログボックスはルールによって異なりますが、シンプルです。ルールを有効または無効にすることしかできないものもあれば、テキストボックスに新しい値を入力して数値を変更できるものもあります。

注：

サービス拒否攻撃に対するラーニングエンジンの予想される動作は、設定されたアクションに基づいています。アクションが「ブロック」に設定されている場合、エンジンは設定されたバインド値 +1 を学習し、違反があると XML 解析が停止します。設定されたアクションが「ブロック」に設定されていない場合、エンジンは実際に受信した違反時間の値を学習します。

個々の XML サービス拒否ルールは次のとおりです。

最大要素深度。個々の要素の入れ子レベルの最大数を 256 に制限します。このルールが有効になっていて、Web App Firewall が最大許容レベル数を超える要素を含む XML リクエストを検出した場合、そのリクエストはブロックされます。レベルの最大数は 1 から 65,535 までの任意の値に変更できます。
要素名の最大長。各要素名の最大長を 128 文字に制限します。これには、展開された名前空間内の名前が含まれます。これには、次の形式の XML パスと要素名が含まれます。
```
 {http://prefix.example.com/path/}target_page.xml
  
```

ユーザーは、名前の最大長を 1 文字から 65,535 までの任意の値に変更できます。

最大要素数。1 つの XML ドキュメントにつき、1 つのタイプのエレメントの最大数を 65,535 に制限します。エレメントの最大数は、1 から 65,535 までの任意の値に変更できます。
子要素の最大数。個々の要素で使用できる子 (他の要素、文字情報、コメントを含む) の最大数を65,535人に制限します。子要素の最大数は、1 から 65,535 までの任意の値に変更できます。
最大属性数。個々の要素が持つことができる属性の最大数を256に制限します。属性の最大数は、1 から 256 までの任意の値に変更できます。
属性名の最大長。各属性名の最大長を 128 文字に制限します。属性名の最大長は、1 から 2,048 までの任意の値に変更できます。
属性値の最大長。各属性値の最大長を 2048 文字に制限します。属性名の最大長は、1 から 2,048 までの任意の値に変更できます。
最大文字データ長。各要素の最大文字データ長を 65,535 に制限します。長さは 1 から 65,535 までの任意の値に変更できます。
最大ファイルサイズ。各ファイルのサイズを 20 MB に制限します。最大ファイルサイズは任意の値に変更できます。
最小ファイルサイズ。各ファイルの長さは 9 バイト以上である必要があります。最小ファイルサイズは、さまざまなバイトを表す任意の正の整数に変更できます。
エンティティ拡張の最大数。許可されるエンティティ拡張の数を指定された数に制限します。デフォルト:1024 です。
エンティティの最大拡張深度。ネストされたエンティティ拡張の最大数を、指定された数以下に制限します。デフォルト:32。
名前空間の最大数。XML 文書内の名前空間宣言の数を、指定された数以下に制限します。デフォルトは 16 です。
名前空間 URI の最大長。各名前空間宣言の URL の長さを、指定された文字数以下に制限します。デフォルト:256。
ブロック処理命令。リクエストに含まれる特別な処理命令をすべてブロックします。このルールには、ユーザーが変更できる値はありません。
DTD をブロックします。リクエストに含まれるすべての文書型定義 (DTD) をブロックします。このルールには、ユーザーが変更できる値はありません。
外部エンティティをブロックします。リクエスト内の外部エンティティへの参照をすべてブロックします。このルールには、ユーザーが変更できる値はありません。
SOAP アレイチェック。次の SOAP 配列チェックを有効または無効にします。
- SOAP 配列の最大サイズ。接続がブロックされる前の XML リクエスト内のすべての SOAP 配列の最大合計サイズ。この値は変更できます。デフォルト:20000000。
- SOAP アレイの最大ランク。接続がブロックされる前の XML リクエスト内の単一の SOAP 配列の最大ランクまたはサイズ。この値は変更できます。デフォルトは 16 です。

このコンテンツの正式なバージョンは英語で提供されています。Cloud Software Groupドキュメントのコンテンツの一部は、お客様の利便性のみを目的として機械翻訳されています。Cloud Software Groupは機械翻訳されたコンテンツを管理していないため、誤り、不正確な情報、不適切な用語が含まれる場合があります。英語の原文から他言語への翻訳について、精度、信頼性、適合性、正確性、またはお使いのCloud Software Group製品またはサービスと機械翻訳されたコンテンツとの整合性に関する保証、該当するライセンス契約書またはサービス利用規約、あるいはCloud Software Groupとのその他すべての契約に基づき提供される保証、および製品またはサービスのドキュメントとの一致に関する保証は、明示的か黙示的かを問わず、かかるドキュメントの機械翻訳された範囲には適用されないものとします。機械翻訳されたコンテンツの使用に起因する損害または問題について、Cloud Software Groupは責任を負わないものとします。

XML サービス拒否チェック

August 15, 2023

寄稿者:

XML サービス拒否チェック

この記事の概要