AWS WAFに事前解析テキスト変換と10種類の新しいテキスト変換機能が追加

AWS WAFにおいて、クエリ引数に対する「Pre-parse text transformations（事前解析テキスト変換）」および、任意のルールステートメントで使用可能な「10種類の新しいテキスト変換」が追加されました。事前解析テキスト変換は、クエリ文字列をキーと値のペアにパースする前に正規化を行うことで、HTTPパラメータ汚染やパーサーの差異による回避攻撃を防ぎます。新しいテキスト変換には、Uppercase、Trim、Remove Whitespace、SHA256などの業界標準オプションに加え、Amazon Threat Research Teamが開発したOSを意識したコマンドラインおよびJavaScriptデコード関数が含まれます。各新しい変換は10 WCUを消費し、追加料金なしで全AWSリージョンで利用可能です。

攻撃回避の隙を突く「パーサーの差異」への強力な対策

これまで、WAFでリクエストを検査する際に、アプリケーション側がリクエストを解釈する方法とWAFが解釈する方法に「差」が生じることで、攻撃をすり抜けてしまうケースがありました。今回のアップデートは、まさにその**「正規化（Normalization）」の強化**が主眼にあります。

解決される課題とメリット

• HTTPパラメータ汚染（HPP）対策: クエリ文字列をパースする前に正規化（URLデコードやセミコロンをアンパサンドに置換など）を行うことで、攻撃者が巧妙に細工したパラメータを確実に検知可能です。
• 高度なデコード機能: Amazon Threat Research Teamが開発した、OSやJavaScriptに特化したデコード機能が追加されたことで、より高度な難読化を用いた攻撃への耐性が向上します。
• 柔軟なルール作成: 最大10個の変換をチェーン（連結）して適用できるため、より精緻なルール設計が可能になります。

日本国内のリージョン状況

リサーチ結果に基づくと、本機能は東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能です。大阪リージョンについても、AWS WAFのサービス自体が利用可能であるため、公式発表の「all AWS Regions」に基づき、問題なく導入検討が可能です。

運用上の注意点とアドバイス

• WCU（Web ACL Capacity Units）の管理: 各新しい変換は10 WCUを消費します。複雑なルールを多数組み合わせる場合、Web ACLの容量上限に達する可能性があるため、既存のルールの構成を確認しながら導入を進めるのが良いでしょう。
• セキュリティ強度の向上: 単なる文字列一致ではなく、SHA256ハッシュ化を用いた検査や、トリム処理による空白除去など、正規化のステップを挟むことで、誤検知（False Positive）と検知漏れ（検知回避）の両方をバランスよく制御できるようになります。

次のアクション

まずは、現在運用中のWeb ACLにおいて、特にクエリパラメータを多用するアプリケーションに対して、事前解析テキスト変換を適用したテストルールを作成し、正規化の効果とWCUの消費量を確認することをお勧めします。

参照ドキュメント:

• AWS WAF Developer Guide: Pre-parse text transformations in AWS WAF https://docs.aws.amazon.com/waf/latest/developerguide/waf-rule-statement-preparse-transformation.html
• AWS WAF Developer Guide: Text transformations in AWS WAF https://docs.aws.amazon.com/waf/latest/developerguide/waf-rule-statement-transformation.html