WAFとOWASPベースラインの解説

セキュリティは、ローンチ後に始めるプロジェクトであってはなりません。すべてのClonextインスタンスでは、マネージドWebアプリケーションファイアウォールとOWASPに沿ったベースラインが、最初のデプロイの時点から有効になっています。それが実際に何を含むのかをご説明します。

WAFが防ぐもの

エッジでは、Google Cloud Armorがアプリケーションに届く前のすべてのリクエストを検査します。Googleのグローバルロードバランサー上のマネージドポリシーなので、あなたのコードが最後の防衛線になる必要はありません。

• OWASP Top 10のパターン。古典的なインジェクションやクロスサイトスクリプティングのペイロードに対する強制ガードに加え、事前構成されたOWASPルールセットがすべてのリクエストを評価します。
• エッジとアプリケーションでのログインレート制限。繰り返されるサインイン試行は、ブルートフォース攻撃の問題になる前に遮断されます。
• ルートごとに設計された例外。決済Webhookやリッチエディタは動作し続け、誤ってブロックされるものはありません。
• Google管理の証明書とHSTSによるTLS。あなた自身のドメインで。

良いベースラインとは、チケットを起票しなくても手に入るセキュリティのことです。

OWASPは天井ではなく、床

OWASPの標準は共通のチェックリストを与えてくれますが、チェックリストは出発点にすぎません。私たちは各コントロールをコア内の具体的なもの（セッション処理、出力エンコーディング、依存関係ポリシー）に対応づけ、フレームワークがやってくれたはずだと信じるのではなく、ビルドの一部として検証します。

インスタンスごとにチューニング

すべてのインスタンスが分離されているため、隣人を気にせず、あなたのトラフィックに合わせてルールを調整できます。あなたのAPIでの誤検知は、共有テナンシーの中で交渉されるのではなく、あなたのために修正されます。

このベースラインを取り巻くより広いエッジ（グローバルロードバランサー、DNSSEC、IDゲート）については、Googleエッジの全体像で解説しています。