XSS フォールスポジティブを処理する
このソリューションでは、受信リクエストでよく調べられる要素を検査して XSS 攻撃を特定してブロックする AWS WAF ルールを設定します。この検出パターンは、コンテンツ管理システムのリッチテキストエディタなどで HTML を作成し送信することをユーザーに許可しているワークロードでは、あまり効果的ではありません。このシナリオでは、リッチテキスト入力を受け入れる特定の URL パターンに対してデフォルトの XSS ルールをバイパスする例外ルールを作成し、除外された URL を保護する代替のメカニズムを実装することを検討してください。
さらに、一部の画像またはカスタムデータ形式では、HTML コンテンツに潜在的な XSS 攻撃を示すパターンが含まれているため、誤検出が発生する可能性があります。例えば、SVG ファイルには <script> タグが含まれる場合があります。このタイプのコンテンツが正当なユーザーから得られることが予想される場合は、これらの他のデータ形式を含む HTML リクエストを許可するように XSS ルールを細かく調整します。
次の手順に従い、HTML をインプットとして受け入れる URL を除外するために XSS ルールを更新します。詳細な手順については、「Amazon WAF 開発者ガイド」を参照してください。
-
AWS WAF コンソール
にサインインします。 -
URI を検査し、XSS ルールに対して受け入れる値をリストするようにフィルター設定を構成します。
-
このソリューションの XSS ルールを編集し、作成した新しい条件を追加します。
例えば、リスト内のすべての URL を除外するには、When a request に対して以下を選択します。
-
does not
-
match at least one of the filers in the string match condition
-
XSS Allowlist
-
