Network-layer DDoS Attack Protection マネージドルールセットにオーバーライド式を設定すると、感度レベル または アクション の調整範囲を限定できます。
どの式を使うか（あるいは使わないか）を考えるときは、式を、Network-layer DDoS Attack Protection マネージドルールセットが保護している特定のサービスへオーバーライドを絞り込む手段と考えてください。つまり、ほとんどのサービスは送信元ポートや送信元 IP ではなく、宛先ポートと宛先 IP で定義されます。詳細は 重要な注意 を参照してください。
たとえば、宛先 IP アドレスやポートごとに異なる感度レベルを設定できます。宛先 IP アドレス A には中程度の感度、宛先 IP アドレス B には低い感度、といった具合です。
オーバーライド式で使えるフィールドは次のとおりです。
式での使用をおすすめするフィールドの一覧です。
ip.dstip.proto.numtcp.dstporttcp.flagstcp.flags.acktcp.flags.fintcp.flags.pushtcp.flags.resettcp.flags.syntcp.flags.urgudp.dstport
式での使用をおすすめしないフィールドの一覧です。
ip.srcip.lenip.ttltcp.srcportudp.srcport
詳細は、Rules 言語ドキュメントの フィールドリファレンス を参照してください。
オーバーライド式は許可リストではありません。オーバーライドは検出に適用され、結果として行われる緩和には適用されません。つまり、DDoS マネージドルールが生成した攻撃フィンガープリントに、式で指定したフィールドと同じフィールドが含まれている場合にだけ、オーバーライドは効きます。そのため、ip.src、ip.len、ip.ttl、tcp.srcport、udp.srcport のような送信元フィールドの利用は信頼できません。
非推奨フィールドを式に使うと、想定外の動作になることがあります。送信元のプロパティを使いたくなるかもしれませんが、式は許可リストではなく、送信元トラフィックのプロパティを含めると誤検知が起きることがあります。
たとえば、ip.src eq 192.0.2.1 に対して感度を Essentially Off にしたオーバーライドを作成しても、フィンガープリントに ip.src が含まれる場合にだけ適用されます。ただし DDoS 攻撃は多数の送信元 IP に分散することが多いため、フィンガープリントに ip.src がまったく含まれないことがあります。その場合、オーバーライドは適用されません。
よくあるシナリオでは、数千の IP から発信した攻撃が、単一の宛先 IP とポートを狙います。フィンガープリントは、宛先 IP、ポート、攻撃パターンの強いシグナルになる追加のパケットフィールドなど、共有属性に注目します。オーバーライドが特定の送信元 IP に一致しても、そのフィールドがフィンガープリントになければ適用されません。その結果、システムは既定の高い感度で攻撃を緩和し、指定した IP からのトラフィックもブロックされることがあります。プロトコル、宛先 IP、宛先ポートなど、より安定した式を使うことをおすすめします。
各式は 4,000 文字までに制限されています。1 つの式に入れられる IP アドレスは、おおよそ最大 200 件です。ただし IP アドレスは CIDR 形式で入力できるため、より多くの IP アドレスを含められます。たとえば 192.0.0.0/24 を使うと、192.0.0.0 から 192.0.0.255 までの IP アドレスに一致します。