AWS WAFで正規表現（Regex）ルールを使う方法
生徒
「先生、AWS WAFで細かい条件を設定してアクセスを制御することってできるんですか？」
先生
「もちろんできますよ。AWS WAF（エーダブリューエス ワフ）はWebアプリケーションファイアウォールで、正規表現（Regex：レジェックス）ルールを使えば、文字列のパターンに基づいて高度なアクセス制御が可能になります。」
生徒
「正規表現ってちょっと難しそうですが、どうやって使うんですか？」
先生
「安心してください。AWS WAFの管理画面から簡単に設定できます。具体的に見ていきましょう。」
1. AWS WAFと正規表現ルールとは？
AWS WAF（エーダブリューエス ワフ）は、Amazon Web Servicesが提供するWebアプリケーションファイアウォールです。WAF（ワフ）はWeb Application Firewallの略で、Webアプリを不正アクセスや攻撃から守る仕組みです。
正規表現は、読み方は正規表現（セイキヒョウゲン）で、文字列のパターンを表現する方法です。英語ではRegex（レジェックス）とも呼ばれます。例えば「数字だけを許可」「特定の単語を含むアクセスをブロック」といった条件を柔軟に指定できます。
AWS WAFにおける正規表現ルールを使うと、通常の文字一致では難しい詳細な条件を作れるため、セキュリティを強化しつつ、許可すべき正しいリクエストは通すといった調整が可能です。
2. 正規表現ルールを使うメリット
正規表現ルールを使うことで次のようなメリットがあります。
- 特定の文字列パターンを持つリクエストを許可または拒否できる
- Bot（ボット）やスクレイピングなどの不審なアクセスをより正確に検出できる
- 柔軟に条件を組み合わせて細かい制御ができる
たとえば、アクセス元のURLに「/admin」を含む場合にだけ制御したい場合や、特定のクエリパラメータに怪しい文字列が含まれる場合に対応できます。
3. AWS WAFで正規表現ルールを設定する手順
ここではAWSマネジメントコンソールを使って正規表現ルールを設定する流れを解説します。
- AWSマネジメントコンソールにログイン サービス検索で「WAF」と入力してAWS WAFのページを開きます。
- Web ACLを作成または編集 Web ACL（ウェブ エーシーエル）はアクセス制御リストのことで、ここにルールを追加します。
- ルールを追加 新しいルールを追加し、「正規表現パターンセット」を選びます。
- 正規表現パターンを登録 例えば「^/admin.*」という正規表現を追加すると、「/admin」で始まるすべてのURLにマッチします。
- アクションを指定 マッチした場合に「Allow（許可）」「Block（拒否）」「Count（カウント）」などを設定できます。
- 保存してデプロイ 設定を反映すると、ルールが有効になります。
4. 具体的な活用例
正規表現ルールは、実際に次のような場面で役立ちます。
- 特定の拡張子（例：
.exeや.bat）を含むリクエストをブロックする - 日本語以外の怪しい文字列を含むクエリを遮断する
- ログインページへの過剰アクセスを検知して制御する
このように正規表現を使うと、単純な一致条件では防げない不正アクセスを制御できます。
5. 注意点と運用のポイント
正規表現ルールは非常に強力ですが、注意点もあります。
- 正規表現は複雑になると処理に時間がかかり、パフォーマンスに影響する可能性がある
- 誤った正規表現を設定すると正規ユーザーまでブロックしてしまう
- ルールを有効化する前に必ずテストモードで確認することが重要
また、アクセスログを確認しながら徐々に調整することで、安全性と利便性を両立できます。
6. 補足知識
正規表現は1960年代に数学的な理論として誕生し、その後プログラミング言語や検索機能などに広く応用されてきました。AWS WAFでも同じ仕組みを利用しており、長い歴史のある技術をセキュリティの分野に活かしています。
初心者の方はまず簡単なパターン（例えば「abc」を含む、「^/login」で始まるなど）から試してみるのがおすすめです。徐々に慣れていけば、より高度なセキュリティルールを構築できるでしょう。
