ASP.NET Web Forms の保護

IIS で ASP.NET サイトを運用していると、Windows の Application ログに "A potentially dangerous Request.Form value was detected" というエラーが大量に記録されることがあります。自動化されたツールは、不要な HTML、スクリプト、不正な形式のデータをフォームへ繰り返し送信し、サーバーのリソースを消費して多数の検証エラーを発生させます。

リクエスト検証イベントには通常、次のような情報が含まれます。サーバーとアプリケーションの詳細は例示で、送信された値は省略しています:

Log Name:          Application
Source:            ASP.NET 4.0.30319.0
Event ID:          1309
Task Category:     Web Event
Level:             Warning
Keywords:          Classic
Computer:          WEB-SERVER

Description:
Event code:        3003
Event message:     A validation error has occurred.
Event detail code: 0

Application information:
    Trust level: Full
    Application Virtual Path: /
    Application Path: C:\inetpub\wwwroot\example.net\
    Machine name: WEB-SERVER

Process information:
    Process ID: 3276
    Process name: w3wp.exe
    Account name: IIS APPPOOL\ExampleAppPool

Exception information:
    Exception type: HttpRequestValidationException
    Exception message: A potentially dangerous Request.Form value was detected from the client (submitted value omitted).
   at System.Web.HttpRequest.ValidateString(String value, String collectionKey, RequestValidationSource requestCollection)
   at System.Web.HttpRequest.ValidateHttpValueCollection(HttpValueCollection collection, RequestValidationSource requestCollection)
   at System.Web.HttpRequest.get_Form()
   at System.Web.HttpRequest.get_HasForm()
   at System.Web.UI.Page.GetCollectionBasedOnMethod(Boolean dontReturnNull)
   at System.Web.UI.Page.DeterminePostBackMode()
   at System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
   ...

Request information:
    Request URL: https://example.net/index.aspx
    Request path: /index.aspx
    User host address: 5.136.158.160
    User:
    Is authenticated: False
    Authentication Type:
    Thread account name: IIS APPPOOL\ExampleAppPool

ASP.NET がリクエストを拒否しても、送信元は送信を続けられます。サーバーは処理のためにCPU 時間、メモリ、帯域幅、ログ領域を消費し続けます。同様の記録が大量に残ることで、実際のアプリケーションエラーも見つけにくくなります。

RdpGuard は、このような反復的なアクセスを抑えます。Application ログの ASP.NET イベントを監視し、ルールに一致するリクエストを識別して、設定したしきい値に達すると送信元の IP アドレスを一時的にブロックします。ブロック中、そのアドレスはサーバーの保護対象ポートにリクエストを送信できなくなります。

検証エラー用の標準ルールから始め、必要に応じてアプリケーションのイベントに合わせて調整できます。しきい値やブロック期間の変更、信頼できるアドレスの許可、IP ブロック時の通知も可能です。

検証エラーだけで攻撃とは断定できません。正規のユーザーがフォームに HTML を入力して発生する場合もあります。サイトのイベントを確認し、想定する入力に合ったルールを選んでください。ASP.NET とアプリケーションを最新に保ち、適切な入力検証と出力エンコードも行ってください。

この保護は、.NET Framework 上の従来の ASP.NET が生成する Windows イベントを利用します。記録済みのイベントを読み取るため、HTTP と HTTPS の両方で機能します。イベントにはクライアント IP が必要です。すべての ASP.NET Core アプリケーションや、あらゆる Web 攻撃を自動的に対象とするものではありません。

ASP.NET Web Forms 保護の有効化と設定 - 監視の有効化、イベントの確認、ブロックの調整。

ASP.NET Web Forms のカスタム検出ルール - EventData フィールドの条件を指定し、アプリケーションに合わせて検出を調整。