プレイブック

アプリ内で Zen が不審な挙動を検知したときに、IP を自動的にブロックします。

Playbooks は Zen Firewall の自動化ルールです。各 Playbook はイベントとアクションを組み合わせたもので、Zen がイベントを検知すると、そのアクションを自動で実行します。誰かがダッシュボードを監視している必要はありません。

Playbook は 1 つの文のように読めます：攻撃ウェーブを検知 → IP を 30 分間ブロック。

#Playbook を作成する

Zen Firewall のアプリを開き、Playbooks タブに移動します。
Add Playbook をクリックします。
When で、Playbook のトリガーとなるイベントを選択します。
Configure で、アクションとその継続時間を選択します。
Create Playbook をクリックします。

When トリガーと Configure アクションを含む Create Playbook ダイアログ。

Playbook は作成するとすぐに有効になります。

攻撃ウェーブ後に IP を 30 分間ブロックする有効な Playbook が表示された Playbooks タブ。

#イベント

Playbooks はイベントに反応します。アプリケーションコードから独自のイベントを送信することも、Zen が標準で検知するイベントを使用することもできます。

#カスタムイベント

track を使ってアプリケーションコードからイベントを報告すると、アプリだけが把握している事象に Playbooks が反応できるようになります。例としては、ログイン失敗、無効なクーポンコード、パスワードリセットのリクエスト、拒否された API キー、決済の失敗などがあります。

リクエスト処理の中で、そのイベントが発生する箇所でイベント名を指定して track を呼び出します：

const Zen = require("@aikidosec/firewall");

// Inside any request handler
Zen.track("your.event_name");

from aikido_zen import track

# Inside any request handler
track("your.event_name")

// Inside any HTTP handler, pass the request context
zen.Track(r.Context(), "your.event_name")

# Inside any request, for example a Rails controller action
Aikido::Zen.track("your.event_name")

// Inside any request handler
if (extension_loaded('aikido')) {
    \aikido\track('your.event_name');
}

// ASP.NET Core: using Aikido.Zen.DotNetCore;
// ASP.NET Framework: using Aikido.Zen.DotNetFramework;

// Inside any controller action or middleware
Zen.Track("your.event_name");

イベント名には任意の形式を使用できます。user.login_failed や coupon.invalid のような、小文字でドット区切りの名前を推奨します。

track を追加したら、一度イベントを発生させてください。すると、Playbook の作成時に選択できるイベントとして表示されます。track を呼び出すだけでは何もブロックされません。

Zen はリクエストから IP アドレスを取得するため、渡す必要があるのはイベント名だけです。track を呼び出す前に現在のユーザーを設定しておくと、Zen はユーザー情報も含めます。これにより、coupon.invalid が 5 分間に 10 回 → IP を 1 時間ブロック のような Playbook を作成できます。カウントはアプリ全体ではなく、IP ごとに行われます。

#組み込みイベント

Attack wave detected（攻撃ウェーブを検知）。 ある IP がアプリを体系的に探索している状態です。たとえば、.env ファイルや隠しディレクトリのスキャンなどです。Zen がこれを検知する仕組みについては、Attack Wave Protection を参照してください。

Injection attack detected（インジェクション攻撃を検知）。 ユーザー入力が、SQL インジェクション、コマンドインジェクション、パストラバーサル、またはサーバーサイドリクエストフォージェリ（SSRF）によってアプリを悪用しようとした状態です。Zen がこれを検知する仕組みについては、How Does Zen Work? を参照してください。

#アクション

Block IP（IP をブロック）。 イベントを引き起こした IP が、このアプリのブロックリストに追加されます。期間は 30 分、1 時間、24 時間、または無期限から選択できます。

一時的なブロックは自動的に期限切れになります。ブロックの期限が切れると、Zen はその IP のイベントカウントもリセットするため、Playbook は再びゼロからカウントを開始します。

Playbooks がバイパスリストにある IP をブロックすることはありません。

#Playbook の実行内容を確認する

Playbooks タブの Activity ビューには、Playbook が実行したすべてのアクションが記録されます。実行日時、発動した Playbook、対象となった IP、ブロックの残り時間を確認できます。ドロップダウンを使って Playbook ごとに絞り込めます。

Playbook によるブロックは、Why is this IP blocked? でも Playbook rule として表示されます。

#Playbook を無効化、編集、または削除する

Playbook の行の右側にあるアクションメニューを使用します：

Disable Playbook は、アクションの実行を停止します。既存のブロックはそのまま維持されます。
Edit Playbook は、イベント、アクション、または期間を変更します。
Remove Playbook は、Playbook を削除します。