要求のフィルタリング規則の <filteringRule>

[アーティクル]
03/22/2024

概要

<filteringRule> 要素は、<filteringRules> 要素内のカスタム要求のフィルタリング規則のコレクションに規則を追加します。

各 <filteringRule> 要素は、ユーザー定義の条件に基づいて要求のフィルタリング動作を定義するカスタム属性と要素のコレクションを指定します。たとえば、各要求のフィルタリング規則には次の属性が含まれている場合があります。

denyUnescapedPercent - この属性は、エスケープされていないパーセント記号が含まれている場合に要求のフィルタリングで要求を拒否するかどうかを指定します。
scanAllRaw - この属性は、要求のフィルタリングで、denyStrings 要素で指定された文字列の生のヘッダーをスキャンするかどうかを指定します。
scanQueryString - この属性は、要求のフィルタリングで、denyStrings 要素で指定された文字列のクエリ文字列をスキャンするかどうかを指定します。 <requestFiltering> 要素の unescapeQueryString 属性が true に設定されている場合、クエリ文字列から 2 つのスキャンが行われます。1 つは未加工のクエリ文字列を使用したスキャンで、もう 1 つはクエリ文字列をエスケープしないスキャンです。
scanUrl - この属性は、要求のフィルタリングで、denyStrings 要素で指定された文字列の URL をスキャンするかどうかを指定します。

さらに、各要求のフィルタリング規則には、次の子要素を含めることができます。

<appliesTo> - 要求のフィルタリング規則が適用されるファイル名拡張子の一覧を指定します。

Note

このセクションが空白の場合、規則はすべての要求に適用されます。
<denyStrings> - 要求のフィルタリング規則で拒否する文字列の一覧を指定します。
<scanHeaders> - スキャンする HTTP ヘッダーの一覧を指定します。

Note

要求のフィルタリングがフィルタリング規則のために HTTP 要求をブロックすると、IIS 7 は HTTP 404 エラーをクライアントに返し、要求が拒否された理由を識別する一意のサブ状態で次の HTTP 状態をログに記録します。

HTTP サブ状態	説明
`404.19`	フィルタリング規則により拒否されました

このサブ状態によって、Web 管理者は IIS ログを分析し、潜在的な脅威を特定できます。

互換性

バージョン	メモ
IIS 10.0	`<filteringRule>` 要素は、IIS 10.0 では変更されませんでした。
IIS 8.5	`<filteringRule>` 要素は、IIS 8.5 では変更されませんでした。
IIS 8.0	`<filteringRule>` 要素は IIS 8.0 では変更されませんでした。
IIS 7.5	`<filteringRules>` 要素の `<filteringRule>` 要素は、IIS 7.5 の機能として付属しています。
IIS 7.0	`<filteringRules>` 要素の `<filteringRule>` 要素は、Microsoft サポート技術情報の記事 957508 (`https://support.microsoft.com/kb/957508`) で入手できる IIS 7.0 の更新プログラムとして導入されました。
IIS 6.0	この `<filteringRules>` 要素は、URLScan 3.0 に追加された RuleList 機能とほぼ同じです。

段取り

IIS 7 以降の既定のインストールには、要求のフィルタリングの役割サービスまたは機能が含まれます。要求のフィルタリングの役割サービスまたは機能がアンインストールされている場合は、次の手順を使用して再インストールできます。

Windows Server 2012 または Windows Server 2012 R2

タスクバーで [サーバーマネージャー]をクリックします。
[サーバーマネージャー] で、[管理] メニューを選択し、[役割と機能の追加] を選択します。
[役割と機能の追加] ウィザードで、[次へ] をクリックします。インストールの種類を選択し、[次へ] をクリックします。対象サーバーを選択し、[次へ] を選択します。
[サーバーの役割] ページで [Web サーバー (IIS)] を展開し、[Web サーバー]、[セキュリティ]、[要求のフィルタリング] の順に展開します。次へをクリックします。
.
[機能の選択] ページで、[次へ] をクリックします。
[インストールオプションの確認] ページで、[インストール] をクリックします。
[結果] ページで、 [閉じる]をクリックします。

Windows 8 または Windows 8.1

[スタート] 画面で、ポインターを左下隅まで移動し、[スタート] ボタンを右クリックし、[コントロールパネル] をクリックします。
[コントロールパネル] で [プログラムと機能] を選択し、[Windows の機能の有効化または無効化] を選択します。
[インターネットインフォメーションサービス]を展開し、[World Wide Web サービス] を展開し、[セキュリティ] を展開して、[要求のフィルタリング] を選択します。
OK をクリックします。
閉じるをクリックします。

Windows Server 2008 または Windows Server 2008 R2

タスクバーで [スタート] をクリックし、[管理ツール] をポイントして、[サーバーマネージャ] をクリックします。
[サーバーマネージャ] 階層ウィンドウで [役割] を展開し、[Web サーバー (IIS)] をクリックします。
[Web サーバー (IIS)] ウィンドウで、[役割サービス] セクションまでスクロールし、[役割サービスの追加] を選択します。
役割サービスの追加ウィザードの [役割サービスの選択] ページで、[要求のフィルタリング] を選択し、[次へ] を選択します。
[インストールオプションの確認] ページで、[インストール] をクリックします。
[結果] ページで、 [閉じる]をクリックします。

Windows Vista または Windows 7

タスクバーで、[スタート]、[コントロールパネル] の順にクリックします。
[コントロールパネル] で [プログラムと機能] を選択し、[Windows の機能の有効化または無効化] を選択します。
[インターネットインフォメーションサービス]、[World Wide Web サービス]、[セキュリティ] の順に展開します。
[要求のフィルタリング] を選択し、[OK] を選択します。

操作方法

要求のフィルタリング規則を追加する方法

インターネットインフォメーションサービス (IIS) マネージャーを開きます。
- Windows Server 2012 または Windows Server 2012 R2 を使用している場合:
  - タスクバーで、[サーバーマネージャー] をクリックし、[ツール]、[インターネットインフォメーションサービス (IIS) マネージャー] の順にクリックします。
- Windows 8 または Windows 8.1 を使用している場合:
  - Windows キーを押しながら文字 X を押し、[コントロールパネル] をクリックします。
  - [管理ツール] をクリックし、[インターネットインフォメーションサービス (IIS) マネージャー] をダブルクリックします。
- Windows Server 2008 または Windows Server 2008 R2 を使用している場合:
  - タスクバーで、[スタート] ボタンをクリックし、[管理ツール]、[インターネットインフォメーションサービス (IIS) マネージャー] の順にクリックします。
- Windows Vista または Windows 7 を使用している場合:
  - タスクバーで、[スタート]、[コントロールパネル] の順にクリックします。
  - [管理ツール] をダブルクリックし、[インターネットインフォメーションサービス (IIS) マネージャー] をダブルクリックします。
[接続] ウィンドウで、要求のフィルタリングを構成するサイト、アプリケーション、またはディレクトリに移動します。
[ホーム] ウィンドウで、[要求のフィルタリング] をダブルクリックします。
[要求のフィルタリング] ウィンドウで、[規則] タブを選択します。
[操作] ウィンドウで、[フィルタリング規則の追加] を選択します。
[フィルタリング規則の追加] ダイアログで、フィルタリング規則に関する次の情報を入力します。
- [名前] フィールドに、フィルタリング規則のフレンドリ名を入力します。
- 要求の URL スタブをフィルタリング規則でスキャンする場合は、[URL のスキャン] を選択します。
- フィルタリング規則で要求のクエリ文字列をスキャンする場合は、[クエリ文字列のスキャン] を選択します。
- [スキャンヘッダー] コレクションで、スキャンする HTTP ヘッダーを入力します。
- [適用対象] コレクションのフィルタリング規則で使用するファイル名拡張子を入力します。
- [文字列の拒否] コレクション内のフィルタリング規則に対して拒否する文字列のコレクションを入力します。
[OK] を選択して、[フィルタリング規則の追加] ダイアログを閉じます。

構成

<filteringRules> 要素の <filteringRule> 要素は、サイト、アプリケーション、またはディレクトリレベルで構成されます。

属性

属性	説明
`denyUnescapedPercent`	省略可能な Boolean 属性です。エスケープされていないパーセント記号が含まれている場合、要求のフィルタリングで要求を拒否する必要がある場合は true、それ以外の場合は false。既定値は `true` です。
`name`	必須の文字列属性です。要求のフィルタリングの規則の名前を指定します。既定値はありません。
`scanAllRaw`	省略可能な Boolean 属性です。要求のフィルタリングで、`denyStrings` 要素で指定された文字列の生のヘッダーをスキャンする必要がある場合は true、それ以外の場合は false。既定値は `false` です。
`scanQueryString`	省略可能な Boolean 属性です。要求のフィルタリングで、`denyStrings` 要素で指定された文字列のクエリ文字列をスキャンする必要がある場合は true、それ以外の場合は false。 `<requestFiltering>` 要素の `unescapeQueryString` 属性が true に設定されている場合、クエリ文字列から 2 つのスキャンが行われます。1 つは未加工のクエリ文字列を使用したスキャンで、もう 1 つはクエリ文字列をエスケープしないスキャンです。既定値は `false` です。
`scanUrl`	省略可能な Boolean 属性です。要求のフィルタリングで、`denyStrings` 要素で指定された文字列の URL をスキャンする必要がある場合は true、それ以外の場合は false。既定値は `false` です。

子要素

要素	説明
`appliesTo`	省略可能な要素です。要求のフィルタリング規則が適用されるファイル名拡張子の一覧を指定します。
`denyStrings`	省略可能な要素です。要求のフィルタリング規則で拒否する文字列の一覧を指定します。
`scanHeaders`	省略可能な要素です。スキャンする HTTP ヘッダーの一覧を指定します。

構成サンプル

次の例では、特定のユーザーエージェントの画像の盗み取り (リーチ) を防ぐ要求のフィルタリング規則を定義するために、<denyStrings>、<appliesTo>、<scanHeaders> の各要素を使用する <requestFiltering> 要素を示します。

<requestFiltering>
   <filteringRules>
      <filteringRule name="Block Image Leeching" scanUrl="false" scanQueryString="false" scanAllRaw="false">
         <scanHeaders>
            <add requestHeader="User-agent" />
         </scanHeaders>
         <appliesTo>
            <add fileExtension=".gif" />
            <add fileExtension=".jpg" />
            <add fileExtension=".png" />
         </appliesTo>
         <denyStrings>
            <add string="leech-bot" />
         </denyStrings>
      </filteringRule>
   </filteringRules>
</requestFiltering>

次の例では、SQL インジェクション攻撃でよく使用されるクエリ文字列のテキスト文字列のコレクションを拒否することで、SQL インジェクション攻撃を防ぐ要求のフィルタリング規則を定義する <requestFiltering> 要素を示します。

<requestFiltering>
   <filteringRules>
      <filteringRule name="SQLInjection" scanUrl="false" scanQueryString="true">
         <appliesTo>
            <clear />
            <add fileExtension=".asp" />
            <add fileExtension=".aspx" />
            <add fileExtension=".php" />
         </appliesTo>
         <denyStrings>
            <clear />
            <add string="--" />
            <add string=";" />
            <add string="/*" />
            <add string="@" />
            <add string="char" />
            <add string="alter" />
            <add string="begin" />
            <add string="cast" />
            <add string="create" />
            <add string="cursor" />
            <add string="declare" />
            <add string="delete" />
            <add string="drop" />
            <add string="end" />
            <add string="exec" />
            <add string="fetch" />
            <add string="insert" />
            <add string="kill" />
            <add string="open" />
            <add string="select" />
            <add string="sys" />
            <add string="table" />
            <add string="update" />
         </denyStrings>
         <scanHeaders>
            <clear />
         </scanHeaders>
      </filteringRule>
   </filteringRules>
</requestFiltering>

サンプルコード

次の例では、特定のユーザーエージェントの画像の盗み取り (リーチ) を防ぐ既定の Web サイトの要求のフィルタリング規則を追加するために、<denyStrings>、<appliesTo>、<scanHeaders> の各要素を使用する方法を示します。この例のシナリオを次に示します。Web サイト上の画像が特定のユーザーエージェントによって引き出されていることが検出された場合は、その特定のユーザーエージェントのイメージファイルへのアクセスを拒否する要求のフィルタリング規則を作成できます。この特定の例では、要求のフィルタリング規則は HTTP ユーザーエージェントヘッダーで文字列 "leech-bot" を検索し、ユーザーエージェントヘッダーに検索文字列が含まれている場合は GIF、JPG、PNG ファイルへのアクセスを拒否します。

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"filteringRules.[name='Block Image Leeching',scanUrl='False',scanQueryString='False',scanAllRaw='False']" 

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"filteringRules.[name='Block Image Leeching'].scanHeaders.[requestHeader='User-agent']" 

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"filteringRules.[name='Block Image Leeching'].appliesTo.[fileExtension='.gif']" 

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"filteringRules.[name='Block Image Leeching'].appliesTo.[fileExtension='.jpg']" 

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"filteringRules.[name='Block Image Leeching'].appliesTo.[fileExtension='.png']" 

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"filteringRules.[name='Block Image Leeching'].denyStrings.[string='leech-bot']"

PowerShell

Start-IISCommitDelay

$filteringRules = Get-IISConfigSection -CommitPath 'Default Web Site' -SectionPath 'system.webServer/security/requestFiltering' | Get-IISConfigCollection -CollectionName 'filteringRules' 
New-IISConfigCollectionElement -ConfigCollection $filteringRules -ConfigAttribute @{ 'name' = 'Block Image Leeching'; 'scanUrl' = $false; 'scanQueryString' = $false; 'scanAllRaw' = $false; } 

$Rule = Get-IISConfigCollectionElement -ConfigCollection $filteringRules -ConfigAttribute @{ 'name' = 'Block Image Leeching' }

$ruleScanHeaders = Get-IISConfigCollection -ConfigElement $Rule -CollectionName 'scanHeaders' 
New-IISConfigCollectionElement -ConfigCollection $ruleScanHeaders -ConfigAttribute @{ 'requestHeader' = 'User-Agent' }

$ruleAppliesTo = Get-IISConfigCollection -ConfigElement $Rule -CollectionName 'appliesTo'
New-IISConfigCollectionElement -ConfigCollection $ruleAppliesTo -ConfigAttribute @{ 'fileExtension' = '.gif' }
New-IISConfigCollectionElement -ConfigCollection $ruleAppliesTo -ConfigAttribute @{ 'fileExtension' = '.jpg' }
New-IISConfigCollectionElement -ConfigCollection $ruleAppliesTo -ConfigAttribute @{ 'fileExtension' = '.png' }

$ruleDenyStrings = Get-IISConfigCollection -ConfigElement $Rule -CollectionName 'denyStrings'
New-IISConfigCollectionElement -ConfigCollection $ruleDenyStrings -ConfigAttribute @{ 'string' = 'leech-bot' }

Stop-IISCommitDelay

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetWebConfiguration("Default Web Site");
         ConfigurationSection requestFilteringSection = config.GetSection("system.webServer/security/requestFiltering");
         ConfigurationElementCollection filteringRulesCollection = requestFilteringSection.GetCollection("filteringRules");

         ConfigurationElement filteringRuleElement = filteringRulesCollection.CreateElement("filteringRule");
         filteringRuleElement["name"] = @"Block Image Leeching";
         filteringRuleElement["scanUrl"] = false;
         filteringRuleElement["scanQueryString"] = false;
         filteringRuleElement["scanAllRaw"] = false;

         ConfigurationElementCollection scanHeadersCollection = filteringRuleElement.GetCollection("scanHeaders");
         ConfigurationElement addElement = scanHeadersCollection.CreateElement("add");
         addElement["requestHeader"] = @"User-agent";
         scanHeadersCollection.Add(addElement);

         ConfigurationElementCollection appliesToCollection = filteringRuleElement.GetCollection("appliesTo");
         ConfigurationElement addElement1 = appliesToCollection.CreateElement("add");
         addElement1["fileExtension"] = @".gif";
         appliesToCollection.Add(addElement1);
         ConfigurationElement addElement2 = appliesToCollection.CreateElement("add");
         addElement2["fileExtension"] = @".jpg";
         appliesToCollection.Add(addElement2);
         ConfigurationElement addElement3 = appliesToCollection.CreateElement("add");
         addElement3["fileExtension"] = @".png";
         appliesToCollection.Add(addElement3);

         ConfigurationElementCollection denyStringsCollection = filteringRuleElement.GetCollection("denyStrings");
         ConfigurationElement addElement4 = denyStringsCollection.CreateElement("add");
         addElement4["string"] = @"leech-bot";
         denyStringsCollection.Add(addElement4);

         filteringRulesCollection.Add(filteringRuleElement);
         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration


Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetWebConfiguration("Default Web Site")
      Dim requestFilteringSection As ConfigurationSection = config.GetSection("system.webServer/security/requestFiltering")
      Dim filteringRulesCollection As ConfigurationElementCollection = requestFilteringSection.GetCollection("filteringRules")

      Dim filteringRuleElement As ConfigurationElement = filteringRulesCollection.CreateElement("filteringRule")
      filteringRuleElement("name") = "Block Image Leeching"
      filteringRuleElement("scanUrl") = False
      filteringRuleElement("scanQueryString") = False
      filteringRuleElement("scanAllRaw") = False

      Dim scanHeadersCollection As ConfigurationElementCollection = filteringRuleElement.GetCollection("scanHeaders")
      Dim addElement As ConfigurationElement = scanHeadersCollection.CreateElement("add")
      addElement("requestHeader") = "User-agent"
      scanHeadersCollection.Add(addElement)

      Dim appliesToCollection As ConfigurationElementCollection = filteringRuleElement.GetCollection("appliesTo")
      Dim addElement1 As ConfigurationElement = appliesToCollection.CreateElement("add")
      addElement1("fileExtension") = ".gif"
      appliesToCollection.Add(addElement1)
      Dim addElement2 As ConfigurationElement = appliesToCollection.CreateElement("add")
      addElement2("fileExtension") = ".jpg"
      appliesToCollection.Add(addElement2)
      Dim addElement3 As ConfigurationElement = appliesToCollection.CreateElement("add")
      addElement3("fileExtension") = ".png"
      appliesToCollection.Add(addElement3)

      Dim denyStringsCollection As ConfigurationElementCollection = filteringRuleElement.GetCollection("denyStrings")
      Dim addElement4 As ConfigurationElement = denyStringsCollection.CreateElement("add")
      addElement4("string") = "leech-bot"
      denyStringsCollection.Add(addElement4)

      filteringRulesCollection.Add(filteringRuleElement)
      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Default Web Site";
var requestFilteringSection = adminManager.GetAdminSection("system.webServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site");
var filteringRulesCollection = requestFilteringSection.ChildElements.Item("filteringRules").Collection;

var filteringRuleElement = filteringRulesCollection.CreateNewElement("filteringRule");
filteringRuleElement.Properties.Item("name").Value = "Block Image Leeching";
filteringRuleElement.Properties.Item("scanUrl").Value = false;
filteringRuleElement.Properties.Item("scanQueryString").Value = false;
filteringRuleElement.Properties.Item("scanAllRaw").Value = false;

var scanHeadersCollection = filteringRuleElement.ChildElements.Item("scanHeaders").Collection;
var addElement = scanHeadersCollection.CreateNewElement("add");
addElement.Properties.Item("requestHeader").Value = "User-agent";
scanHeadersCollection.AddElement(addElement);

var appliesToCollection = filteringRuleElement.ChildElements.Item("appliesTo").Collection;
var addElement1 = appliesToCollection.CreateNewElement("add");
addElement1.Properties.Item("fileExtension").Value = ".gif";
appliesToCollection.AddElement(addElement1);
var addElement2 = appliesToCollection.CreateNewElement("add");
addElement2.Properties.Item("fileExtension").Value = ".jpg";
appliesToCollection.AddElement(addElement2);
var addElement3 = appliesToCollection.CreateNewElement("add");
addElement3.Properties.Item("fileExtension").Value = ".png";
appliesToCollection.AddElement(addElement3);

var denyStringsCollection = filteringRuleElement.ChildElements.Item("denyStrings").Collection;
var addElement4 = denyStringsCollection.CreateNewElement("add");
addElement4.Properties.Item("string").Value = "leech-bot";
denyStringsCollection.AddElement(addElement4);

filteringRulesCollection.AddElement(filteringRuleElement);
adminManager.CommitChanges();

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Default Web Site"
Set requestFilteringSection = adminManager.GetAdminSection("system.webServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site")
Set filteringRulesCollection = requestFilteringSection.ChildElements.Item("filteringRules").Collection

Set filteringRuleElement = filteringRulesCollection.CreateNewElement("filteringRule")
filteringRuleElement.Properties.Item("name").Value = "Block Image Leeching"
filteringRuleElement.Properties.Item("scanUrl").Value = False
filteringRuleElement.Properties.Item("scanQueryString").Value = False
filteringRuleElement.Properties.Item("scanAllRaw").Value = False

Set scanHeadersCollection = filteringRuleElement.ChildElements.Item("scanHeaders").Collection
Set addElement = scanHeadersCollection.CreateNewElement("add")
addElement.Properties.Item("requestHeader").Value = "User-agent"
scanHeadersCollection.AddElement(addElement)

Set appliesToCollection = filteringRuleElement.ChildElements.Item("appliesTo").Collection
Set addElement1 = appliesToCollection.CreateNewElement("add")
addElement1.Properties.Item("fileExtension").Value = ".gif"
appliesToCollection.AddElement(addElement1)
Set addElement2 = appliesToCollection.CreateNewElement("add")
addElement2.Properties.Item("fileExtension").Value = ".jpg"
appliesToCollection.AddElement(addElement2)
Set addElement3 = appliesToCollection.CreateNewElement("add")
addElement3.Properties.Item("fileExtension").Value = ".png"
appliesToCollection.AddElement(addElement3)

Set denyStringsCollection = filteringRuleElement.ChildElements.Item("denyStrings").Collection
Set addElement4 = denyStringsCollection.CreateNewElement("add")
addElement4.Properties.Item("string").Value = "leech-bot"
denyStringsCollection.AddElement(addElement4)

filteringRulesCollection.AddElement(filteringRuleElement)
adminManager.CommitChanges()

次の方法で共有

要求のフィルタリング規則の <filteringRule>

概要

互換性

段取り

Windows Server 2012 または Windows Server 2012 R2

Windows 8 または Windows 8.1

Windows Server 2008 または Windows Server 2008 R2

Windows Vista または Windows 7

操作方法

要求のフィルタリング規則を追加する方法

構成

属性

子要素

構成サンプル

サンプルコード

AppCmd.exe

PowerShell

C#

VB.NET

JavaScript

VBScript

フィードバック

その他のリソース

次の方法で共有

要求のフィルタリング規則の <filteringRule>

概要

互換性

段取り

Windows Server 2012 または Windows Server 2012 R2

Windows 8 または Windows 8.1

Windows Server 2008 または Windows Server 2008 R2

Windows Vista または Windows 7

操作方法

要求のフィルタリング規則を追加する方法

構成

属性

子要素

構成サンプル

サンプル コード

AppCmd.exe

PowerShell

C#

VB.NET

JavaScript

VBScript

フィードバック

その他のリソース

サンプルコード