AWS WAF が解析前テキスト変換と新しいテキスト変換を追加

投稿日: 2026年7月29日

本日、AWS WAF では、クエリ引数を対象とした解析前テキスト変換と、任意のルールステートメントで使用できる 10 個の新しいテキスト変換が追加されました。どちらのテキスト変換も、リクエストコンテンツを正規化し、アプリケーションがリクエストを解釈するのと同じ方法で、AWS WAF がリクエストを検査できるようにするものです。

解析前テキスト変換は、AWS WAF が未処理のクエリ文字列を解析してキーと値のペアを生成する前に、そのクエリ文字列を正規化することで、HTTP パラメータ汚染やパーサーの差異を悪用した回避手法の抜け穴を解消します。URL decode、Combine Duplicate Query Arguments by Comma、Replace Semicolons with Ampersands など、最大 10 個の変換をチェーンさせることができ、さらに 1 つのルールステートメント内で、標準の解析後変換を上に重ねて適用できます。

新しいテキスト変換により、検査前にコンテンツを正規化する方法が増えました。これには、Uppercase、Trim、Remove Whitespace、SHA256 といった業界標準のオプションに加え、Amazon Threat Research Team が開発した、オペレーティングシステムに応じたコマンドラインのデコード関数および JavaScript のデコード関数が含まれます。

各新しいテキスト変換は 10 WCU を消費しますが、標準の AWS WAF 料金に加えて追加費用が発生することはなく、すべての AWS リージョンで利用できます。使用を開始するには、以下のリソースを参照してください。