كيف يفحص AWS WAF الطلبات

يفحص AWS WAF (Web Application Firewall) طلبات HTTP وHTTPS في طبقة التطبيق (الطبقة 7)، بخلاف security groups وNACLs التي تعمل في الطبقتين 3 و4. ويمكنه قراءة عناوين URL والرؤوس وسلاسل الاستعلامات والهيئات لحظر الهجمات التي تبدو كأنها حركة مرور شبكية عادية، لكنها تحمل حمولات ضارة.

يستهدف WAF تهديدات الويب الشائعة مثل حقن SQL والبرمجة النصية عبر المواقع (XSS) والروبوتات الضارة وعمليات الإغراق في طبقة التطبيق. تمر هذه الهجمات عبر المنفذين الشرعيين 80 و443، لذلك لا تستطيع جدران الحماية في الطبقات الأدنى تمييزها. يفحص WAF محتوى الطلب للتمييز بين الطلبات السليمة والضارة.

يمكن لـWAF فحص أجزاء عديدة من الطلب: مسار URI وسلسلة الاستعلام ورؤوس HTTP وملفات تعريف الارتباط وطريقة HTTP والهيئة. تختار المكوّن الذي تفحصه كل قاعدة. فعلى سبيل المثال، قد تفحص قاعدة سلسلة الاستعلام بحثًا عن كلمات SQL المفتاحية، أو تتحقق من رأس بحثًا عن توقيع هجوم معروف.

تستخدم القواعد عبارات مطابقة مثل مطابقة السلاسل ومطابقة التعبيرات النمطية وقيود الحجم ومجموعة عناوين IP والمطابقة الجغرافية. ويمكنك أيضًا تطبيق تحويلات نصية مثل فك ترميز URL أو تحويل الأحرف إلى lowercase قبل المطابقة، ما يحبط المهاجمين الذين يموّهون الحمولات باستخدام حيل الترميز.

عند مطابقة قاعدة، ينفّذ WAF إجراءً: السماح أو الحظر أو العد أو CAPTCHA أو التحدي. يسجّل وضع العد المطابقات دون حظرها، ما يتيح لك اختبار القاعدة بأمان قبل فرضها. وتتحقق إجراءات CAPTCHA والتحدي من أن العميل متصفح حقيقي، ما يردع الروبوتات.

يقيّم WAF الطلبات مباشرةً وبصورة متزامنة قبل وصولها إلى تطبيقك، مع إضافة زمن استجابة ضئيل. ولا تصل الطلبات المحظورة إلى الواجهة الخلفية مطلقًا، ما يحمي التطبيق ويقلل الحمل عليه. وهذا يجعل WAF حارسًا عند طرف المكدس.

يفحص WAF هيئة الطلب حتى حد حجم افتراضي (8 كيلوبايت في كثير من عمليات التكامل، وحد أكبر في عمليات التكامل الأحدث). ويمكن السماح بتمرير المحتوى الذي يتجاوز الحد أو حظره، حسب إعداداتك. قد يحاول المهاجمون إخفاء الحمولات بعد حد الفحص، لذا يجدر ضبط هذا الحد.

يمكن لـWAF إرسال سجلات مفصلة للطلبات التي فحصها إلى CloudWatch Logs أو حاوية S3 أو Kinesis Data Firehose. توضّح السجلات القاعدة التي طابقت الطلب والإجراء المتخذ، وهو أمر أساسي لضبط القواعد والتحقيق في الهجمات وإثبات الامتثال أثناء التدقيق.

تحتوي كل سياسة WAF على إجراء افتراضي يُطبّق على الطلبات التي لا تطابق أي قاعدة: السماح أو الحظر. تستخدم معظم تطبيقات الويب العامة الإجراء الافتراضي السماح وتحظر أنماطًا ضارة محددة. وقد تستخدم واجهات API المقيدة افتراضيًا الحظر وتسمح بالطلبات المعروفة والسليمة فقط.

يفلتر WAF محتوى طبقة التطبيق، بينما يحمي AWS Shield من هجمات DDoS الحجمية في الطبقتين 3 و4. وهما متكاملان: يمتص Shield الإغراق، ويفحص WAF الطلبات التي تنجح في المرور. وغالبًا ما يسأل الاختبار عن الأداة التي تعالج كل نوع من الهجمات.

لا يعمل WAF مباشرةً بمفرده؛ بل يُربط بمورد مدعوم مثل CloudFront أو Application Load Balancer أو API Gateway أو AppSync. يمرر المورد الطلبات إلى WAF لفحصها. وسنتناول اختيار نقطة الربط المناسبة لاحقًا في هذه الدورة.

اختبر فهمك لفحص WAF.

يفحص AWS WAF طلبات HTTP/HTTPS في الطبقة 7، ويقرأ عناوين URI والرؤوس وسلاسل الاستعلام والهيئات لإيقاف حقن SQL وXSS والروبوتات الضارة. تستخدم القواعد عبارات مطابقة مع تحويلات نصية، وتتخذ إجراءات السماح أو الحظر أو العد أو CAPTCHA أو التحدي. ويجري الفحص مباشرةً مع تسجيل السجلات في CloudWatch أو S3 أو Firehose. ويتكامل WAF مع Shield ويرتبط بـCloudFront أو ALB أو API Gateway أو AppSync.