Wie AWS WAF Anfragen prüft

AWS WAF (Web Application Firewall) untersucht HTTP- und HTTPS-Anfragen auf der Anwendungsschicht (Layer 7). Damit unterscheidet sich WAF von Security Groups und NACLs, die auf Layer 3 und 4 arbeiten. WAF kann URLs, Header, Query-Strings und Request-Bodies auslesen, um Angriffe zu blockieren, die wie normaler Netzwerkverkehr aussehen, aber schädliche Payloads enthalten.

WAF richtet sich gegen häufige Webbedrohungen wie SQL-Injection, Cross-Site-Scripting (XSS), bösartige Bots und Flooding auf der Anwendungsschicht. Diese Angriffe verwenden die legitimen Ports 80 und 443, sodass Firewalls auf niedrigeren Schichten sie nicht unterscheiden können. WAF untersucht den Inhalt der Anfrage, um legitime von schädlichen Anfragen zu unterscheiden.

WAF kann viele Bestandteile einer Anfrage untersuchen: den URI-Pfad, Query-String, HTTP-Header, Cookies, die HTTP-Methode und den Body. Sie wählen aus, welche Komponente jede Regel untersucht. Eine Regel kann beispielsweise den Query-String nach SQL-Schlüsselwörtern durchsuchen oder einen Header auf eine bekannte Angriffssignatur prüfen.

Regeln verwenden Anweisungen zur Übereinstimmungsprüfung, etwa String-Match, Regex-Match, Größenbeschränkung, IP-Set und Geo-Match. Vor der Prüfung können Sie außerdem Texttransformationen wie URL-Dekodierung oder die Umwandlung in Kleinbuchstaben anwenden. Dadurch lassen sich Versuche abwehren, Payloads durch Verschleierung mittels Kodierung zu verbergen.

Wenn eine Regel übereinstimmt, führt WAF eine Aktion aus: zulassen, blockieren, zählen, CAPTCHA oder Challenge. Im Modus Count werden Übereinstimmungen protokolliert, ohne sie zu blockieren. So können Sie eine Regel sicher testen, bevor Sie sie durchsetzen. CAPTCHA- und Challenge-Aktionen überprüfen, ob es sich beim Client um einen echten Browser handelt, und halten Bots ab.

WAF wertet Anfragen inline und synchron aus, bevor sie Ihre Anwendung erreichen, und verursacht dabei nur minimale Latenz. Blockierte Anfragen erreichen Ihr Backend nie. Das schützt die Anwendung und reduziert gleichzeitig die Last. Dadurch fungiert WAF als Gatekeeper am Rand Ihres Stacks.

WAF untersucht den Request-Body bis zu einer standardmäßigen Größenbegrenzung (bei vielen Integrationen 8 KB, bei neueren Integrationen mehr). Inhalte, die über diese Grenze hinausgehen, können je nach Konfiguration zugelassen oder blockiert werden. Angreifer versuchen möglicherweise, Payloads hinter dem Untersuchungslimit zu verbergen. Daher sollten Sie dieses Limit sorgfältig anpassen.

WAF kann detaillierte Logs der untersuchten Anfragen an CloudWatch Logs, einen S3-Bucket oder Kinesis Data Firehose senden. Die Logs zeigen, welche Regel übereinstimmte und welche Aktion ausgeführt wurde. Das ist für die Anpassung von Regeln, die Untersuchung von Angriffen und den Nachweis der Compliance während eines Audits unerlässlich.

Jede WAF-Richtlinie verfügt über eine Standardaktion, die auf Anfragen angewendet wird, auf die keine Regel zutrifft: zulassen oder blockieren. Die meisten öffentlichen Webanwendungen verwenden standardmäßig Allow und blockieren bestimmte schädliche Muster. Abgesicherte APIs verwenden möglicherweise standardmäßig Block und lassen nur bekannte, legitime Anfragen zu.

WAF filtert Inhalte auf der Anwendungsschicht, während AWS Shield vor volumetrischen DDoS-Floods auf Layer 3 und 4 schützt. Beide ergänzen sich: Shield fängt die Flut ab, WAF untersucht die Anfragen, die durchgelassen werden. In der Prüfung wird häufig gefragt, welches Tool welche Art von Angriff abwehrt.

WAF arbeitet nicht eigenständig inline, sondern wird an eine unterstützte Ressource wie CloudFront, einen Application Load Balancer, API Gateway oder AppSync angehängt. Die Ressource leitet Anfragen zur Untersuchung an WAF weiter. Die Auswahl des richtigen Anbindungspunkts wird später in diesem Kurs behandelt.

Testen Sie Ihr Verständnis der WAF-Untersuchung.

AWS WAF untersucht HTTP-/HTTPS-Anfragen auf Layer 7 und liest URIs, Header, Query-Strings und Bodies aus, um SQL-Injection, XSS und bösartige Bots zu stoppen. Regeln verwenden Übereinstimmungsanweisungen mit Texttransformationen und führen die Aktionen Zulassen, Blockieren, Count, CAPTCHA oder Challenge aus. Die Untersuchung erfolgt inline, mit Protokollierung in CloudWatch, S3 oder Firehose. WAF ergänzt Shield und wird an CloudFront, ALB, API Gateway oder AppSync angehängt.