Asociación de WAF a CloudFront y ALB

WAF no es un dispositivo independiente; debe estar asociado a un recurso que le reenvíe las solicitudes. Las integraciones compatibles son CloudFront, Application Load Balancer (ALB), API Gateway, AppSync, grupos de usuarios de Cognito y App Runner. El lugar donde asocie WAF determina dónde se realiza la inspección.

Asociar WAF a una distribución de CloudFront permite inspeccionar las solicitudes en las ubicaciones de edge de AWS antes de que lleguen a su origen. Esto bloquea los ataques lo más cerca posible del usuario, reduce la carga del backend y funciona de forma global. Es ideal para sitios web públicos y para la entrega de contenido, donde el filtrado en el edge aporta el mayor valor.

Asociar WAF a un Application Load Balancer permite inspeccionar las solicitudes cuando llegan a su balanceador de carga regional. Esto resulta adecuado para aplicaciones internas, API detrás de un ALB o casos en los que el tráfico no pasa por CloudFront. La ACL web debe utilizar el alcance REGIONAL en la región del ALB.

Recuerde que una ACL web puede tener alcance CLOUDFRONT (global, us-east-1) o alcance REGIONAL. No puede asociar una ACL web regional a CloudFront ni una ACL web de CloudFront a un ALB. Elegir el alcance incorrecto es un error de implementación frecuente que se destaca en el examen.

Para obtener la máxima protección, puede colocar CloudFront delante de un ALB y asociar WAF a ambos: una ACL web de CloudFront para el filtrado global en el edge y una ACL web regional en el ALB como respaldo. Esto protege frente a las solicitudes que evitan CloudFront y llegan directamente al ALB.

Si los atacantes pueden llegar directamente a su ALB, evitan CloudFront y su WAF. Para mitigar esto, restrinja el grupo de seguridad del ALB a los rangos de IP de CloudFront o utilice un encabezado secreto personalizado que CloudFront añada y que el ALB o WAF verifique, asegurándose de que el tráfico haya pasado realmente por el edge.

WAF también se asocia a las API REST de API Gateway y a las API GraphQL de AppSync, ambas regionales. Esto protege los backends basados en API frente a inyecciones y abusos sin necesidad de un balanceador de carga independiente. En las API sin servidor, este es el punto de aplicación natural.

WAF puede asociarse a los grupos de usuarios de Cognito para defender los endpoints de autenticación frente al credential stuffing y al abuso de registros automatizados por bots, en combinación con el grupo administrado Account Takeover Prevention. Esto protege los flujos de identidad, que suelen ser objetivos frecuentes. La inspección en el edge mediante CloudFront también añade una latencia insignificante y bloquea los ataques antes que esperar a que lleguen a un ALB regional.

Un recurso puede estar asociado a una sola ACL web a la vez, pero una ACL web puede proteger muchos recursos. Para aplicar políticas diferentes, debe crear ACL web independientes. Centralizar las reglas compartidas en grupos de reglas administrados o personalizados mantiene la coherencia entre varias ACL web.

Decida según el flujo del tráfico: el contenido público y global favorece CloudFront; las aplicaciones regionales o internas favorecen ALB; las API sin servidor favorecen API Gateway o AppSync. En caso de duda, asocie WAF en el edge y añada protección del origen para que los atacantes no puedan rodearla.

La protección de WAF solo es tan eficaz como su ubicación. Haga coincidir el alcance con el recurso, prefiera la asociación en el edge para las aplicaciones públicas, añada WAF en el ALB como respaldo y bloquee el origen para que solo acepte tráfico de CloudFront. Estas decisiones de ubicación aparecen repetidamente en los escenarios de protección de redes del examen SCS-C02.

Aplique los conocimientos sobre la asociación de WAF.

WAF debe estar asociado a un recurso: CloudFront, ALB, API Gateway, AppSync, Cognito o App Runner. CloudFront inspecciona globalmente en el edge; ALB y el resto inspeccionan de forma regional y requieren una ACL web con alcance REGIONAL. Coloque WAF tanto en el edge como en el ALB, y proteja el origen con un encabezado secreto o con rangos de IP de CloudFront para que los atacantes no puedan eludir el filtrado del edge. Un recurso se asocia a una sola ACL web.