Cómo AWS WAF inspecciona las solicitudes

AWS WAF (Web Application Firewall) inspecciona las solicitudes HTTP y HTTPS en la capa de aplicación (capa 7), a diferencia de los grupos de seguridad y las NACL, que funcionan en las capas 3 y 4. Puede leer las URL, los encabezados, las cadenas de consulta y los cuerpos para bloquear ataques que parecen tráfico de red normal, pero que contienen cargas maliciosas.

WAF se dirige a amenazas web comunes, como la inyección SQL, el cross-site scripting (XSS), los bots maliciosos y las inundaciones de la capa de aplicación. Estos ataques utilizan los puertos legítimos 80 y 443, por lo que los firewalls de capas inferiores no pueden distinguirlos. WAF examina el contenido de las solicitudes para diferenciar las legítimas de las maliciosas.

WAF puede inspeccionar muchas partes de una solicitud: la ruta URI, la cadena de consulta, los encabezados HTTP, las cookies, el método HTTP y el cuerpo. Usted elige qué componente examina cada regla. Por ejemplo, una regla puede buscar palabras clave de SQL en la cadena de consulta o comprobar si un encabezado contiene una firma de ataque conocida.

Las reglas utilizan expresiones de coincidencia como coincidencia de cadenas, coincidencia de expresiones regulares, restricción de tamaño, conjunto de IP y coincidencia geográfica. También puede aplicar transformaciones de texto, como descodificar URL o convertir a minúsculas antes de comparar, lo que neutraliza a los atacantes que ofuscan las cargas mediante técnicas de codificación.

Cuando una regla coincide, WAF ejecuta una acción: permitir, bloquear, contar, CAPTCHA o desafío. El modo count registra las coincidencias sin bloquearlas, lo que le permite probar una regla de forma segura antes de aplicarla. Las acciones CAPTCHA y de desafío verifican que el cliente sea un navegador real y disuaden a los bots.

WAF evalúa las solicitudes en línea y de forma síncrona antes de que lleguen a la aplicación, con una latencia mínima. Las solicitudes bloqueadas nunca llegan al backend, lo que protege la aplicación y reduce la carga. Así, WAF actúa como guardián en el perímetro de la pila.

WAF inspecciona el cuerpo de la solicitud hasta un límite de tamaño predeterminado (8 KB para muchas integraciones y un tamaño mayor para las más recientes). El contenido que supera el límite puede permitirse o bloquearse según su configuración. Los atacantes pueden intentar ocultar las cargas más allá del límite de inspección, por lo que conviene ajustar este valor.

WAF puede enviar registros detallados de las solicitudes inspeccionadas a CloudWatch Logs, un bucket de S3 o Kinesis Data Firehose. Los registros muestran qué regla coincidió y qué acción se ejecutó, algo esencial para ajustar las reglas, investigar ataques y demostrar el cumplimiento durante una auditoría.

Toda política de WAF tiene una acción predeterminada que se aplica a las solicitudes que no coinciden con ninguna regla: permitir o bloquear. La mayoría de las aplicaciones web públicas utilizan allow como valor predeterminado y bloquean patrones maliciosos específicos. Las API restringidas pueden utilizar block como valor predeterminado y permitir únicamente solicitudes conocidas como legítimas.

WAF filtra el contenido de la capa de aplicación, mientras que AWS Shield protege contra inundaciones DDoS volumétricas en las capas 3 y 4. Son complementarios: Shield absorbe la inundación y WAF inspecciona las solicitudes que logran atravesarla. El examen suele preguntar qué herramienta aborda cada tipo de ataque.

WAF no se coloca en línea por sí solo; se asocia a un recurso compatible, como CloudFront, un Application Load Balancer, API Gateway o AppSync. El recurso reenvía las solicitudes a WAF para su inspección. La elección del punto de asociación adecuado se cubre más adelante en este curso.

AWS WAF inspecciona solicitudes HTTP/HTTPS en la capa 7; lee URI, encabezados, cadenas de consulta y cuerpos para detener inyecciones SQL, XSS y bots maliciosos. Las reglas utilizan expresiones de coincidencia con transformaciones de texto y ejecutan acciones de permitir, bloquear, count, CAPTCHA o desafío. La inspección se realiza en línea y los registros se envían a CloudWatch, S3 o Firehose. WAF complementa a Shield y se asocia a CloudFront, ALB, API Gateway o AppSync.