WAF:n liittäminen CloudFrontiin ja ALB:hen

WAF ei ole itsenäinen laite, vaan se on liitettävä resurssiin, joka välittää pyynnöt sille. Tuettuja integraatioita ovat CloudFront, Application Load Balancer (ALB), API Gateway, AppSync, Cognito user pools ja App Runner. WAF:n liittämispaikka määrittää, missä tarkastus tehdään.

Kun WAF liitetään CloudFront-jakeluun, pyynnöt tarkastetaan AWS:n reunasijainneissa ennen kuin ne kulkevat origin-palvelimellesi. Tämä estää hyökkäykset mahdollisimman lähellä käyttäjää, vähentää taustajärjestelmän kuormaa ja toimii maailmanlaajuisesti. Ratkaisu sopii erinomaisesti julkisille verkkosivustoille ja sisällönjakeluun, jossa reunasuodatuksesta on eniten hyötyä.

Kun WAF liitetään Application Load Balanceriin, pyynnöt tarkastetaan niiden saapuessa alueelliselle load balancerillesi. Tämä sopii sisäisille sovelluksille, ALB:n takana oleville rajapinnoille tai tilanteisiin, joissa liikenne ei kulje CloudFrontin kautta. Web ACL:n on käytettävä REGIONAL-scopea ALB:n alueella.

Muistutuksena: web ACL:n scope on joko CLOUDFRONT-scope (maailmanlaajuinen, us-east-1) tai REGIONAL-scope. Regional-web ACL:ää ei voi liittää CloudFrontiin eikä CloudFront-web ACL:ää ALB:hen. Väärän scopen valitseminen on yleinen käyttöönottovirhe, jota kokeessa korostetaan.

Parhaan suojauksen saavuttamiseksi voit sijoittaa CloudFrontin ALB:n eteen ja liittää WAF:n molempiin: CloudFrontin web ACL:n maailmanlaajuista reunasuodatusta varten ja alueellisen web ACL:n ALB:hen varmistukseksi. Näin suojaat myös pyynnöiltä, jotka ohittavat CloudFrontin ja saavuttavat ALB:n suoraan.

Jos hyökkääjät voivat saavuttaa ALB:n suoraan, he ohittavat CloudFrontin ja sen WAF:n. Voit estää tämän rajoittamalla ALB:n security groupin CloudFrontin IP-alueisiin tai käyttämällä mukautettua salaista otsaketta, jonka CloudFront lisää ja jonka ALB tai WAF tarkistaa. Näin varmistetaan, että liikenne on todella tullut reunan kautta.

WAF:n voi liittää myös API Gatewayn REST-rajapintoihin ja AppSyncin GraphQL-rajapintoihin, jotka molemmat ovat alueellisia. Tämä suojaa rajapintapohjaisia taustajärjestelmiä injektioilta ja väärinkäytöltä ilman erillistä load balanceria. Serverless-rajapinnoille tämä on luonteva valvontapiste.

WAF:n voi liittää Cognito user poolseihin suojaamaan todennuksen päätepisteitä tunnusten täyttöhyökkäyksiltä ja bottien tekemältä rekisteröitymisen väärinkäytöltä. Tämä toimii hyvin yhdessä Account Takeover Prevention -hallinnoidun ryhmän kanssa. Näin suojaat usein kohteena olevat identiteettivirrat. CloudFrontin reunatarkastus lisää myös vain vähän viivettä ja estää hyökkäykset aikaisemmin kuin alueellista ALB:tä käytettäessä.

Resurssiin voi olla kerrallaan liitettynä vain yksi web ACL, mutta yksi web ACL voi suojata useita resursseja. Jos tarvitset erilaisia käytäntöjä, luo erilliset web ACL:t. Yhteisten sääntöjen keskittäminen hallinnoituihin tai mukautettuihin sääntöryhmiin pitää useat web ACL:t yhdenmukaisina.

Tee päätös liikennevirran perusteella: julkinen, maailmanlaajuinen sisältö suosii CloudFrontia; alueelliset tai sisäiset sovellukset suosivat ALB:tä; serverless-rajapinnat suosivat API Gatewayta tai AppSynciä. Jos olet epävarma, liitä WAF reunaan ja lisää origin-suojaus, jotta hyökkääjät eivät voi kiertää sitä.

WAF-suojaus on vain niin hyvä kuin sen sijoittelu. Sovita scope resurssiin, suosi reunaliitäntää julkisille sovelluksille, lisää ALB:n WAF varmistukseksi ja rajoita origin CloudFrontiin. Nämä sijoittelua koskevat valinnat toistuvat SCS-C02-kokeen verkkosuojausskenaarioissa.

WAF on liitettävä resurssiin: CloudFrontiin, ALB:hen, API Gatewayhin, AppSynciin, Cognitoon tai App Runneriin. CloudFront tarkastaa liikenteen maailmanlaajuisesti reunalla; ALB ja muut palvelut tarkastavat liikenteen alueellisesti ja edellyttävät REGIONAL-scopea käyttävää web ACL:ää. Sijoita WAF sekä reunaan että ALB:hen ja suojaa origin salaisella otsakkeella tai CloudFrontin IP-alueilla, jotta hyökkääjät eivät voi ohittaa reunasuodatusta. Yksi resurssi voidaan yhdistää yhteen web ACL:ään.