WAF, Shield et Network Firewall

La protection de vos applications contre les attaques réseau nécessite plusieurs couches de défense. AWS fournit trois services complémentaires : AWS WAF filtre le trafic HTTP de la couche 7 selon des règles afin de bloquer les attaques au niveau applicatif. AWS Shield protège contre les attaques DDoS (déni de service distribué) aux couches 3 et 4. AWS Network Firewall est un pare-feu réseau à état pour l'inspection et le filtrage du trafic au niveau du VPC. Ensemble, ces services répondent à différents vecteurs de menace et sont généralement déployés conjointement pour assurer une protection complète.

AWS WAF filtre les requêtes HTTP/HTTPS selon les règles que vous définissez. WAF s'intègre à CloudFront, ALB, API Gateway, AppSync et Cognito. Les règles peuvent porter sur : des ensembles d'adresses IP (bloquer ou autoriser certaines adresses IP), une correspondance géographique (bloquer les requêtes provenant de certains pays), des règles fondées sur le débit (bloquer les IP dépassant un débit de requêtes — protection contre les inondations), des groupes de règles gérés (règles prédéfinies pour les 10 principales menaces OWASP, AWS Threat Intel et Bot Control) et des règles personnalisées (correspondance sur n'importe quel composant HTTP). Les ACL WAF (Web ACL) contiennent des règles et s'appliquent à une ou plusieurs ressources.

Les groupes de règles gérés AWS sont des ensembles de règles WAF prédéfinis et maintenus par AWS, qui protègent contre les menaces courantes sans vous obliger à écrire des règles individuelles. Principaux groupes : AWSManagedRulesCommonRuleSet — protège contre les 10 principales menaces OWASP (injection SQL, XSS, RFI, LFI). AWSManagedRulesKnownBadInputsRuleSet — bloque les schémas d'entrées malveillantes connus. AWSManagedRulesAmazonIpReputationList — bloque les IP ayant une mauvaise réputation (réseaux de zombies, machines compromises). AWSManagedRulesBotControlRuleSet — détecte et bloque les robots d'aspiration et les navigateurs automatisés. La plupart des déploiements WAF commencent par ces groupes gérés avant l'ajout de règles personnalisées.

Les règles fondées sur le débit d'AWS WAF bloquent automatiquement les adresses IP qui dépassent un seuil configurable de requêtes sur une fenêtre de 5 minutes. Cela protège contre : les attaques par inondation HTTP (surcharge de vos serveurs avec des requêtes), les attaques par force brute (nombreuses tentatives de connexion) et les abus d'API (aspiration ou énumération). Vous pouvez agréger par IP, par IP et chemin de requête (limiter le débit d'un point de terminaison précis comme /login) ou par en-têtes personnalisés. Les IP bloquées sont automatiquement débloquées lorsque leur débit repasse sous le seuil — aucune intervention manuelle n'est nécessaire.

AWS Shield Standard est une protection DDoS automatique incluse pour tous les clients AWS sans coût supplémentaire. Elle protège contre les attaques DDoS les plus courantes des couches 3 (réseau) et 4 (transport) — inondations SYN, inondations UDP et attaques par réflexion. AWS Shield Advanced fournit une protection renforcée contre les attaques des couches 3, 4 et 7 sur EC2, ALB, CloudFront, Global Accelerator et Route 53. Shield Advanced comprend : l'assistance de l'équipe AWS de réponse aux attaques DDoS (DRT), la protection contre les coûts (les frais de mise à l'échelle liés aux attaques DDoS sont remboursés), des métriques en temps réel et l'analyse avancée des attaques. Shield Advanced coûte 3 000 $ par mois, auxquels s'ajoutent des frais de transfert de données.

AWS Network Firewall est un service de pare-feu réseau géré et à état, déployé dans votre VPC pour inspecter et filtrer le trafic. Contrairement aux groupes de sécurité (à état, au niveau des ressources) et aux NACL (sans état, au niveau des sous-réseaux), Network Firewall fournit : une inspection approfondie des paquets (DPI), un suivi des connexions avec état, un filtrage des domaines (blocage par nom de domaine ou selon un schéma), des règles IPS (système de prévention des intrusions) utilisant un format compatible avec Suricata et un filtrage sortant (contrôle de ce que vos instances EC2 peuvent appeler sur Internet). Déployez Network Firewall dans un sous-réseau de pare-feu dédié de chaque AZ.

Network Firewall utilise des groupes de règles pour définir la logique de filtrage. Les groupes de règles sans état traitent les paquets sans suivre les connexions — comme les NACL, mais avec davantage de souplesse. Les groupes de règles à état suivent l'état des connexions TCP et inspectent les sessions HTTP/TLS complètes. Vous pouvez écrire des règles de trois façons : les règles à 5 tuples (IP source, IP de destination, protocole, port source, port de destination), les règles de liste de domaines (autoriser ou refuser selon le FQDN) et les règles IPS compatibles avec Suricata (les plus puissantes — correspondance de schémas et inspection des protocoles). AWS fournit des groupes de règles gérés pour les menaces courantes.

Les trois services répondent à des cas d'utilisation différents et sont complémentaires, et non interchangeables : WAF — inspection HTTP de la couche 7, blocage des attaques applicatives (SQLi, XSS), limitation du débit et contrôle des robots. Déployé au niveau de CloudFront ou d'ALB. Shield — atténuation des attaques DDoS, protection de l'infrastructure contre les attaques volumétriques. Shield Standard est toujours actif ; Advanced ajoute l'assistance d'une équipe. Network Firewall — contrôle du trafic VPC des couches 3 à 7, inspection avec état, filtrage des domaines et IPS/IDS. Déployé dans les sous-réseaux du VPC. Utilisez les trois ensemble : Network Firewall contrôle le trafic au niveau du VPC, WAF filtre les requêtes applicatives et Shield atténue les attaques DDoS.

WAF peut journaliser toutes les requêtes échantillonnées (1 sur 5) ou toutes les requêtes dans CloudWatch Logs, S3 ou Kinesis Data Firehose. Les journaux incluent l'ensemble des en-têtes de la requête, l'adresse IP, le pays, les règles qui ont correspondu et l'action appliquée (ALLOW/BLOCK/COUNT). Utilisez les journaux WAF pour : enquêter sur les attaques — voir exactement quelles requêtes ont été bloquées ; ajuster les règles — identifier les faux positifs (requêtes légitimes bloquées) et ajouter des exceptions ; détecter de nouvelles menaces — les schémas observés dans les requêtes bloquées peuvent révéler de nouveaux vecteurs d'attaque. Activez le mode COUNT pour les nouvelles règles avant de passer à BLOCK, afin de vérifier qu'elles ne bloquent pas le trafic légitime.

Déployer AWS WAF correctement nécessite de comprendre où l’associer dans votre architecture. Pour les applications accessibles depuis Internet, associez WAF à CloudFront afin que l’inspection ait lieu en périphérie, avant que le trafic n’atteigne votre origine — les attaques sont ainsi bloquées avant de consommer la bande passante de l’origine. Pour les API internes ou lorsque CloudFront n’est pas utilisé, associez WAF à l’ALB. Pour les API exposées via la passerelle API, WAF peut être associé au niveau de la passerelle API. Vous pouvez associer WAF simultanément à plusieurs ressources — une distribution CloudFront ET l’ALB situé derrière elle — afin d’appliquer une défense en profondeur, mais cela double les coûts d’inspection.

AWS Firewall Manager centralise les politiques WAF, Shield Advanced, Network Firewall et des groupes de sécurité dans tous les comptes d’une organisation AWS. Définissez les règles WAF une seule fois dans Firewall Manager : elles s’appliqueront automatiquement à tous les ALB, distributions CloudFront et passerelles API de tous les comptes membres, y compris aux ressources nouvellement créées. Si un compte membre déploie un nouvel ALB, Firewall Manager associe automatiquement l’ACL Web WAF. Cela garantit l’application cohérente des politiques de sécurité dans toute l’organisation, sans dépendre de la configuration correcte de WAF par les différentes équipes.

Dans cette leçon, vous avez appris que : AWS WAF filtre le trafic HTTP de la couche 7 pour bloquer les injections SQL et les XSS, filtrer les robots et limiter le débit des adresses IP abusives ; Shield Standard fournit automatiquement une protection DDoS des couches 3 et 4, tandis que Shield Advanced ajoute l’assistance d’une équipe d’intervention et une protection contre les coûts ; et Network Firewall fournit une inspection avec état du trafic au niveau du VPC, ainsi qu’un filtrage par domaine et des règles IPS. Firewall Manager applique les politiques à tous les comptes d’une organisation. Félicitations, vous avez terminé la section consacrée à l’architecture de sécurité !