Comment AWS WAF inspecte les requêtes

AWS WAF (pare-feu d’application Web) inspecte les requêtes HTTP et HTTPS au niveau de la couche application (couche 7), contrairement aux groupes de sécurité et aux NACLs, qui fonctionnent aux couches 3 et 4. Il peut lire les URL, les en-têtes, les chaînes de requête et les corps afin de bloquer des attaques qui ressemblent à du trafic réseau normal, mais qui contiennent des charges malveillantes.

WAF cible les menaces Web courantes telles que les injections SQL, les scripts intersites (XSS), les robots malveillants et les attaques par saturation de la couche application. Ces attaques utilisent les ports légitimes 80 et 443 ; les pare-feu des couches inférieures ne peuvent donc pas les distinguer. WAF examine le contenu des requêtes pour différencier les requêtes légitimes des requêtes malveillantes.

WAF peut inspecter de nombreuses parties d’une requête : le chemin URI, la chaîne de requête, les en-têtes HTTP, les cookies, la méthode HTTP et le corps. Vous choisissez le composant examiné par chaque règle. Par exemple, une règle peut rechercher des mots-clés SQL dans la chaîne de requête ou vérifier la présence d’une signature d’attaque connue dans un en-tête.

Les règles utilisent des instructions de correspondance telles que la comparaison de chaînes, la comparaison par expression régulière, la contrainte de taille, l’ensemble d’adresses IP et la comparaison géographique. Vous pouvez également appliquer des transformations de texte, comme le décodage d’URL ou la conversion en minuscules, avant la comparaison. Cela déjoue les attaquants qui masquent leurs charges utiles à l’aide de techniques d’encodage.

Lorsqu’une règle correspond, WAF exécute une action : autoriser, bloquer, compter, CAPTCHA ou mettre au défi. Le mode comptage journalise les correspondances sans bloquer, ce qui vous permet de tester une règle en toute sécurité avant de l’appliquer. Les actions CAPTCHA et de mise au défi vérifient que le client est un véritable navigateur et dissuadent les robots.

WAF évalue les requêtes en ligne et de manière synchrone avant qu’elles n’atteignent votre application, en ajoutant une latence minimale. Les requêtes bloquées n’atteignent jamais votre serveur principal, ce qui protège l’application tout en réduisant la charge. WAF joue ainsi le rôle de gardien à la périphérie de votre pile.

WAF inspecte le corps de la requête jusqu’à une limite de taille par défaut (8 KB pour de nombreuses intégrations, davantage pour les plus récentes). Le contenu dépassant cette limite peut être autorisé ou bloqué selon votre configuration. Les attaquants peuvent essayer de dissimuler des charges utiles au-delà de la limite d’inspection ; il est donc utile d’ajuster ce paramètre.

WAF peut envoyer des journaux détaillés des requêtes inspectées vers les journaux CloudWatch, un compartiment S3 ou Kinesis Data Firehose. Les journaux indiquent quelle règle a correspondu et quelle action a été exécutée, ce qui est essentiel pour ajuster les règles, enquêter sur les attaques et démontrer la conformité lors d’un audit.

Chaque stratégie WAF possède une action par défaut appliquée aux requêtes qui ne correspondent à aucune règle : autoriser ou bloquer. La plupart des applications Web publiques utilisent autoriser par défaut et bloquent les motifs malveillants précis. Les API verrouillées peuvent utiliser bloquer par défaut et n’autoriser que les requêtes reconnues comme légitimes.

WAF filtre le contenu de la couche application, tandis qu’AWS Shield se défend contre les attaques DDoS volumétriques aux couches 3 et 4. Ils sont complémentaires : Shield absorbe le flot massif de trafic et WAF inspecte les requêtes qui passent. L’examen demande souvent quel outil répond à quel type d’attaque.

WAF ne se place pas seul en ligne ; il s’attache à une ressource prise en charge, comme CloudFront, un Application Load Balancer, API Gateway ou AppSync. La ressource transmet les requêtes à WAF pour inspection. Le choix du bon point d’attachement est abordé plus loin dans ce cours.

Testez votre compréhension de l’inspection WAF.

AWS WAF inspecte les requêtes HTTP/HTTPS à la couche 7. Il lit les URI, les en-têtes, les chaînes de requête et les corps pour bloquer les injections SQL, les XSS et les robots malveillants. Les règles utilisent des instructions de correspondance avec des transformations de texte et exécutent les actions autoriser, bloquer, compter, CAPTCHA ou mettre au défi. L’inspection est effectuée en ligne, avec une journalisation vers CloudWatch, S3 ou Firehose. WAF complète Shield et s’attache à CloudFront, ALB, API Gateway ou AppSync.