AWS WAF अनुरोधों का निरीक्षण कैसे करता है

AWS WAF (वेब एप्लिकेशन फ़ायरवॉल), सुरक्षा समूहों और NACLs के विपरीत, जो परत 3 और 4 पर काम करते हैं, एप्लिकेशन परत (परत 7) पर HTTP और HTTPS अनुरोधों का निरीक्षण करता है। यह URL, हेडर, क्वेरी स्ट्रिंग और अनुरोध के मुख्य भाग को पढ़कर उन हमलों को रोक सकता है जो सामान्य नेटवर्क ट्रैफ़िक जैसे दिखते हैं, लेकिन उनमें दुर्भावनापूर्ण डेटा होता है।

WAF सामान्य वेब खतरों, जैसे SQL इंजेक्शन, क्रॉस-साइट स्क्रिप्टिंग (XSS), दुर्भावनापूर्ण बॉट और एप्लिकेशन-परत पर होने वाले बाढ़-हमलों को लक्ष्य बनाता है। ये हमले वैध पोर्ट 80 और 443 के माध्यम से आते हैं, इसलिए निचली परतों के फ़ायरवॉल इनमें अंतर नहीं कर सकते। WAF अच्छे और बुरे अनुरोधों में अंतर करने के लिए उनकी सामग्री की जाँच करता है।

WAF अनुरोध के कई हिस्सों का निरीक्षण कर सकता है: URI पथ, क्वेरी स्ट्रिंग, HTTP हेडर, कुकी, HTTP विधि और मुख्य भाग। प्रत्येक नियम में आप चुनते हैं कि किस घटक की जाँच की जाए। उदाहरण के लिए, कोई नियम SQL के कीवर्ड खोजने के लिए क्वेरी स्ट्रिंग को स्कैन कर सकता है या किसी ज्ञात हमले के हस्ताक्षर के लिए हेडर की जाँच कर सकता है।

नियम स्ट्रिंग मिलान, रेगेक्स मिलान, आकार सीमा, IP सेट और भौगोलिक मिलान जैसे मिलान कथनों का उपयोग करते हैं। मिलान से पहले आप URL-डिकोडिंग या छोटे अक्षरों में बदलने जैसे पाठ-रूपांतरण भी लागू कर सकते हैं। इससे वे हमलावर विफल हो जाते हैं जो एन्कोडिंग की तरकीबों से डेटा को अस्पष्ट बनाते हैं।

जब कोई नियम मेल खाता है, तो WAF एक कार्रवाई करता है: Allow, Block, Count, CAPTCHA या चुनौती। Count मोड मेल को लॉग करता है, लेकिन रोकता नहीं है। इससे आप किसी नियम को लागू करने से पहले सुरक्षित रूप से उसका परीक्षण कर सकते हैं। CAPTCHA और चुनौती वाली कार्रवाइयाँ यह सत्यापित करती हैं कि क्लाइंट वास्तविक ब्राउज़र है, जिससे बॉट हतोत्साहित होते हैं।

WAF आपके एप्लिकेशन तक पहुँचने से पहले अनुरोधों का इनलाइन और समकालिक रूप से मूल्यांकन करता है, जिससे बहुत कम विलंबता जुड़ती है। रोके गए अनुरोध आपके बैकएंड तक कभी नहीं पहुँचते, जिससे एप्लिकेशन की सुरक्षा होती है और भार भी कम होता है। इस कारण WAF आपके स्टैक के किनारे पर एक द्वारपाल की भूमिका निभाता है।

WAF डिफ़ॉल्ट आकार सीमा तक अनुरोध के मुख्य भाग का निरीक्षण करता है (कई एकीकरणों के लिए 8 KB, जबकि नए एकीकरणों के लिए यह सीमा अधिक है)। सीमा से आगे की सामग्री को आपके विन्यास के अनुसार अनुमति दी जा सकती है या रोका जा सकता है। हमलावर निरीक्षण सीमा के बाद डेटा छिपाने का प्रयास कर सकते हैं, इसलिए इस सीमा को उचित रूप से समायोजित करना उपयोगी है।

WAF निरीक्षण किए गए अनुरोधों के विस्तृत लॉग CloudWatch Logs, S3 बकेट या Kinesis Data Firehose को भेज सकता है। लॉग दिखाते हैं कि कौन-सा नियम मेल खाया और कौन-सी कार्रवाई की गई। नियमों को समायोजित करने, हमलों की जाँच करने और लेखा-परीक्षा के दौरान अनुपालन सिद्ध करने के लिए यह आवश्यक है।

प्रत्येक WAF नीति में उन अनुरोधों पर लागू होने वाली एक डिफ़ॉल्ट कार्रवाई होती है, जो किसी नियम से मेल नहीं खाते: अनुमति देना या रोकना। अधिकांश सार्वजनिक वेब एप्लिकेशन डिफ़ॉल्ट रूप से अनुमति देते हैं और विशिष्ट बुरे पैटर्न को रोकते हैं। कड़ाई से नियंत्रित API डिफ़ॉल्ट रूप से रोक सकते हैं और केवल ज्ञात-सुरक्षित अनुरोधों को अनुमति दे सकते हैं।

WAF एप्लिकेशन-परत की सामग्री को फ़िल्टर करता है, जबकि AWS Shield परत 3 और 4 पर होने वाली वॉल्यूम-आधारित DDoS बाढ़ से सुरक्षा करता है। दोनों एक-दूसरे के पूरक हैं: Shield बाढ़ को संभालता है और WAF उन अनुरोधों का निरीक्षण करता है जो उससे होकर निकलते हैं। परीक्षा में अक्सर पूछा जाता है कि कौन-सा उपकरण किस प्रकार के हमले को संबोधित करता है।

WAF अपने आप इनलाइन नहीं बैठता; यह CloudFront, Application Load Balancer, API Gateway या AppSync जैसे समर्थित संसाधन से जुड़ता है। संसाधन अनुरोधों को निरीक्षण के लिए WAF को भेजता है। सही संलग्नक-बिंदु चुनने के बारे में इस पाठ्यक्रम में आगे बताया गया है।

AWS WAF परत 7 पर HTTP/HTTPS अनुरोधों का निरीक्षण करता है और SQL इंजेक्शन, XSS तथा दुर्भावनापूर्ण बॉट को रोकने के लिए URI, हेडर, क्वेरी स्ट्रिंग और मुख्य भाग पढ़ता है। नियम पाठ-रूपांतरणों के साथ मिलान कथनों का उपयोग करते हैं और Allow, Block, Count, CAPTCHA या चुनौती जैसी कार्रवाइयाँ करते हैं। निरीक्षण इनलाइन होता है और लॉग CloudWatch, S3 या Firehose में भेजे जा सकते हैं। WAF, Shield का पूरक है और CloudFront, ALB, API Gateway या AppSync से जुड़ता है।