Cara AWS WAF Memeriksa Permintaan

AWS WAF (Web Application Firewall) memeriksa permintaan HTTP dan HTTPS pada lapisan aplikasi (Layer 7), berbeda dengan security groups dan NACLs yang bekerja pada Layer 3 dan 4. WAF dapat membaca URL, header, string kueri, dan isi permintaan untuk memblokir serangan yang tampak seperti lalu lintas jaringan biasa tetapi membawa muatan berbahaya.

WAF menargetkan ancaman web umum seperti SQL injection, skrip lintas situs (XSS), bot buruk, dan banjir pada lapisan aplikasi. Serangan ini menggunakan port resmi 80 dan 443, sehingga firewall pada lapisan yang lebih rendah tidak dapat membedakannya. WAF memeriksa isi permintaan untuk membedakan permintaan yang baik dari yang buruk.

WAF dapat memeriksa banyak bagian permintaan: jalur URI, string kueri, header HTTP, cookie, metode HTTP, dan isi permintaan. Anda memilih komponen yang diperiksa oleh setiap aturan. Misalnya, suatu aturan dapat memindai string kueri untuk mencari kata kunci SQL atau memeriksa header untuk mencari tanda tangan serangan yang telah diketahui.

Aturan menggunakan pernyataan pencocokan seperti pencocokan string, pencocokan regex, batasan ukuran, kumpulan IP, dan pencocokan geografis. Anda juga dapat menerapkan transformasi teks seperti mendekode URL atau mengubah huruf menjadi huruf kecil sebelum pencocokan. Cara ini menggagalkan penyerang yang menyamarkan muatan dengan trik pengodean.

Saat suatu aturan cocok, WAF menjalankan tindakan: allow, block, count, CAPTCHA, atau challenge. Mode Count mencatat kecocokan tanpa memblokirnya, sehingga Anda dapat menguji aturan dengan aman sebelum menerapkannya. Tindakan CAPTCHA dan challenge memverifikasi bahwa klien adalah browser sungguhan untuk menghalangi bot.

WAF mengevaluasi permintaan secara inline dan sinkron sebelum permintaan tersebut mencapai aplikasi Anda, dengan menambahkan latensi minimal. Permintaan yang diblokir tidak pernah menyentuh backend Anda, sehingga aplikasi terlindungi dan bebannya berkurang. Dengan demikian, WAF berperan sebagai penjaga gerbang di tepi tumpukan Anda.

WAF memeriksa isi permintaan hingga batas ukuran default (8 KB untuk banyak integrasi, dan lebih besar untuk integrasi yang lebih baru). Konten yang melampaui batas dapat diizinkan atau diblokir, bergantung pada konfigurasi Anda. Penyerang mungkin mencoba menyembunyikan muatan setelah batas pemeriksaan, jadi batas ini patut disesuaikan.

WAF dapat mengirim catatan terperinci tentang permintaan yang diperiksa ke CloudWatch Logs, bucket S3, atau Kinesis Data Firehose. Catatan tersebut menunjukkan aturan yang cocok dan tindakan yang diambil. Informasi ini penting untuk menyempurnakan aturan, menyelidiki serangan, dan membuktikan kepatuhan saat audit.

Setiap kebijakan WAF memiliki tindakan default yang diterapkan pada permintaan yang tidak cocok dengan aturan mana pun: allow atau block. Sebagian besar aplikasi web publik menggunakan default allow dan memblokir pola buruk tertentu. API yang dikunci ketat dapat menggunakan default block dan hanya mengizinkan permintaan yang telah diketahui baik.

WAF memfilter konten lapisan aplikasi, sedangkan AWS Shield melindungi dari banjir DDoS volumetrik pada Layer 3 dan 4. Keduanya saling melengkapi: Shield menyerap banjir, sedangkan WAF memeriksa permintaan yang berhasil melewatinya. Ujian sering menanyakan alat mana yang menangani jenis serangan tertentu.

WAF tidak berdiri sendiri secara inline; WAF dilampirkan ke sumber daya yang didukung seperti CloudFront, Application Load Balancer, API Gateway, atau AppSync. Sumber daya tersebut meneruskan permintaan ke WAF untuk diperiksa. Pemilihan titik lampiran yang tepat akan dibahas nanti dalam kursus ini.

Uji pemahaman Anda tentang pemeriksaan WAF.

AWS WAF memeriksa permintaan HTTP/HTTPS pada Layer 7, dengan membaca URI, header, string kueri, dan isi permintaan untuk menghentikan SQL injection, XSS, dan bot buruk. Aturan menggunakan pernyataan pencocokan dengan transformasi teks dan menjalankan tindakan allow, block, count, CAPTCHA, atau challenge. Pemeriksaan berlangsung secara inline dengan pencatatan ke CloudWatch, S3, atau Firehose. WAF melengkapi Shield dan dilampirkan ke CloudFront, ALB, API Gateway, atau AppSync.