Memasang WAF pada CloudFront dan ALB

WAF bukan perangkat mandiri; WAF harus dikaitkan dengan sumber daya yang meneruskan permintaan kepadanya. Integrasi yang didukung adalah CloudFront, Penyeimbang Beban Aplikasi (ALB), Gerbang API, AppSync, kumpulan pengguna Cognito, dan App Runner. Tempat Anda memasang WAF menentukan lokasi pemeriksaan dilakukan.

Memasang WAF pada distribusi CloudFront akan memeriksa permintaan di lokasi edge AWS sebelum permintaan tersebut berjalan menuju origin Anda. Hal ini memblokir serangan sedekat mungkin dengan pengguna, mengurangi beban backend, dan berfungsi secara global. Pendekatan ini ideal untuk situs web publik dan pengiriman konten karena penyaringan di edge memberikan manfaat terbesar.

Memasang WAF pada Penyeimbang Beban Aplikasi akan memeriksa permintaan saat permintaan tersebut mencapai penyeimbang beban regional Anda. Pendekatan ini sesuai untuk aplikasi internal, API di balik ALB, atau kondisi ketika lalu lintas tidak melewati CloudFront. ACL web harus menggunakan cakupan REGIONAL di Wilayah ALB.

Ingat bahwa ACL web dapat menggunakan cakupan CLOUDFRONT (global, us-east-1) atau cakupan REGIONAL. Anda tidak dapat memasang ACL web regional ke CloudFront atau ACL web CloudFront ke ALB. Memilih cakupan yang salah merupakan kesalahan penerapan umum yang ditekankan dalam ujian.

Untuk perlindungan maksimal, Anda dapat menempatkan CloudFront di depan ALB dan memasang WAF pada keduanya: ACL web CloudFront untuk penyaringan global di edge dan ACL web regional pada ALB sebagai perlindungan cadangan. Dengan demikian, permintaan yang melewati CloudFront dan langsung mencapai ALB tetap terlindungi.

Jika penyerang dapat menjangkau ALB secara langsung, mereka dapat melewati CloudFront dan WAF-nya. Mitigasi hal ini dengan membatasi grup keamanan ALB pada rentang IP CloudFront atau menggunakan header rahasia khusus yang ditambahkan CloudFront dan diverifikasi oleh ALB atau WAF, sehingga lalu lintas benar-benar dipastikan berasal dari edge.

WAF juga dapat dipasang pada API REST Gerbang API dan API GraphQL AppSync, yang keduanya bersifat regional. Keduanya melindungi backend berbasis API dari injeksi dan penyalahgunaan tanpa memerlukan penyeimbang beban terpisah. Untuk API nirserver, inilah titik penegakan yang alami.

WAF dapat dipasang pada kumpulan pengguna Cognito untuk melindungi titik akhir autentikasi dari pengisian kredensial dan penyalahgunaan pendaftaran yang digerakkan bot. Pendekatan ini cocok dipadukan dengan grup terkelola Account Takeover Prevention. Perlindungan ini mengamankan alur identitas yang sering menjadi sasaran. Pemeriksaan di edge pada CloudFront juga menambahkan latensi yang nyaris tidak berarti dan memblokir serangan lebih awal daripada menunggu ALB regional.

Satu sumber daya dapat dikaitkan dengan hanya satu ACL web pada satu waktu, tetapi satu ACL web dapat melindungi banyak sumber daya. Untuk menerapkan kebijakan yang berbeda, Anda harus membuat ACL web terpisah. Memusatkan aturan bersama dalam grup aturan terkelola atau khusus menjaga konsistensi beberapa ACL web.

Tentukan berdasarkan aliran lalu lintas: konten publik dan global lebih cocok menggunakan CloudFront; aplikasi regional atau internal lebih cocok menggunakan ALB; API nirserver lebih cocok menggunakan Gerbang API atau AppSync. Jika ragu, pasang di edge dan tambahkan perlindungan origin agar penyerang tidak dapat memutarinya.

Perlindungan WAF hanya sebaik penempatannya. Sesuaikan cakupan dengan sumber daya, utamakan pemasangan di edge untuk aplikasi publik, tambahkan WAF ALB sebagai perlindungan cadangan, dan kunci origin ke CloudFront. Pilihan penempatan ini berulang dalam berbagai skenario perlindungan jaringan SCS-C02.

Terapkan pengetahuan tentang pemasangan WAF.

WAF harus dipasang pada sumber daya: CloudFront, ALB, Gerbang API, AppSync, Cognito, atau App Runner. CloudFront melakukan pemeriksaan secara global di edge; ALB dan yang lainnya melakukan pemeriksaan secara regional dan memerlukan ACL web dengan cakupan REGIONAL. Lapiskan WAF pada edge dan ALB, lalu lindungi origin dengan header rahasia atau rentang IP CloudFront agar penyerang tidak dapat melewati penyaringan edge. Satu sumber daya dipetakan ke satu ACL web.