Collegare WAF a CloudFront e ALB

WAF non è un'appliance autonoma: deve essere associato a una risorsa che gli inoltra le richieste. Le integrazioni supportate sono CloudFront, Application Load Balancer (ALB), API Gateway, AppSync, Cognito user pools e App Runner. Il punto a cui si collega WAF determina dove avviene l'ispezione.

Collegando WAF a una distribuzione CloudFront, le richieste vengono ispezionate nelle edge location AWS prima di raggiungere l'origine. In questo modo gli attacchi vengono bloccati il più vicino possibile all'utente, si riduce il carico sul backend e si opera a livello globale. È la soluzione ideale per siti web pubblici e distribuzione di contenuti, dove il filtraggio all'edge offre il massimo valore.

Collegando WAF a un Application Load Balancer, le richieste vengono ispezionate quando raggiungono il load balancer regionale. Questa soluzione è adatta alle applicazioni interne, alle API dietro un ALB o ai casi in cui il traffico non passa attraverso CloudFront. Il web ACL deve usare l'ambito REGIONAL nella regione dell'ALB.

Si ricordi che un web ACL può avere ambito CLOUDFRONT (globale, us-east-1) oppure ambito REGIONAL. Non è possibile associare un web ACL regionale a CloudFront né un web ACL CloudFront a un ALB. La scelta dell'ambito errato è un comune errore di distribuzione evidenziato dall'esame.

Per ottenere la massima protezione, è possibile posizionare CloudFront davanti a un ALB e associare WAF a entrambi: un web ACL CloudFront per il filtraggio globale all'edge e un web ACL regionale sull'ALB come protezione aggiuntiva. In questo modo si protegge l'infrastruttura dalle richieste che aggirano CloudFront e raggiungono direttamente l'ALB.

Se gli attaccanti possono raggiungere direttamente l'ALB, aggirano CloudFront e il relativo WAF. È possibile mitigare il problema limitando il security group dell'ALB agli intervalli IP di CloudFront oppure usando un header segreto personalizzato che CloudFront aggiunge e che l'ALB o WAF verifica, assicurandosi che il traffico provenga realmente dall'edge.

WAF può essere associato anche alle API REST di API Gateway e alle API GraphQL di AppSync, entrambe regionali. In questo modo i backend basati su API sono protetti da injection e abusi senza un load balancer separato. Per le API serverless, questo è il punto di applicazione naturale dei controlli.

WAF può essere associato ai Cognito user pools per difendere gli endpoint di autenticazione dal credential stuffing e dagli abusi nelle registrazioni guidati dai bot, integrandosi bene con il gruppo gestito Account Takeover Prevention. In questo modo si proteggono i flussi di identità, spesso presi di mira. L'ispezione all'edge su CloudFront aggiunge inoltre una latenza trascurabile e blocca gli attacchi prima rispetto all'attesa che raggiungano un ALB regionale.

Una risorsa può essere associata a un solo web ACL alla volta, mentre un web ACL può proteggere molte risorse. Per applicare policy diverse, è necessario creare web ACL separati. Centralizzare le regole condivise in gruppi di regole gestiti o personalizzati mantiene coerenti più web ACL.

La scelta dipende dal flusso del traffico: i contenuti pubblici e globali favoriscono CloudFront; le applicazioni regionali o interne favoriscono ALB; le API serverless favoriscono API Gateway o AppSync. In caso di dubbio, associ WAF all'edge e aggiunga la protezione dell'origine, così gli attaccanti non potranno aggirarla.

La protezione WAF è efficace solo quanto il suo posizionamento. Faccia corrispondere l'ambito alla risorsa, preferisca l'associazione all'edge per le applicazioni pubbliche, aggiunga WAF sull'ALB come protezione aggiuntiva e limiti l'accesso all'origine a CloudFront. Queste scelte di posizionamento ricorrono negli scenari di protezione di rete di SCS-C02.

Applichi le conoscenze sull'associazione di WAF.

WAF deve essere associato a una risorsa: CloudFront, ALB, API Gateway, AppSync, Cognito o App Runner. CloudFront esegue l'ispezione globale all'edge; ALB e gli altri servizi eseguono l'ispezione a livello regionale e richiedono un web ACL con ambito REGIONAL. Posizioni WAF sia all'edge sia sull'ALB e protegga l'origine con un header segreto o con gli intervalli IP di CloudFront, così gli attaccanti non potranno aggirare il filtraggio all'edge. A ogni risorsa corrisponde un solo web ACL.