WAF, Shield e Network Firewall

Proteggere le applicazioni dagli attacchi basati sulla rete richiede più livelli di difesa. AWS offre tre servizi complementari: AWS WAF filtra il traffico HTTP di livello 7 in base a regole che bloccano gli attacchi a livello applicativo. AWS Shield protegge dagli attacchi DDoS (Distributed Denial of Service) ai livelli 3 e 4. AWS Network Firewall è un firewall di rete con stato per l'ispezione e il filtraggio del traffico a livello di VPC. Insieme, questi servizi affrontano vettori di minaccia diversi e vengono in genere implementati congiuntamente per una protezione completa.

AWS WAF filtra le richieste HTTP/HTTPS in base alle regole definite. WAF si integra con CloudFront, ALB, API Gateway, AppSync e Cognito. Le regole possono eseguire il matching su: set di indirizzi IP (blocco o autorizzazione di IP specifici), geo-match (blocco delle richieste provenienti da determinati Paesi), regole basate sulla frequenza (blocco degli IP che superano una determinata frequenza di richieste, per proteggersi dai flood), gruppi di regole gestiti (regole predefinite per i 10 principali rischi OWASP, AWS Threat Intel e Bot Control) e regole personalizzate (matching su qualsiasi componente HTTP). Gli ACL WAF (Web ACL) contengono le regole e si applicano a una o più risorse.

I gruppi di regole gestiti di AWS sono set di regole WAF predefiniti e gestiti da AWS, che proteggono dalle minacce comuni senza richiedere la scrittura di singole regole. Gruppi principali: AWSManagedRulesCommonRuleSet — protegge dai 10 principali rischi OWASP, tra cui SQL injection, XSS, RFI e LFI. AWSManagedRulesKnownBadInputsRuleSet — blocca pattern di input dannosi noti. AWSManagedRulesAmazonIpReputationList — blocca gli IP con una cattiva reputazione, ad esempio botnet o sistemi compromessi. AWSManagedRulesBotControlRuleSet — rileva e blocca bot di scraping e browser automatizzati. La maggior parte delle implementazioni WAF inizia con questi gruppi gestiti, prima di aggiungere regole personalizzate.

Le regole basate sulla frequenza in AWS WAF bloccano automaticamente gli indirizzi IP che superano una soglia configurabile di richieste in una finestra di 5 minuti. Questa protezione contrasta: attacchi HTTP flood (che sovraccaricano i server con le richieste), attacchi brute force (con numerosi tentativi di accesso) e abusi delle API (scraping o enumerazione). È possibile aggregare per IP, per IP e percorso della richiesta (limitando la frequenza di un endpoint specifico come /login) o in base a intestazioni personalizzate. Gli IP bloccati vengono sbloccati automaticamente quando la loro frequenza scende sotto la soglia: non è necessario alcun intervento manuale.

AWS Shield Standard è una protezione DDoS automatica inclusa per tutti i clienti AWS senza costi aggiuntivi. Protegge dagli attacchi DDoS più comuni ai livelli 3 (rete) e 4 (trasporto), inclusi SYN flood, UDP flood e attacchi di riflessione. AWS Shield Advanced offre una protezione avanzata dagli attacchi ai livelli 3, 4 e 7 su EC2, ALB, CloudFront, Global Accelerator e Route 53. Shield Advanced include: il supporto dell'AWS DDoS Response Team (DRT), la protezione dai costi (i costi di scaling correlati agli attacchi DDoS vengono rimborsati), metriche in tempo reale e analisi forensi avanzate degli attacchi. Shield Advanced costa 3.000 USD al mese, oltre a una tariffa per il trasferimento dei dati.

AWS Network Firewall è un servizio gestito di firewall di rete con stato, implementato nel VPC per ispezionare e filtrare il traffico. A differenza dei Security Group, con stato e a livello di risorsa, e degli NACL, senza stato e a livello di subnet, Network Firewall offre: ispezione approfondita dei pacchetti (DPI), tracciamento delle connessioni con stato, filtraggio dei domini (blocco in base al nome o al pattern del dominio), regole IPS (Intrusion Prevention System) che utilizzano un formato compatibile con Suricata e filtraggio del traffico in uscita (controllo delle destinazioni Internet che le istanze EC2 possono contattare). Implementi Network Firewall in una subnet firewall dedicata in ogni AZ.

Network Firewall utilizza i gruppi di regole per definire la logica di filtraggio. I gruppi di regole senza stato elaborano i pacchetti senza tenere traccia delle connessioni, in modo simile agli NACL ma con maggiore flessibilità. I gruppi di regole con stato tengono traccia dello stato delle connessioni TCP e ispezionano sessioni HTTP/TLS complete. È possibile scrivere regole in tre modi: regole a 5 tuple (IP di origine, IP di destinazione, protocollo, porta di origine e porta di destinazione), regole con elenco di domini (autorizzazione o negazione in base al FQDN) e regole IPS compatibili con Suricata (le più potenti, con matching dei pattern e ispezione del protocollo). AWS fornisce gruppi di regole gestiti per le minacce comuni.

I tre servizi rispondono a casi d'uso diversi e sono complementari, non alternativi: WAF — ispezione HTTP di livello 7, blocco degli attacchi applicativi, come SQLi e XSS, limitazione della frequenza e controllo dei bot. Viene implementato su CloudFront o ALB. Shield — mitigazione degli attacchi DDoS e protezione dell'infrastruttura dagli attacchi volumetrici. Shield Standard è sempre attivo; Advanced aggiunge il supporto del team. Network Firewall — controllo del traffico VPC ai livelli 3-7, ispezione con stato, filtraggio dei domini e IPS/IDS. Viene implementato all'interno delle subnet del VPC. Utilizzi tutti e tre insieme: Network Firewall controlla il traffico a livello di VPC, WAF filtra le richieste dell'applicazione e Shield mitiga gli attacchi DDoS.

WAF può registrare tutte le richieste campionate, una su cinque, oppure tutte le richieste in CloudWatch Logs, S3 o Kinesis Data Firehose. I log includono tutte le intestazioni della richiesta, l'indirizzo IP, il Paese, le regole che hanno eseguito il matching e l'azione intrapresa (ALLOW/BLOCK/COUNT). Utilizzi i log di WAF per: indagare sugli attacchi, verificando esattamente quali richieste sono state bloccate; ottimizzare le regole, identificando i falsi positivi, cioè le richieste legittime bloccate, e aggiungendo eccezioni; rilevare nuove minacce, poiché i pattern nelle richieste bloccate possono rivelare nuovi vettori di attacco. Attivi la modalità COUNT per le nuove regole prima di passare a BLOCK, così da verificare che non blocchino il traffico legittimo.

Per distribuire correttamente AWS WAF è necessario capire dove collegarlo all'interno dell'architettura. Per le applicazioni esposte a Internet, colleghi WAF a CloudFront, in modo che l'ispezione avvenga all'edge prima che il traffico raggiunga l'origine: in questo modo gli attacchi vengono bloccati prima di consumare la larghezza di banda dell'origine. Per le API interne o quando CloudFront non viene utilizzato, colleghi WAF all'ALB. Per le API esposte tramite API Gateway, WAF può essere collegato a livello di API Gateway. Può collegare WAF contemporaneamente a più risorse, ad esempio a una distribuzione CloudFront E all'ALB sottostante, per applicare una difesa in profondità, anche se in questo modo i costi di ispezione raddoppiano.

AWS Firewall Manager centralizza WAF, Shield Advanced, Network Firewall e le policy dei gruppi di sicurezza in tutti gli account di un'AWS Organization. Definisca le regole WAF una sola volta in Firewall Manager e queste verranno applicate automaticamente a tutti gli ALB, alle distribuzioni CloudFront e agli API Gateway presenti negli account membri, comprese le risorse create successivamente. Se un account membro distribuisce un nuovo ALB, Firewall Manager associa automaticamente la WAF Web ACL. In questo modo viene garantita un'applicazione coerente delle policy di sicurezza nell'organizzazione, senza fare affidamento sui singoli team per configurare correttamente WAF.

Verifichi la Sua comprensione dei concetti di AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione ha imparato che: AWS WAF filtra il traffico HTTP di livello 7 per bloccare SQL injection e XSS, identificare i bot e applicare il rate limiting agli IP che generano abusi; Shield Standard fornisce automaticamente protezione DDoS di livello 3/4, mentre Shield Advanced aggiunge il supporto del team di risposta e la protezione dai costi; inoltre, Network Firewall fornisce l'ispezione stateful del traffico a livello di VPC, con filtraggio per dominio e regole IPS. Firewall Manager applica le policy a tutti gli account di un'Organization. Congratulazioni per aver completato la sezione sull'architettura di sicurezza!