규칙, 규칙 그룹 및 웹 ACL

AWS WAF는 보호 기능을 규칙, 규칙 그룹, 웹 ACL의 세 계층으로 구성합니다. 규칙은 하나의 조건과 작업으로 이루어지고, 규칙 그룹은 관련 규칙을 묶으며, 웹 ACL은 리소스에 연결하여 배포할 수 있는 컨테이너로서 모든 요소를 통합합니다.

규칙은 일치 문(예: URI에 대한 문자열 일치)과 작업(허용, 차단, 집계, CAPTCHA)을 결합합니다. 규칙은 AND, OR, NOT 논리를 사용하여 문을 결합할 수도 있으므로, 요청이 신뢰할 수 있는 IP 집합에서 오지 않는 한 이 경로를 차단하는 조건 등을 표현할 수 있습니다.

규칙 그룹은 여러 웹 ACL에 연결할 수 있는 재사용 가능한 규칙 모음입니다. 그룹은 AWS 관리형일 수도 있고, Marketplace에서 공급업체가 판매하는 것일 수도 있으며, 고객 관리형일 수도 있습니다. 재사용하면 개별 규칙을 중복 작성하지 않고 여러 애플리케이션에서 정책을 일관되게 유지할 수 있습니다.

웹 ACL(액세스 제어 목록)은 CloudFront 배포, ALB 또는 API Gateway에 연결하는 최상위 객체입니다. 웹 ACL에는 순서가 지정된 규칙 및 규칙 그룹 목록과 기본 작업이 포함됩니다. 웹 ACL에 연결된 리소스만 실제로 WAF의 보호를 받습니다.

웹 ACL의 규칙은 우선순위 순서에 따라 평가되며, 숫자가 낮은 규칙부터 처리됩니다. 평가를 종료하는 작업(차단 또는 허용)을 수행하는 첫 번째 규칙이 적용됩니다. Count 작업은 평가를 종료하지 않으므로 계속 진행됩니다. 우선순위를 올바르게 설정하는 것이 중요합니다. 앞부분의 광범위한 차단 규칙이 더 구체적인 규칙을 가릴 수 있기 때문입니다.

어떤 규칙도 평가 종료 작업에 도달하지 않으면 웹 ACL은 기본 작업(허용 또는 차단)을 적용합니다. 각 웹 ACL에는 WCU(WAF Capacity Units)로 측정되는 복잡성 예산도 있으며, 기본 최대값은 1,500입니다. 복잡한 규칙과 큰 규칙 그룹은 더 많은 WCU를 사용합니다. 예산을 초과하면 규칙을 단순화하거나 한도 증가를 요청해야 하므로 여러 관리형 그룹을 결합할 때 용량을 계획하십시오.

웹 ACL에는 범위가 있습니다. CLOUDFRONT는 전역 범위이며 us-east-1에서 생성되고, REGIONAL은 특정 리전의 ALB, API Gateway, AppSync에 사용됩니다. 리전 웹 ACL은 CloudFront를 보호할 수 없으므로 처음부터 올바른 범위로 웹 ACL을 생성해야 합니다.

규칙은 나중에 다른 규칙이 검사할 수 있도록 요청에 레이블을 추가할 수 있습니다. 관리형 규칙 그룹이 요청에 봇일 가능성이 높다는 레이블을 지정하면, 사용자 지정 규칙이 해당 요청을 차단할지 또는 챌린지를 적용할지 결정할 수 있습니다. 레이블을 사용하면 탐지 로직을 중복하지 않고 관리형 로직과 사용자 지정 로직이 협력할 수 있습니다.

관리형 규칙 그룹에서는 개별 규칙을 재정의하여 차단 대신 집계하도록 하거나 규칙을 완전히 제외할 수 있습니다. 이를 통해 오탐을 발생시키는 관리형 그룹 전체를 포기하지 않고 조정할 수 있으며, 나머지 보호 기능은 유지됩니다.

AWS는 관리형 규칙 그룹을 버전 관리하므로 업데이트로 동작이 조용히 변경되지 않습니다. 특정 버전을 고정하거나 최신 버전을 따르도록 설정할 수 있습니다. 고객 관리형 규칙 그룹을 사용하면 보안 팀이 정책을 중앙에서 관리하고, 하나의 유지 관리 단위로 여러 애플리케이션 팀과 공유할 수 있습니다.

일반적인 웹 ACL은 IP 허용 목록, 하나 또는 두 개의 AWS 관리형 그룹(핵심 규칙 세트, 알려진 악성 입력), 속도 기반 규칙, 몇 가지 사용자 지정 규칙을 연결하고 마지막에 기본 허용을 설정합니다. 이러한 계층과 우선순위가 상호 작용하는 방식을 이해하는 것은 WAF를 효과적으로 배포하는 데 핵심입니다.

WAF 구조에 대한 이해도를 확인해 보십시오.

WAF는 리소스에 연결하는 웹 ACL 안에 규칙 그룹을 포함하고, 그 안에 규칙을 포함하는 구조입니다. 규칙은 일치 문과 작업을 결합하고, 규칙 그룹은 재사용할 수 있으며 AWS 관리형, Marketplace 제공 또는 사용자 지정 그룹일 수 있습니다. 웹 ACL은 우선순위 순서로 규칙을 평가하고 기본 작업을 적용하며, WCU 제한을 받고 CLOUDFRONT 또는 REGIONAL 범위를 가집니다. 레이블과 규칙별 재정의를 사용하면 관리형 로직과 사용자 지정 로직이 협력할 수 있습니다.