AWS WAF가 요청을 검사하는 방법

AWS WAF(Web Application Firewall)는 보안 그룹과 NACLs가 Layer 3 및 4에서 작동하는 것과 달리 애플리케이션 계층(Layer 7)에서 HTTP 및 HTTPS 요청을 검사합니다. URL, 헤더, 쿼리 문자열, 본문을 읽어 일반적인 네트워크 트래픽처럼 보이지만 악성 페이로드를 포함한 공격을 차단할 수 있습니다.

WAF는 SQL 인젝션, 사이트 간 스크립팅(XSS), 악성 봇, 애플리케이션 계층 플러드와 같은 일반적인 웹 위협을 대상으로 합니다. 이러한 공격은 80 및 443과 같은 정상적인 포트를 사용하므로 하위 계층 방화벽으로는 구별할 수 없습니다. WAF는 요청 콘텐츠를 검사하여 정상 요청과 악성 요청을 구분합니다.

WAF는 요청의 여러 부분을 검사할 수 있습니다. URI 경로, 쿼리 문자열, HTTP 헤더, 쿠키, HTTP 메서드, 본문이 그 예입니다. 각 규칙에서 검사할 구성 요소를 선택할 수 있습니다. 예를 들어 규칙이 쿼리 문자열에서 SQL 키워드를 검색하거나 헤더에서 알려진 공격 서명을 확인하도록 설정할 수 있습니다.

규칙은 문자열 일치, 정규식 일치, 크기 제약, IP 집합, 지리적 일치와 같은 일치 문을 사용합니다. 일치시키기 전에 URL 디코딩이나 소문자 변환과 같은 텍스트 변환을 적용할 수도 있습니다. 이를 통해 인코딩 트릭으로 페이로드를 난독화하는 공격자를 효과적으로 막을 수 있습니다.

규칙이 일치하면 WAF는 작업을 수행합니다. 작업에는 허용, 차단, 집계, CAPTCHA, 챌린지가 있습니다. Count 모드는 차단하지 않고 일치 항목을 기록하므로, 규칙을 적용하기 전에 안전하게 시험할 수 있습니다. CAPTCHA 및 챌린지 작업은 클라이언트가 실제 브라우저인지 확인하여 봇을 억제합니다.

WAF는 요청이 애플리케이션에 도달하기 전에 인라인으로 동기식 검사하므로 지연 시간이 거의 추가되지 않습니다. 차단된 요청은 백엔드에 전혀 도달하지 않으므로 애플리케이션을 보호하는 동시에 부하도 줄입니다. 따라서 WAF는 스택의 경계에서 게이트키퍼 역할을 합니다.

WAF는 기본 크기 제한까지 요청 본문을 검사합니다. 많은 통합에서는 8KB가 기본값이며, 최신 통합에서는 더 큰 제한이 적용됩니다. 제한을 초과한 콘텐츠는 구성에 따라 통과시키거나 차단할 수 있습니다. 공격자가 검사 제한을 넘긴 위치에 페이로드를 숨기려 할 수 있으므로 이 제한을 조정할 필요가 있습니다.

WAF는 검사한 요청의 상세 로그를 CloudWatch Logs, S3 버킷 또는 Kinesis Data Firehose로 보낼 수 있습니다. 로그에는 일치한 규칙과 수행된 작업이 표시되므로 규칙 조정, 공격 조사, 감사 중 규정 준수 입증에 필수적입니다.

모든 WAF 정책에는 어떤 규칙과도 일치하지 않는 요청에 적용되는 기본 작업이 있습니다. 기본 작업은 허용 또는 차단입니다. 대부분의 공개 웹 애플리케이션은 기본값을 허용으로 설정하고 특정 악성 패턴을 차단합니다. 엄격하게 제한된 API는 기본값을 차단으로 설정하고 알려진 정상 요청만 허용할 수 있습니다.

WAF는 애플리케이션 계층 콘텐츠를 필터링하고, AWS Shield는 Layer 3 및 4에서 발생하는 대규모 트래픽 DDoS 플러드로부터 방어합니다. 두 서비스는 상호 보완적입니다. Shield가 플러드를 흡수하고, WAF가 통과한 요청을 검사합니다. 시험에서는 어떤 도구가 어떤 유형의 공격을 처리하는지 자주 묻습니다.

WAF는 자체적으로 인라인에 배치되지 않고 CloudFront, Application Load Balancer, API Gateway 또는 AppSync와 같은 지원되는 리소스에 연결됩니다. 리소스가 검사를 위해 요청을 WAF로 전달합니다. 올바른 연결 지점을 선택하는 방법은 이 과정의 뒷부분에서 다룹니다.

WAF 검사에 대한 이해도를 확인해 보십시오.

AWS WAF는 Layer 7에서 HTTP/HTTPS 요청을 검사하며, URI, 헤더, 쿼리 문자열, 본문을 읽어 SQL 인젝션, XSS, 악성 봇을 차단합니다. 규칙은 텍스트 변환과 함께 일치 문을 사용하고 허용, 차단, 집계, CAPTCHA, 챌린지 작업을 수행합니다. 검사는 인라인으로 이루어지며 로그를 CloudWatch, S3 또는 Firehose로 보낼 수 있습니다. WAF는 Shield를 보완하며 CloudFront, ALB, API Gateway 또는 AppSync에 연결됩니다.