Hvordan AWS WAF inspiserer forespørsler

AWS WAF (Web Application Firewall) inspiserer HTTP- og HTTPS-forespørsler på applikasjonslaget (lag 7), i motsetning til sikkerhetsgrupper og NACL-er, som fungerer på lag 3 og 4. Den kan lese URL-er, headere, spørringsstrenger og forespørselskropper for å blokkere angrep som ser ut som normal nettverkstrafikk, men som inneholder skadelige nyttelaster.

WAF retter seg mot vanlige webtrusler som SQL-injection, cross-site scripting (XSS), ondsinnede boter og flomangrep på applikasjonslaget. Disse angrepene bruker de legitime portene 80 og 443, så brannmurer på lavere lag kan ikke skille dem fra normal trafikk. WAF undersøker innholdet i forespørselen for å skille det gode fra det skadelige.

WAF kan inspisere mange deler av en forespørsel: URI-banen, spørringsstrengen, HTTP-headere, informasjonskapsler, HTTP-metoden og forespørselskroppen. De velger hvilken komponent hver regel skal undersøke. En regel kan for eksempel søke etter SQL-nøkkelord i spørringsstrengen eller kontrollere en header for en kjent angrepssignatur.

Regler bruker treffuttrykk som strengtreff, regulært uttrykk-treff, størrelsesbegrensning, IP-sett og geotreff. De kan også bruke teksttransformasjoner, for eksempel URL-dekoding eller konvertering til små bokstaver, før treffet evalueres. Dette motvirker angripere som tilslører nyttelaster med ulike kodingsknep.

Når en regel gir treff, utfører WAF en handling: tillat, blokker, tell, CAPTCHA eller utfordring. Modusen tell logger treff uten å blokkere dem, slik at De kan teste en regel trygt før den håndheves. CAPTCHA- og utfordringshandlinger bekrefter at klienten er en ekte nettleser og motvirker boter.

WAF evaluerer forespørsler inline og synkront før de når applikasjonen, med minimal ekstra forsinkelse. Forespørsler som blokkeres, når aldri backend-systemet. Dette beskytter både applikasjonen og reduserer belastningen. Dermed fungerer WAF som en portvakt ytterst i stakken.

WAF inspiserer forespørselskroppen opp til en standard størrelsesgrense (8 KB for mange integrasjoner, og større for nyere integrasjoner). Innhold som overskrider grensen, kan slippes gjennom eller blokkeres, avhengig av konfigurasjonen. Angripere kan forsøke å skjule nyttelaster etter inspeksjonsgrensen, så dette bør De justere etter behov.

WAF kan sende detaljerte logger over inspiserte forespørsler til CloudWatch Logs, en S3-bøtte eller Kinesis Data Firehose. Loggene viser hvilken regel som ga treff, og hvilken handling som ble utført. Dette er avgjørende for justering av regler, etterforskning av angrep og dokumentasjon av samsvar under en revisjon.

Alle WAF-policyer har en standardhandling for forespørsler som ikke samsvarer med noen regel: tillat eller blokker. De fleste offentlige webapplikasjoner bruker tillat som standard og blokkerer bestemte skadelige mønstre. API-er med streng tilgangskontroll kan bruke blokker som standard og bare tillate kjente, gyldige forespørsler.

WAF filtrerer innhold på applikasjonslaget, mens AWS Shield beskytter mot volumetriske DDoS-flommer på lag 3 og 4. De utfyller hverandre: Shield håndterer flommen, mens WAF inspiserer forespørslene som slipper gjennom. Eksamen spør ofte hvilket verktøy som håndterer hvilken type angrep.

WAF fungerer ikke selvstendig inline. Den kobles til en støttet ressurs, for eksempel CloudFront, en Application Load Balancer, API Gateway eller AppSync. Ressursen videresender forespørsler til WAF for inspeksjon. Valg av riktig tilkoblingspunkt dekkes senere i dette kurset.

AWS WAF inspiserer HTTP-/HTTPS-forespørsler på lag 7 og leser URI-er, headere, spørringsstrenger og forespørselskropper for å stoppe SQL-injection, XSS og ondsinnede boter. Regler bruker treffuttrykk med teksttransformasjoner og utfører handlingene tillat, blokker, tell, CAPTCHA eller utfordring. Inspeksjonen skjer inline, med logging til CloudWatch, S3 eller Firehose. WAF utfyller Shield og kobles til CloudFront, ALB, API Gateway eller AppSync.