CloudFront met WAF en Lambda@Edge

Regels op basis van snelheid tellen gedurende een periode van 5 minuten de verzoeken vanaf elk bron-IP-adres. Als een IP-adres de drempel overschrijdt, bijvoorbeeld 2.000 verzoeken per 5 minuten, blokkeert WAF verdere verzoeken vanaf dat IP-adres totdat de snelheid daalt. Regels op basis van snelheid beschermen tegen brute-forceaanvallen, het invullen van gestolen inloggegevens en eenvoudige DDoS-scrapingaanvallen.

AWS WAF Bot Control is een beheerde regelgroep die verkeer indeelt in categorieën: geverifieerde bots (Googlebot, Bingbot), scrapers, controlegereedschappen en menselijk verkeer. Je kunt per categorie verschillende acties configureren: zoekmachinebots toestaan, onbekende bots met CAPTCHA uitdagen en schadelijke scrapers blokkeren.

WAF-Web ACL's hebben het bereik CLOUDFRONT, wereldwijd en voor gebruik met CloudFront, of REGIONAL, voor gebruik met ALB, API Gateway, AppSync of Cognito User Pools in een specifieke regio. WAF-ACL's met CloudFront-bereik moeten worden aangemaakt in de us-east-1-regio, ongeacht waar het verkeer vandaan komt, omdat CloudFront vanuit die regio wordt beheerd.

Dit is een belangrijke valkuil voor examens: als je een WAF-Web ACL aanmaakt in eu-west-1 en deze aan CloudFront probeert te koppelen, mislukt de koppeling. Maak WAF-ACL's voor CloudFront altijd aan in us-east-1.

Met Lambda@Edge kun je Node.js- of Python-Lambda-functies uitvoeren op CloudFront-edge-locaties als reactie op CloudFront-gebeurtenissen. Functies worden binnen milliseconden na het verzoek van de gebruiker uitgevoerd, zonder het verkeer voor verwerking terug te sturen naar een centrale regio.

Lambda@Edge-functies worden geïmplementeerd in de regio us-east-1, maar automatisch wereldwijd naar alle CloudFront-edge-locaties gerepliceerd. Hierdoor wordt je code zo dicht mogelijk bij de gebruiker uitgevoerd, zodat personalisatie, authenticatie en A/B-testen aan de edge mogelijk zijn met minimale extra latentie.

Lambda@Edge-functies kunnen CloudFront-verzoeken en -antwoorden op vier punten in de levenscyclus onderscheppen:

• Viewer Request: nadat CloudFront het verzoek van de kijker heeft ontvangen en voordat de cache wordt gecontroleerd; gebruik dit voor authenticatie, omleidingen en het aanpassen van headers
• Origin Request: na een cachemisser en voordat het verzoek naar de originserver wordt doorgestuurd; gebruik dit voor het herschrijven van URL's en aangepaste headers naar de originserver
• Origin Response: na ontvangst van het antwoord van de originserver en voordat dit wordt opgeslagen in de cache; gebruik dit voor het toevoegen van beveiligingsheaders en het aanpassen van het antwoord
• Viewer Response: voordat CloudFront het antwoord naar de kijker verstuurt; gebruik dit voor het toevoegen of aanpassen van antwoordheaders

AWS biedt twee opties voor edge computing met verschillende afwegingen:

• CloudFront Functions: uitvoering in minder dan een milliseconde, alleen JavaScript, extreem lage kosten (ongeveer 1/6 van de prijs), werkt alleen bij Viewer Request- en Viewer Response-gebeurtenissen, maximale rekentijd van 1 ms en geen toegang tot VPC of netwerk
• Lambda@Edge: uitvoering tot 30 seconden (Viewer) / 30 seconden (Origin), Node.js of Python, alle vier triggerpunten, kan netwerkverzoeken uitvoeren en heeft toegang tot de inhoud van verzoeken en antwoorden

Gebruik CloudFront Functions voor eenvoudige aanpassingen van headers, het normaliseren van URL's en het berekenen van cachesleutels. Gebruik Lambda@Edge voor complexe logica waarvoor netwerkoproepen, langere berekeningen of verwerking aan de originserver nodig zijn.

Veelvoorkomende Lambda@Edge-patronen op het SAA-C03-examen:

• JWT-validatie aan de edge: een Viewer Request-functie valideert een Authorization-header; niet-geautoriseerde verzoeken retourneren 401 zonder de originserver te bereiken
• A/B-testen: Viewer Request wijst gebruikers toe aan groep A of B via een cookie en past het verzoek aan om /a/page.html of /b/page.html op te halen
• URL's herschrijven: Origin Request herschrijft nette URL's naar de werkelijke bestandspaden in S3
• Dynamisch afbeeldingen schalen: Origin Request stelt een verzoek samen naar een Lambda-functie voor beeldverwerking; Origin Response slaat de geschaalde afbeelding op in de cache
• HTTP-beveiligingsheaders: Viewer Response voegt CSP-, HSTS- en X-Frame-Options-headers toe

Lambda@Edge heeft verschillende beperkingen ten opzichte van standaard Lambda:

• Functies moeten zich in de regio us-east-1 bevinden
• Geen ondersteuning voor VPC's (toegang tot resources in een VPC is niet mogelijk)
• Geen omgevingsvariabelen (neem configuratie op in de functiecode of haal deze op uit Parameter Store bij een koude start)
• Lambda Layers kunnen niet worden gebruikt
• Time-out voor viewer-gebeurtenissen: 5 seconden; time-out voor origin-gebeurtenissen: 30 seconden
• Limiet voor de grootte van het implementatiepakket: 1 MB (viewer-gebeurtenissen) / 50 MB (origin-gebeurtenissen)

Door deze beperkingen is Lambda@Edge niet geschikt voor langlopende berekeningen, bewerkingen die afhankelijk zijn van een VPC of functies die per implementatie dynamische configuratie nodig hebben.

WAF en Lambda@Edge hebben verschillende beveiligingsrollen en vullen elkaar aan:

• WAF: blokkeert aanvallen op basis van handtekeningen (SQL-injectie, XSS, bekende kwaadwillende partijen, snelheidsbeperking)—beheerde regels handelen veelvoorkomende aanvallen automatisch af
• Lambda@Edge: aangepaste beveiligingslogica voor bedrijfsregels (JWT-validatie, sessiecontroles, verificatie van toegangstokens)—flexibel, maar vereist ontwikkelingswerk

Een architectuur met meerdere verdedigingslagen: WAF blokkeert bekende aanvalspatronen eerst; Lambda@Edge valideert authenticatie op bedrijfsniveau; door CloudFront ondertekende URL's en cookies beperken de toegang tot inhoud; OAC houdt S3 privé. Elke laag voorkomt onafhankelijk een andere aanvalsklasse.

Monitor je beveiligingslaag aan de edge met deze hulpmiddelen:

• WAF-logboeken: schakel volledige aanvraagregistratie in naar S3, CloudWatch Logs of Kinesis Firehose om te zien welke regels overeenkomen en welk verkeer wordt geblokkeerd
• WAF-statistieken: BlockedRequests, AllowedRequests, CountedRequests per regel in CloudWatch
• Lambda@Edge-logboeken: CloudWatch Logs-groepen worden gemaakt in elke regio waarin de functie wordt uitgevoerd; gebruik CloudWatch Insights om query's uit te voeren in meerdere regio's
• CloudFront Real-Time Logs: stream toegangslogboeken naar Kinesis voor directe analyse (in tegenstelling tot standaardtoegangslogboeken, die elke paar minuten in batches worden verwerkt)

In deze les heb je geleerd dat AWS WAF veelvoorkomende webaanvallen aan de CloudFront-edge blokkeert met beheerde en aangepaste regelgroepen, dat Lambda@Edge wereldwijd aangepaste code uitvoert op vier CloudFront-triggerpunten en dat CloudFront Functions uitvoering in minder dan een milliseconde bieden voor eenvoudige logica aan de viewerzijde. WAF-ACL's voor CloudFront moeten worden gemaakt in us-east-1. Hierna behandelen we Application, Network en Gateway Load Balancers.