Jak AWS WAF analizuje żądania

AWS WAF (Web Application Firewall) analizuje żądania HTTP i HTTPS w warstwie aplikacji (warstwa 7), w przeciwieństwie do grup zabezpieczeń i list NACL działających w warstwach 3 i 4. Może odczytywać adresy URL, nagłówki, parametry zapytań i treść żądań, aby blokować ataki, które wyglądają jak zwykły ruch sieciowy, ale zawierają złośliwe dane.

WAF chroni przed typowymi zagrożeniami internetowymi, takimi jak SQL injection, cross-site scripting (XSS), złośliwe boty i przeciążenia w warstwie aplikacji. Ataki te korzystają z prawidłowych portów 80 i 443, dlatego zapory niższych warstw nie potrafią ich odróżnić. WAF analizuje treść żądań, aby rozróżnić prawidłowy ruch od złośliwego.

WAF może analizować wiele części żądania: ścieżkę URI, parametry zapytania, nagłówki HTTP, pliki cookie, metodę HTTP i treść żądania. Dla każdej reguły wybierają Państwo analizowany element. Przykładowo reguła może skanować parametry zapytania w poszukiwaniu słów kluczowych SQL albo sprawdzać nagłówek pod kątem znanego sygnatury ataku.

Reguły korzystają z instrukcji dopasowania, takich jak dopasowanie ciągu znaków, dopasowanie wyrażenia regularnego, ograniczenie rozmiaru, zestaw adresów IP i dopasowanie geograficzne. Przed dopasowaniem można także zastosować transformacje tekstu, takie jak dekodowanie adresu URL lub zamiana liter na małe. Utrudnia to działanie atakującym, którzy ukrywają dane za pomocą kodowania.

Po dopasowaniu reguły WAF wykonuje określoną akcję: zezwala, blokuje, zlicza, wyświetla CAPTCHA lub przeprowadza challenge. Tryb count rejestruje dopasowania bez blokowania, dzięki czemu można bezpiecznie przetestować regułę przed jej zastosowaniem. Akcje CAPTCHA i challenge sprawdzają, czy klient jest prawdziwą przeglądarką, zniechęcając boty.

WAF analizuje żądania inline i synchronicznie, zanim dotrą one do aplikacji, powodując minimalne opóźnienie. Zablokowane żądania nigdy nie docierają do backendu, co chroni aplikację i zmniejsza obciążenie. Dzięki temu WAF pełni funkcję bramy na brzegu stosu.

WAF analizuje treść żądania do określonego domyślnego limitu rozmiaru (w wielu integracjach 8 KB, a w nowszych integracjach więcej). Zawartość wykraczająca poza limit może zostać przepuszczona lub zablokowana, zależnie od konfiguracji. Atakujący mogą próbować ukrywać dane za limitem inspekcji, dlatego warto odpowiednio dostosować ten parametr.

WAF może wysyłać szczegółowe dzienniki analizowanych żądań do CloudWatch Logs, zasobnika S3 lub Kinesis Data Firehose. Dzienniki pokazują, która reguła zadziałała i jaka akcja została wykonana. Jest to niezbędne do dostrajania reguł, badania ataków i potwierdzania zgodności podczas audytu.

Każda zasada WAF ma akcję domyślną stosowaną do żądań, do których nie pasuje żadna reguła: zezwalanie lub blokowanie. Większość publicznych aplikacji internetowych używa domyślnego ustawienia allow i blokuje konkretne szkodliwe wzorce. W przypadku restrykcyjnych interfejsów API można ustawić domyślne block i zezwalać wyłącznie na znane, prawidłowe żądania.

WAF filtruje zawartość warstwy aplikacji, natomiast AWS Shield chroni przed wolumetrycznymi atakami DDoS w warstwach 3 i 4. Rozwiązania te się uzupełniają: Shield absorbuje falę ruchu, a WAF analizuje żądania, które przez nią przejdą. Egzamin często sprawdza, które narzędzie służy do ochrony przed danym rodzajem ataku.

WAF nie działa samodzielnie inline; dołącza się go do obsługiwanego zasobu, takiego jak CloudFront, Application Load Balancer, API Gateway lub AppSync. Zasób przekazuje żądania do WAF w celu ich analizy. Wybór właściwego punktu dołączenia zostanie omówiony w dalszej części tego kursu.

Sprawdź swoje rozumienie inspekcji WAF.

AWS WAF analizuje żądania HTTP/HTTPS w warstwie 7, odczytując URI, nagłówki, parametry zapytań i treść żądań, aby powstrzymywać SQL injection, XSS i złośliwe boty. Reguły korzystają z instrukcji dopasowania i transformacji tekstu oraz wykonują akcje: zezwalanie, blokowanie, zliczanie, CAPTCHA lub challenge. Inspekcja odbywa się inline, a dzienniki mogą być wysyłane do CloudWatch, S3 lub Firehose. WAF uzupełnia Shield i może być dołączony do CloudFront, ALB, API Gateway lub AppSync.