Podłączanie WAF do CloudFront i ALB

WAF nie jest samodzielnym urządzeniem — musi być powiązany z zasobem, który przekazuje do niego żądania. Obsługiwane integracje to CloudFront, Application Load Balancer (ALB), API Gateway, AppSync, pule użytkowników Cognito oraz App Runner. Miejsce podłączenia WAF określa, gdzie odbywa się inspekcja.

Podłączenie WAF do dystrybucji CloudFront powoduje inspekcję żądań w lokalizacjach brzegowych AWS zanim dotrą one do źródła. Dzięki temu ataki są blokowane jak najbliżej użytkownika, obciążenie zaplecza maleje, a ochrona działa globalnie. Jest to idealne rozwiązanie dla publicznych witryn i dystrybucji treści, gdzie filtrowanie na brzegu zapewnia największą wartość.

Podłączenie WAF do Application Load Balancer powoduje inspekcję żądań, gdy docierają one do regionalnego modułu równoważenia obciążenia. Takie rozwiązanie sprawdza się w przypadku aplikacji wewnętrznych, interfejsów API znajdujących się za ALB lub sytuacji, w których ruch nie przechodzi przez CloudFront. Web ACL musi używać zakresu REGIONAL w regionie ALB.

Przypomnijmy, że web ACL ma zakres CLOUDFRONT (globalny, us-east-1) albo zakres REGIONAL. Nie można podłączyć regionalnego web ACL do CloudFront ani web ACL CloudFront do ALB. Wybór niewłaściwego zakresu jest częstym błędem wdrożeniowym, na który zwraca uwagę egzamin.

Aby zapewnić maksymalną ochronę, można umieścić CloudFront przed ALB i podłączyć WAF do obu usług: web ACL CloudFront zapewnia globalne filtrowanie na brzegu, a regionalny web ACL na ALB stanowi dodatkową warstwę ochrony. Chroni to przed żądaniami, które omijają CloudFront i docierają bezpośrednio do ALB.

Jeśli atakujący mogą uzyskać bezpośredni dostęp do ALB, omijają CloudFront i jego WAF. Można temu przeciwdziałać, ograniczając grupę zabezpieczeń ALB do zakresów adresów IP CloudFront lub używając niestandardowego tajnego nagłówka, który CloudFront dodaje, a ALB lub WAF weryfikuje. Dzięki temu można mieć pewność, że ruch rzeczywiście przeszedł przez brzeg sieci.

WAF można również podłączyć do interfejsów REST API usługi API Gateway oraz interfejsów GraphQL API usługi AppSync, które działają w zakresie regionalnym. Chroni to zaplecza sterowane przez API przed wstrzyknięciami i nadużyciami bez używania osobnego modułu równoważenia obciążenia. W przypadku bezserwerowych interfejsów API jest to naturalny punkt egzekwowania zasad.

WAF można podłączyć do puli użytkowników Cognito, aby chronić punkty końcowe uwierzytelniania przed przejmowaniem danych uwierzytelniających i nadużyciami podczas rejestracji powodowanymi przez boty. Dobrze współgra to z zarządzaną grupą Account Takeover Prevention. Chroni to przepływy związane z tożsamością, które często stają się celem ataków. Inspekcja na brzegu za pomocą CloudFront dodaje również znikomą latencję i blokuje ataki wcześniej, zamiast czekać, aż dotrą do regionalnego ALB.

Zasób może być w danym momencie powiązany z tylko jednym web ACL, ale jeden web ACL może chronić wiele zasobów. Aby zastosować różne polityki, należy utworzyć osobne web ACL. Centralizacja wspólnych reguł w zarządzanych lub niestandardowych grupach reguł pomaga zachować spójność wielu web ACL.

Decyzję należy podjąć na podstawie przepływu ruchu: publiczne treści dostępne globalnie przemawiają za użyciem CloudFront; aplikacje regionalne lub wewnętrzne — za użyciem ALB; bezserwerowe interfejsy API — za użyciem API Gateway lub AppSync. W razie wątpliwości warto podłączyć ochronę na brzegu i dodać ochronę źródła, aby atakujący nie mogli jej ominąć.

Ochrona WAF jest tak dobra, jak dobre jest jej umiejscowienie. Dopasuj zakres do zasobu, preferuj podłączenie na brzegu w przypadku aplikacji publicznych, dodaj WAF na ALB jako dodatkową warstwę ochrony i zablokuj dostęp do źródła tak, aby był możliwy tylko przez CloudFront. Te decyzje dotyczące rozmieszczenia często pojawiają się w scenariuszach ochrony sieci na egzaminie SCS-C02.

Zastosuj wiedzę o podłączaniu WAF.

WAF musi być podłączony do zasobu: CloudFront, ALB, API Gateway, AppSync, Cognito lub App Runner. CloudFront przeprowadza globalną inspekcję na brzegu; ALB i pozostałe usługi przeprowadzają ją regionalnie i wymagają web ACL o zakresie REGIONAL. WAF można umieścić zarówno na brzegu, jak i na ALB, a następnie chronić źródło za pomocą tajnego nagłówka lub zakresów adresów IP CloudFront, aby atakujący nie mogli ominąć filtrowania na brzegu. Jeden zasób może być powiązany z jednym web ACL.