Zabezpieczanie brzegu CloudFront

Amazon CloudFront to sieć dostarczania treści (CDN) AWS, która udostępnia treści z globalnych lokalizacji brzegowych. Oprócz zwiększania szybkości stanowi również potężną granicę bezpieczeństwa: kończy połączenia na brzegu, absorbuje ataki DDoS za pośrednictwem Shield, obsługuje inspekcję WAF i ukrywa źródło przed bezpośrednim dostępem.

CloudFront kończy połączenia TLS w najbliższej lokalizacji brzegowej, szyfrując ruch między użytkownikami a brzegiem za pomocą nowoczesnych protokołów i szyfrów konfigurowanych w zasadach zabezpieczeń. Można również wymusić korzystanie wyłącznie z HTTPS, przekierowując HTTP do HTTPS, aby dane przesyłane zawsze były zaszyfrowane.

CloudFront używa certyfikatów z usługi AWS Certificate Manager (ACM) do obsługi HTTPS dla niestandardowych domen. Certyfikaty dla CloudFront trzeba zamawiać w regionie us-east-1, niezależnie od lokalizacji źródła — jest to szczegół, który często pojawia się na egzaminie. ACM automatycznie odnawia również te certyfikaty.

CloudFront ściśle integruje się z AWS WAF (należy dołączyć web ACL o zakresie CLOUDFRONT) oraz AWS Shield (Standard bezpłatny, Advanced opcjonalny). Umożliwia to inspekcję i ograniczanie częstotliwości żądań oraz absorbowanie zalewów DDoS na brzegu, zanim ruch dotrze do regionalnej infrastruktury.

W przypadku źródeł S3 Origin Access Control (OAC) blokuje dostęp do zasobnika z innych miejsc, pozostawiając go dostępnym wyłącznie przez CloudFront. Zasobnik pozostaje prywatny, a CloudFront podpisuje kierowane do niego żądania. OAC zastępuje starszy mechanizm Origin Access Identity (OAI) i obsługuje funkcje takie jak SSE-KMS oraz wszystkie regiony.

W przypadku ALB lub niestandardowych originów można uniemożliwić bezpośredni dostęp, ograniczając origin do zakresów adresów IP CloudFront albo weryfikując niestandardowy tajny nagłówek, który dodaje CloudFront i który sprawdza origin (lub jego WAF). Dzięki temu żądania nie mogą ominąć zabezpieczeń na punktach brzegowych CloudFront.

Aby ograniczyć dostęp do prywatnych treści, CloudFront obsługuje podpisane adresy URL i podpisane pliki cookie. Treść mogą pobierać tylko żądania zawierające prawidłowy podpis, opcjonalnie ograniczony czasowo i do określonych adresów IP. Chroni to płatne lub poufne materiały bez ujawniania originu i bez konieczności stosowania zasad uprawnień dla poszczególnych obiektów w bucketach.

Ograniczenia geograficzne CloudFront umożliwiają zezwalanie widzom z określonych krajów na dostęp lub blokowanie ich już na punkcie brzegowym. Pozwala to egzekwować ograniczenia licencyjne lub zgodności, zanim żądania dotrą do aplikacji. Aby uzyskać bardziej szczegółową kontrolę, reguła dopasowania geograficznego WAF oferuje podobne rozwiązanie i umożliwia łączenie lokalizacji geograficznej z innymi warunkami.

Szyfrowanie na poziomie pól CloudFront szyfruje określone poufne pola formularzy (takie jak numer karty kredytowej) na punkcie brzegowym za pomocą klucza publicznego, dzięki czemu dane pozostają zaszyfrowane w całym stosie aż do ich odszyfrowania przez autoryzowaną usługę. Chroni to poufne pola nawet przed własnymi komponentami pośrednimi.

CloudFront Functions i Lambda@Edge uruchamiają kod w lokalizacjach brzegowych, aby dodawać nagłówki zabezpieczeń, weryfikować tokeny lub normalizować żądania, zanim dotrą one do originu. Umożliwiają globalne egzekwowanie reguł bezpieczeństwa przy małych opóźnieniach, na przykład przez dodanie HSTS lub przepisanie podejrzanych żądań.

Wzmocniony punkt brzegowy CloudFront łączy HTTPS tylko z ACM, WAF, Shield, OAC lub blokadę originu, podpisane adresy URL, ograniczenia geograficzne oraz funkcje brzegowe. Razem sprawiają one, że punkt brzegowy staje się główną granicą egzekwowania zabezpieczeń, utrzymując origin jako prywatny i odfiltrowując ataki, zanim dotrą do głównej infrastruktury.

Zastosuj wiedzę o zabezpieczeniach punktów brzegowych CloudFront.

CloudFront jest punktem brzegowym zabezpieczeń: kończy sesje TLS przy użyciu certyfikatów ACM (zamawianych w regionie us-east-1), obsługuje WAF i Shield oraz ukrywa origin. Używaj Origin Access Control (OAC), aby zachować prywatność S3, blokuj niestandardowe originy za pomocą zakresów adresów IP lub tajnych nagłówków, ograniczaj dostęp do treści za pomocą podpisanych adresów URL/plików cookie i ograniczeń geograficznych, a logikę bezpieczeństwa uruchamiaj za pomocą CloudFront Functions lub Lambda@Edge.