Como o AWS WAF Inspeciona Solicitações

O AWS WAF (Web Application Firewall) inspeciona solicitações HTTP e HTTPS na camada de aplicação (Camada 7), diferentemente dos grupos de segurança e das NACLs, que atuam nas Camadas 3 e 4. Ele pode ler URLs, cabeçalhos, sequências de consulta e corpos para bloquear ataques que parecem tráfego de rede normal, mas transportam cargas maliciosas.

O WAF combate ameaças Web comuns, como injeção de SQL, cross-site scripting (XSS), bots maliciosos e inundações na camada de aplicação. Esses ataques usam as portas legítimas 80 e 443, portanto os firewalls de camadas inferiores não conseguem diferenciá-los. O WAF examina o conteúdo das solicitações para distinguir o tráfego legítimo do malicioso.

O WAF pode inspecionar várias partes de uma solicitação: o caminho do URI, a sequência de consulta, os cabeçalhos HTTP, os cookies, o método HTTP e o corpo. Você escolhe qual componente cada regra examinará. Por exemplo, uma regra pode procurar palavras-chave de SQL na sequência de consulta ou verificar em um cabeçalho a presença de uma assinatura de ataque conhecida.

As regras usam instruções de correspondência, como correspondência de texto, correspondência de expressão regular, restrição de tamanho, conjunto de IPs e correspondência geográfica. Você também pode aplicar transformações de texto, como decodificar a URL ou converter o texto para minúsculas, antes da correspondência, neutralizando atacantes que ofuscam cargas usando truques de codificação.

Quando uma regra corresponde, o WAF executa uma ação: Allow, Block, Count, CAPTCHA ou challenge. O modo Count registra as correspondências sem bloquear, permitindo testar uma regra com segurança antes de aplicá-la. As ações CAPTCHA e challenge verificam se o cliente é um navegador real, desestimulando bots.

O WAF avalia as solicitações em linha e de forma síncrona antes que elas cheguem à sua aplicação, acrescentando latência mínima. As solicitações bloqueadas nunca chegam ao seu sistema de backend, o que protege a aplicação e reduz a carga. Assim, o WAF atua como um guardião na borda da sua pilha.

O WAF inspeciona o corpo da solicitação até um limite de tamanho padrão (8 KB para muitas integrações e um valor maior para as mais recentes). O conteúdo além desse limite pode ser permitido ou bloqueado, dependendo da sua configuração. Os atacantes podem tentar ocultar cargas depois do limite de inspeção, portanto vale a pena ajustar essa configuração.

O WAF pode enviar registros detalhados das solicitações inspecionadas para os registros do CloudWatch, um bucket do S3 ou o Kinesis Data Firehose. Os registros mostram qual regra correspondeu e qual ação foi executada, algo essencial para ajustar regras, investigar ataques e comprovar conformidade durante uma auditoria.

Toda política do WAF tem uma ação padrão aplicada às solicitações que não correspondem a nenhuma regra: Allow ou Block. A maioria das aplicações Web públicas usa Allow como padrão e bloqueia padrões maliciosos específicos. APIs com acesso restrito podem usar Block como padrão e permitir apenas solicitações reconhecidamente legítimas.

O WAF filtra conteúdo da camada de aplicação, enquanto o AWS Shield protege contra inundações volumétricas de DDoS nas Camadas 3 e 4. Eles são complementares: o Shield absorve a inundação, e o WAF inspeciona as solicitações que conseguem passar. O exame frequentemente pergunta qual ferramenta trata cada tipo de ataque.

O WAF não fica em linha por conta própria; ele é associado a um recurso compatível, como o CloudFront, um Application Load Balancer, o API Gateway ou o AppSync. O recurso encaminha as solicitações ao WAF para inspeção. A escolha do ponto de associação correto será abordada mais adiante neste curso.

O AWS WAF inspeciona solicitações HTTP/HTTPS na Camada 7, lendo URIs, cabeçalhos, sequências de consulta e corpos para impedir injeção de SQL, XSS e bots maliciosos. As regras usam instruções de correspondência com transformações de texto e executam ações de Allow, Block, Count, CAPTCHA ou challenge. A inspeção ocorre em linha, com registros enviados ao CloudWatch, ao S3 ou ao Firehose. O WAF complementa o Shield e é associado ao CloudFront, ao ALB, ao API Gateway ou ao AppSync.