Protegendo a Borda do CloudFront

O Amazon CloudFront é a rede de entrega de conteúdo (CDN) da AWS, que disponibiliza conteúdo a partir de locais de borda globais. Além da velocidade, ele é um poderoso limite de segurança: encerra conexões na borda, absorve ataques DDoS por meio do Shield, hospeda a inspeção do WAF e oculta sua origem da exposição direta.

O CloudFront encerra o TLS no local de borda mais próximo, criptografando o tráfego entre os usuários e a borda com protocolos e cifras modernos que você configura por meio de uma política de segurança. Você também pode exigir somente HTTPS, redirecionando HTTP para HTTPS e garantindo que os dados em trânsito estejam sempre criptografados.

O CloudFront usa certificados do AWS Certificate Manager (ACM) para HTTPS nos seus domínios personalizados. Os certificados do CloudFront devem ser solicitados em us-east-1, independentemente de onde sua origem esteja localizada, um detalhe que o exame costuma testar. O ACM também renova esses certificados automaticamente.

O CloudFront integra-se estreitamente ao AWS WAF (anexe uma ACL web com escopo CLOUDFRONT) e ao AWS Shield (Standard gratuito e Advanced opcional). Isso permite inspecionar e limitar a taxa de solicitações e absorver inundações DDoS na borda, antes que o tráfego alcance sua infraestrutura regional.

Para origens no S3, o Origin Access Control (OAC) bloqueia o bucket, permitindo que ele seja acessado somente pelo CloudFront, e não diretamente. O bucket permanece privado enquanto o CloudFront assina as solicitações destinadas a ele. O OAC substitui o Origin Access Identity (OAI) mais antigo e oferece suporte a recursos como SSE-KMS e todas as Regiões.

Para ALB ou origens personalizadas, impeça o acesso direto restringindo a origem aos intervalos de IP do CloudFront ou verificando um cabeçalho secreto personalizado que o CloudFront adiciona e que a origem (ou o respectivo WAF) verifica. Assim, as solicitações não conseguem contornar as proteções de borda do CloudFront.

Para restringir o acesso a conteúdo privado, o CloudFront oferece suporte a URLs assinados e cookies assinados. Somente as solicitações que contêm uma assinatura válida, opcionalmente limitada por tempo e restringida por IP, podem obter o conteúdo. Isso protege mídias pagas ou confidenciais sem expor a origem nem exigir políticas de bucket por objeto.

A restrição geográfica do CloudFront pode permitir ou bloquear visualizadores por país na borda. Isso impõe limites de licenciamento ou conformidade antes que as solicitações cheguem à sua aplicação. Para um controle mais preciso, uma regra de correspondência geográfica do WAF oferece a mesma ideia, com a flexibilidade de combinar a localização geográfica com outras condições.

A criptografia em nível de campo do CloudFront criptografa campos específicos e confidenciais de formulários (como um número de cartão de crédito) na borda usando uma chave pública, para que os dados permaneçam criptografados em toda a sua pilha até serem descriptografados pelo serviço autorizado. Isso protege campos confidenciais até mesmo contra os seus próprios componentes intermediários.

CloudFront Functions e Lambda@Edge executam código em locais de borda para adicionar cabeçalhos de segurança, validar tokens ou normalizar solicitações antes que elas cheguem à origem. Eles permitem impor a lógica de segurança globalmente com baixa latência, por exemplo, adicionando HSTS ou reescrevendo solicitações suspeitas.

Uma borda do CloudFront reforçada combina HTTPS obrigatório com ACM, WAF, Shield, OAC ou bloqueio da origem, URLs assinados, restrição geográfica e funções de borda. Juntos, esses recursos fazem da borda o principal limite de aplicação das regras, mantendo a origem privada e filtrando os ataques antes que cheguem à sua infraestrutura central.

Aplique seus conhecimentos sobre a segurança de borda do CloudFront.

O CloudFront é uma borda de segurança: ele termina o TLS com certificados do ACM (solicitados em us-east-1), hospeda o WAF e o Shield e oculta a origem. Use o Origin Access Control (OAC) para manter o S3 privado, bloqueie origens personalizadas com intervalos de IP ou cabeçalhos secretos, restrinja o conteúdo com URLs/cookies assinados e restrição geográfica e execute a lógica de segurança por meio do CloudFront Functions ou Lambda@Edge.