Så inspekterar AWS WAF förfrågningar

AWS WAF (Web Application Firewall) inspekterar HTTP- och HTTPS-förfrågningar på applikationslagret (lager 7), till skillnad från säkerhetsgrupper och NACL:er som arbetar på lager 3 och 4. Det kan läsa URL:er, headers, frågesträngar och brödtext för att blockera angrepp som ser ut som normal nätverkstrafik men innehåller skadliga nyttolaster.

WAF riktar in sig på vanliga webbhot såsom SQL-injektion, cross-site scripting (XSS), skadliga botar och översvämningsattacker på applikationslagret. Dessa attacker använder legitima portar som 80 och 443, så brandväggar på lägre lager kan inte skilja dem åt. WAF granskar förfrågningarnas innehåll för att skilja legitima från skadliga förfrågningar.

WAF kan inspektera många delar av en förfrågan: URI-sökvägen, frågesträngen, HTTP-headers, cookies, HTTP-metoden och brödtexten. Ni väljer vilken komponent varje regel ska granska. En regel kan till exempel söka efter SQL-nyckelord i frågesträngen eller kontrollera en header efter en känd attacksignatur.

Regler använder matchningsuttryck som strängmatchning, regexmatchning, storleksbegränsning, IP-uppsättning och geografisk matchning. Ni kan också tillämpa textomvandlingar, exempelvis URL-avkodning eller omvandling till gemener, före matchningen. Det motverkar angripare som döljer nyttolaster med kodningstrick.

När en regel matchar utför WAF en åtgärd: tillåt, blockera, räkna, CAPTCHA eller utmaning. Läget count loggar matchningar utan att blockera dem, så att ni kan testa en regel säkert innan den aktiveras. CAPTCHA- och utmaningsåtgärder verifierar att klienten är en riktig webbläsare och avskräcker botar.

WAF utvärderar förfrågningar inline och synkront innan de når applikationen, vilket ger minimal fördröjning. Blockerade förfrågningar når aldrig backend, vilket både skyddar applikationen och minskar belastningen. Därför fungerar WAF som en grindvakt längst ut i er stack.

WAF inspekterar förfrågningens brödtext upp till en standardgräns (8 KB för många integrationer och större för nyare integrationer). Innehåll som ligger utanför gränsen kan tillåtas eller blockeras beroende på er konfiguration. Angripare kan försöka dölja nyttolaster efter inspektionsgränsen, så detta är värt att finjustera.

WAF kan skicka detaljerade loggar över inspekterade förfrågningar till CloudWatch Logs, en S3-bucket eller Kinesis Data Firehose. Loggarna visar vilken regel som matchade och vilken åtgärd som vidtogs. Det är avgörande för att finjustera regler, utreda angrepp och styrka efterlevnad vid en revision.

Varje WAF-policy har en standardåtgärd för förfrågningar som inte matchar någon regel: tillåt eller blockera. De flesta offentliga webbappar använder allow som standard och blockerar specifika skadliga mönster. Låsta API:er kan ha block som standard och endast tillåta kända godkända förfrågningar.

WAF filtrerar innehåll på applikationslagret, medan AWS Shield skyddar mot volymbaserade DDoS-översvämningar på lager 3 och 4. De kompletterar varandra: Shield absorberar översvämningen och WAF inspekterar de förfrågningar som tar sig igenom. På provet frågas det ofta vilket verktyg som hanterar vilken typ av angrepp.

WAF ligger inte inline på egen hand utan kopplas till en resurs som stöds, till exempel CloudFront, en Application Load Balancer, API Gateway eller AppSync. Resursen vidarebefordrar förfrågningar till WAF för inspektion. Valet av rätt anslutningspunkt behandlas senare i kursen.

AWS WAF inspekterar HTTP/HTTPS-förfrågningar på lager 7 och läser URI:er, headers, frågesträngar och brödtexter för att stoppa SQL-injektioner, XSS och skadliga botar. Regler använder matchningsuttryck med textomvandlingar och utför åtgärderna tillåt, blockera, count, CAPTCHA eller utmaning. Inspektionen sker inline och loggar kan skickas till CloudWatch, S3 eller Firehose. WAF kompletterar Shield och kopplas till CloudFront, ALB, API Gateway eller AppSync.