AWS WAF ตรวจสอบคำขออย่างไร

AWS WAF (ไฟร์วอลล์แอปพลิเคชันเว็บ) ตรวจสอบคำขอ HTTP และ HTTPS ที่ เลเยอร์แอปพลิเคชัน (เลเยอร์ 7) ต่างจากกลุ่มความปลอดภัยและ NACLs ที่ทำงานในเลเยอร์ 3 และ 4 โดยสามารถอ่าน URL ส่วนหัว สตริงคำค้น และเนื้อหา เพื่อบล็อกการโจมตีที่ดูเหมือนการรับส่งข้อมูลเครือข่ายปกติแต่มีข้อมูลอันตรายแฝงอยู่

WAF มุ่งเป้าไปที่ภัยคุกคามเว็บทั่วไป เช่น การแทรก SQL การเขียนสคริปต์ข้ามไซต์ (XSS) บอตที่ไม่พึงประสงค์ และการท่วมคำขอในเลเยอร์แอปพลิเคชัน การโจมตีเหล่านี้ใช้พอร์ตที่ถูกต้องตามปกติอย่าง 80 และ 443 ดังนั้นไฟร์วอลล์ในเลเยอร์ที่ต่ำกว่าจึงแยกแยะไม่ได้ WAF จะตรวจสอบเนื้อหาคำขอเพื่อแยกคำขอดีออกจากคำขอไม่ดี

WAF สามารถตรวจสอบส่วนต่าง ๆ ของคำขอได้หลายส่วน ได้แก่ เส้นทาง URI สตริงคำค้น ส่วนหัว HTTP คุกกี้ วิธี HTTP และเนื้อหา คุณจะเลือกได้ว่าแต่ละกฎจะตรวจสอบองค์ประกอบใด ตัวอย่างเช่น กฎหนึ่งอาจสแกนสตริงคำค้นหาคำสำคัญของ SQL หรือตรวจสอบส่วนหัวเพื่อหาลายเซ็นการโจมตีที่รู้จัก

กฎใช้คำสั่งจับคู่ เช่น การจับคู่สตริง การจับคู่นิพจน์ทั่วไป ข้อจำกัดขนาด ชุด IP และการจับคู่ภูมิศาสตร์ นอกจากนี้ยังใช้การแปลงข้อความก่อนจับคู่ได้ เช่น การถอดรหัส URL หรือการเปลี่ยนเป็นตัวพิมพ์เล็ก ซึ่งช่วยเอาชนะผู้โจมตีที่ทำให้ข้อมูลอันตรายอ่านยากด้วยเทคนิคการเข้ารหัส

เมื่อกฎจับคู่ได้ WAF จะดำเนินการ การกระทำ ได้แก่ อนุญาต บล็อก นับ CAPTCHA หรือท้าทาย โหมด Count จะบันทึกการจับคู่โดยไม่บล็อก ทำให้คุณทดสอบกฎได้อย่างปลอดภัยก่อนบังคับใช้ การกระทำแบบ CAPTCHA และท้าทายจะตรวจสอบว่าลูกข่ายเป็นเบราว์เซอร์จริงเพื่อสกัดกั้นบอต

WAF ประเมินคำขอแบบ อินไลน์และทำงานพร้อมกัน ก่อนที่คำขอจะไปถึงแอปพลิเคชันของคุณ โดยเพิ่มความหน่วงเพียงเล็กน้อย คำขอที่ถูกบล็อกจะไม่ไปถึงระบบส่วนหลังเลย ซึ่งทั้งช่วยปกป้องแอปและลดภาระงาน ทำให้ WAF ทำหน้าที่เป็นผู้เฝ้าประตูที่ขอบของสแตก

WAF ตรวจสอบเนื้อหาคำขอได้ถึงขีดจำกัดขนาดเริ่มต้น (8 KB สำหรับการผสานการทำงานจำนวนมาก และมากกว่านั้นสำหรับการผสานการทำงานรุ่นใหม่) เนื้อหาที่เกินขีดจำกัดอาจได้รับอนุญาตให้ผ่านหรือถูกบล็อก ขึ้นอยู่กับการกำหนดค่าของคุณ ผู้โจมตีอาจพยายามซ่อนข้อมูลอันตรายไว้หลังขีดจำกัดการตรวจสอบ ดังนั้นจึงควรปรับค่านี้ให้เหมาะสม

WAF สามารถส่งบันทึกรายละเอียดของคำขอที่ตรวจสอบไปยังบันทึก CloudWatch บัคเก็ต S3 หรือ Kinesis Data Firehose ได้ บันทึกจะแสดงว่ากฎใดจับคู่ได้และดำเนินการใด ซึ่งจำเป็นต่อการปรับกฎ การตรวจสอบการโจมตี และการยืนยันการปฏิบัติตามข้อกำหนดระหว่างการตรวจสอบ

นโยบาย WAF ทุกนโยบายมีการกระทำเริ่มต้นที่ใช้กับคำขอซึ่งไม่ตรงกับกฎใดเลย ได้แก่ อนุญาตหรือบล็อก แอปเว็บสาธารณะส่วนใหญ่ใช้ค่าเริ่มต้นเป็น allow และบล็อกรูปแบบที่ไม่ดีโดยเฉพาะ ส่วน API ที่จำกัดการเข้าถึงอย่างเข้มงวดอาจใช้ค่าเริ่มต้นเป็น block และอนุญาตเฉพาะคำขอที่ทราบว่าเป็นคำขอที่ดี

WAF กรองเนื้อหาในเลเยอร์แอปพลิเคชัน ขณะที่ AWS Shield ป้องกันการท่วมแบบ DDoS เชิงปริมาณ ในเลเยอร์ 3 และ 4 ทั้งสองทำงานเสริมกัน: Shield รับการท่วมไว้ ส่วน WAF ตรวจสอบคำขอที่ผ่านเข้ามา การสอบมักถามว่าเครื่องมือใดจัดการการโจมตีประเภทใด

WAF ไม่ได้อยู่ในเส้นทางอินไลน์ด้วยตัวเอง แต่จะเชื่อมกับทรัพยากรที่รองรับ เช่น CloudFront, Application Load Balancer, API Gateway หรือ AppSync ทรัพยากรดังกล่าวจะส่งต่อคำขอไปยัง WAF เพื่อตรวจสอบ การเลือกจุดเชื่อมต่อที่เหมาะสมจะกล่าวถึงในภายหลังของหลักสูตรนี้

ทดสอบความเข้าใจเกี่ยวกับการตรวจสอบของ WAF

AWS WAF ตรวจสอบคำขอ HTTP/HTTPS ที่ เลเยอร์ 7 โดยอ่าน URI ส่วนหัว สตริงคำค้น และเนื้อหา เพื่อหยุดการแทรก SQL, XSS และบอตที่ไม่พึงประสงค์ กฎใช้คำสั่งจับคู่ร่วมกับการแปลงข้อความ และดำเนินการเป็นการอนุญาต บล็อก นับ CAPTCHA หรือท้าทาย การตรวจสอบทำแบบอินไลน์พร้อมบันทึกไปยัง CloudWatch, S3 หรือ Firehose WAF ทำงานเสริมกับ Shield และเชื่อมกับ CloudFront, ALB, API Gateway หรือ AppSync