WAF'ı CloudFront'a ve ALB'ye Bağlama

WAF bağımsız bir cihaz değildir; istekleri kendisine yönlendiren bir kaynakla ilişkilendirilmelidir. Desteklenen tümleştirmeler CloudFront, Application Load Balancer (ALB), API Gateway, AppSync, Cognito kullanıcı havuzları ve App Runner'dır. WAF'ı nereye eklediğiniz, incelemenin nerede gerçekleşeceğini belirler.

WAF'ı bir CloudFront dağıtımına eklemek, istekleri AWS uç konumlarında kaynağınıza gitmeden önce inceler. Bu sayede saldırılar kullanıcıya en yakın noktada engellenir, arka uç yükü azaltılır ve küresel çalışma sağlanır. Uç filtreleme en fazla değer kattığı için genel kullanıma açık web siteleri ve içerik dağıtımı açısından idealdir.

WAF'ı bir Application Load Balancer'a eklemek, istekleri bölgesel yük dengeleyicinize ulaştıklarında inceler. Bu yaklaşım iç uygulamalar, ALB arkasındaki API'ler veya trafiğin CloudFront üzerinden geçmediği durumlar için uygundur. Web ACL, ALB Bölgesinde REGIONAL kapsamını kullanmalıdır.

Bir web ACL'nin CLOUDFRONT kapsamına (küresel, us-east-1) veya REGIONAL kapsamına sahip olduğunu hatırlayın. Bölgesel bir web ACL'yi CloudFront'a veya CloudFront web ACL'sini bir ALB'ye ekleyemezsiniz. Yanlış kapsamı seçmek, sınavda vurgulanan yaygın bir dağıtım hatasıdır.

En yüksek koruma için CloudFront'u bir ALB'nin önüne yerleştirebilir ve WAF'ı her ikisine de ekleyebilirsiniz: küresel uç filtreleme için bir CloudFront web ACL'si ve yedek koruma olarak ALB üzerinde bölgesel bir web ACL. Bu yapı, CloudFront'u atlayarak doğrudan ALB'ye ulaşan isteklere karşı koruma sağlar.

Saldırganlar ALB'nize doğrudan ulaşabiliyorsa CloudFront'u ve WAF'ını atlayabilir. ALB güvenlik grubunu CloudFront IP aralıklarıyla sınırlayarak veya CloudFront'un eklediği ve ALB ya da WAF'ın doğruladığı bir özel gizli üst bilgi kullanarak bunu azaltabilirsiniz. Böylece trafiğin gerçekten uç noktadan geldiğinden emin olursunuz.

WAF, her ikisi de bölgesel olan API Gateway REST API'lerine ve AppSync GraphQL API'lerine de eklenebilir. Bu, ayrı bir yük dengeleyiciye ihtiyaç olmadan API tabanlı arka uçları enjeksiyon ve kötüye kullanıma karşı korur. Sunucusuz API'ler için doğal zorlama noktası budur.

WAF, kimlik doğrulama uç noktalarını kimlik bilgisi doldurma ve botların yönettiği kayıt kötüye kullanımlarına karşı korumak için Cognito kullanıcı havuzlarına eklenebilir; bu özellik Account Takeover Prevention yönetilen grubuyla iyi çalışır. Böylece sıkça hedef alınan kimlik akışları korunur. CloudFront üzerindeki uç incelemesi de yok denecek kadar az gecikme ekler ve saldırıları bölgesel bir ALB'nin beklemesine kıyasla daha erken engeller.

Bir kaynak aynı anda yalnızca bir web ACL ile ilişkilendirilebilir; ancak bir web ACL birçok kaynağı koruyabilir. Farklı ilkeler uygulamak için ayrı web ACL'ler oluşturmanız gerekir. Paylaşılan kuralları yönetilen veya özel kural gruplarında merkezileştirmek, birden çok web ACL'nin tutarlı kalmasını sağlar.

Kararınızı trafik akışına göre verin: genel kullanıma açık, küresel içerikler için CloudFront; bölgesel veya iç uygulamalar için ALB; sunucusuz API'ler için API Gateway veya AppSync uygundur. Emin olmadığınızda uç noktaya ekleyin ve saldırganların etrafından dolaşamaması için kaynağı koruyun.

WAF koruması, yerleştirildiği noktanın kalitesiyle sınırlıdır. Kapsamı kaynakla eşleştirin, genel uygulamalar için uç noktaya eklemeyi tercih edin, yedek koruma olarak ALB WAF'ını katmanlayın ve kaynağı CloudFront'a kilitleyin. Bu yerleştirme seçimleri SCS-C02 ağ koruması senaryolarında sık sık karşınıza çıkar.

WAF ekleme bilginizi uygulayın.

WAF bir kaynağa eklenmelidir: CloudFront, ALB, API Gateway, AppSync, Cognito veya App Runner. CloudFront uçta küresel olarak inceleme yapar; ALB ve diğerleri bölgesel olarak inceleme yapar ve REGIONAL kapsamlı bir web ACL gerektirir. WAF'ı hem uçta hem de ALB'de katmanlayın ve saldırganların uç filtrelemeyi atlayamaması için kaynağı gizli bir üst bilgiyle veya CloudFront IP aralıklarıyla koruyun. Bir kaynak, bir web ACL ile eşleşir.