AWS WAF 如何检查请求

AWS WAF（Web 应用防火墙）在应用层（第 7 层）检查 HTTP 和 HTTPS 请求，不同于工作在第 3 层和第 4 层的安全组与 NACLs。它可以读取 URL、标头、查询字符串和请求正文，从而阻止那些看似普通网络流量、但携带恶意载荷的攻击。

WAF 可应对常见的 Web 威胁，例如 SQL 注入、跨站脚本攻击（XSS）、恶意机器人和应用层洪泛攻击。这些攻击使用合法的 80 和 443 端口，因此较低层的防火墙无法将它们区分出来。WAF 会检查请求内容，以辨别正常请求和恶意请求。

WAF 可以检查请求的许多部分：URI 路径、查询字符串、HTTP 标头、Cookie、HTTP 方法和请求正文。您可以选择每条规则要检查的组件。例如，一条规则可以扫描查询字符串中的 SQL 关键字，或检查标头中是否存在已知的攻击特征。

规则使用字符串匹配、正则表达式匹配、大小约束、IP 集和地理位置匹配等匹配语句。您还可以在匹配前应用 URL 解码或转换为小写等文本转换，从而挫败利用编码技巧混淆载荷的攻击者。

规则匹配后，WAF 会执行一项操作：Allow、Block、Count、CAPTCHA 或质询。Count模式只记录匹配结果而不进行阻止，让您可以在强制执行规则前安全地进行测试。CAPTCHA 和质询操作会验证客户端是否为真实浏览器，从而阻止机器人。

WAF 会在请求到达您的应用之前，以内联且同步的方式对其进行评估，只增加极少的延迟。被阻止的请求根本不会接触后端，这既能保护应用，也能减轻负载。因此，WAF 在您的堆栈边缘充当了看门人。

WAF 会在默认大小限制内检查请求正文（许多集成的限制为 8 KB，较新的集成限制更大）。超出限制的内容是否允许通过或被阻止，取决于您的配置。攻击者可能会尝试将载荷隐藏在检查限制之外，因此值得对这一限制进行调整。

WAF 可以将检查请求的详细日志发送到 CloudWatch Logs、S3 存储桶或 Kinesis Data Firehose。日志会显示匹配的规则和执行的操作，这对于调整规则、调查攻击以及在审计期间证明合规性都至关重要。

每个 WAF 策略都有一个应用于未匹配任何规则的请求的默认操作：允许或阻止。大多数公共 Web 应用将允许设为默认操作，并阻止特定的恶意模式。严格限制的 API 可能将阻止设为默认操作，只允许已知正常的请求。

WAF 筛选应用层内容，而 AWS Shield 在第 3 层和第 4 层防御大流量 DDoS 洪泛攻击。二者相辅相成：Shield 吸收洪泛流量，WAF 检查通过的请求。考试经常会询问哪种工具应对哪一类攻击。

WAF 不会单独以内联方式运行；它会关联到受支持的资源，例如 CloudFront、应用程序负载均衡器、API 网关或 AppSync。该资源会将请求转发给 WAF 进行检查。选择正确的关联位置将在本课程后续内容中介绍。

测试您对 WAF 检查机制的理解。

AWS WAF 在第 7 层检查 HTTP/HTTPS 请求，读取 URI、标头、查询字符串和请求正文，以阻止 SQL 注入、XSS 和恶意机器人。规则使用带有文本转换的匹配语句，并执行允许、阻止、Count、CAPTCHA 或质询操作。检查以​​内联方式进行，并将日志发送到 CloudWatch、S3 或 Firehose。WAF 可补充 Shield，并关联到 CloudFront、ALB、API 网关或 AppSync。