AWS WAFとAWS Shieldを理解する
AWS WAFはWeb要求をルールで検査・制御し、AWS ShieldはDDoSへの保護を提供します。対象層と機能を比較し、アプリの安全な実装や運用と合わせて使う考え方を学びます。
この単元で学ぶこと
- WAFとShieldの主な保護対象を区別する
- WAFルールの動作と適用先を説明する
- 追加保護の選択とアプリ側の責任を判断する
本文解説
1. Web要求を扱うWAF AWS WAFはHTTP・HTTPS要求を検査するWebアプリケーションファイアウォールです。送信元IP、ヘッダー、クエリ文字列等の条件で要求を許可・遮断できます。ネットワークのポートだけを扱う許可設定とは異なり、Web要求の内容を条件として使います。
2. Web ACLと適用先 ルール群と既定の動作をWeb ACLとしてまとめ、CloudFrontやApplication Load Balancer等の対応資源へ関連付けます。ルールを作成しただけで任意のサーバーへ適用されるわけではありません。対応する資源、関連付け、実際の入口を確認します。
3. Countで影響を見る Countアクションは条件に一致する要求を数え、遮断の効果を確認する前の試験に使えます。Countのルール自体は要求を遮断しないため、件数が増えてもその件数だけ通信を止めたとは解釈しません。正当な利用者への影響を確認してからBlock等の動作を選びます。
4. 攻撃と誤検出 SQLインジェクションやクロスサイトスクリプティングに関する検査、管理されたルール群、レートベースの制御等を利用できます。ただし正当な要求が一致する場合もあり、条件の調整が必要です。WAFはアプリの安全なクエリ処理や出力処理を実装する代わりにはなりません。
5. DDoSを扱うShield DDoSは多くの通信等でサービスの利用を妨げる攻撃です。Shield Standardは追加料金なしで提供される一般的なDDoS攻撃への自動保護です。ただし他のAWS資源の利用料金がなくなる意味ではなく、業務の可用性を高める構成も合わせて考えます。
6. Shield Advanced Shield Advancedは追加料金のある高度なDDoS保護で、対象資源に対する追加の可視性や対応機能、SRTの支援等があります。必要な登録・設定や利用条件を確認して選びます。費用補償等の個別機能も条件があるため、「加入すれば全損害が無条件に補償される」とは考えません。
7. 一緒に使う理由 WAFのWeb要求制御とShieldのDDoS保護は組み合わせられます。Shield Advancedはネットワーク・トランスポート層に加えアプリケーション層の保護機能も持つため、単に一方を低い層、他方を高い層だけと覚えないようにします。主目的と必要な具体機能で比較します。
8. 設定を検証する 保護する入口へWeb ACLが付いているか、CountとBlockを取り違えていないか、正当な処理を妨げないかを確認します。検出・制御の結果を観測し、必要なら調整します。アプリ修正、アクセス権、監視、復旧の備えと合わせ、単独機能へ依存しない設計にします。
図解
重要ポイント
- WAFはWeb要求をルールで制御する。
- Countは一致を観測し、そのルール自体では遮断しない。
- Shield Standardと追加のAdvancedを区別する。
間違えやすい点
- Web ACL作成だけで全入口が保護されたと思う。
- WAFをアプリコードの修正の代わりにする。
用語解説
- Web ACL
- AWS WAFでルールと既定の動作をまとめて対象へ適用する設定。
- DDoS
- 多数の送信元等から負荷を与え、サービスの利用を妨害する攻撃。
- Count
- 一致要求を数え、当該ルールでは遮断を行わないWAFの動作。
- SRT
- Shield Response Team。Shield AdvancedのDDoS対応支援を担うチーム。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。