c1.15 Web アプリケーションを保護する
インターネットに面したアプリケーションを、最も一般的な Web 攻撃から web application firewall で保護します。最も速い方法は AWS WAF と AWS マネージドルールグループです。数分で保護が得られ、従量課金で運用負荷も低く抑えられます。
実装ガイダンス
数分で得られるマネージド保護
AWS WAF は Amazon CloudFront、Application Load Balancer、API Gateway、AppSync などの入口に直接アタッチでき、素早く展開できます。AWS マネージドルールのルールグループを有効化すると、最も一般的で重大な攻撃(OWASP Top 10 に対応)への即時のカバレッジに加え、既知の不正・ボットネット IP をブロックするレピュテーションリストが得られます。オプションのマネージドグループはアカウント乗っ取り防止、ボットコントロールなどを追加します。
なぜ Quick Win なのか
ほとんどの Web アプリはユーザーに提供するために公開が必要で、それによりアプリやそのミドルウェアの脆弱性が露出します。セキュアコーディングは不可欠ですが時間と専門性を要します。WAF は、より深いアプリケーションセキュリティの作業が進む間、悪用をブロックする迅速で価値の高いレイヤーです。数分で展開でき、弾力的にスケールし、従量課金モデルによりほとんどのケースで低コストです。
一貫して展開し、その後チューニングする
AWS Firewall Manager を使って、組織内のすべての CloudFront ディストリビューション、ALB、API Gateway に既定の WebACL を適用し、保護されないアプリがないようにします。ルールはまず count モードで観測を開始し、正当なトラフィックに誤検知がないことを確認してから block に切り替えます。
Quick Win の先へ
特殊なニーズには、AWS Marketplace のパートナー WAF/セキュリティソリューション(F5、Fortinet、Imperva など)を重ねられます。WAF の簡単な展開と弾力的なスケーリングは維持されます。後の、より深いフェーズについてはカスタムルールの WAFを参照してください。
全体像
How to validate
- インターネットに面したすべてのアプリケーションを WAF が保護していますか。どのように展開していますか?
- AWS WAF は組織全体で一貫して展開されていますか(例:Firewall Manager で CloudFront、ALB、API Gateway に既定の WebACL を適用)?
- ルールは block モードですか、それともまだカウントのみですか?
- どの AWS マネージドルールグループが有効ですか?
Threats addressed
- インターネットに面したアプリケーションは、アプリやそのミドルウェアの脆弱性を敵対者に露出させます。マネージド WAF ルールは、最も一般的な悪用の試みをアプリケーションに到達する前にブロックします。
- 開発チームがあらゆる Web 攻撃に対して堅牢化する時間や専門性を持つことはまれです。WAF は、セキュアコーディングの実践が成熟する間、即時の保護レイヤーを提供します。
AWS サービス
AWS WAF 
Amazon CloudFront 
AWS Firewall Manager 料金
AWS WAF は従量課金です。WebACL ごと・ルールごとの月額料金に加え、検査した 100 万リクエストあたりの料金がかかります。AWS のマネージドルールグループは含まれます。AWS Marketplace のルールグループはサブスクリプションが追加されます。AWS WAF の料金を参照してください。