AWS WAFについて調べる

WAFとは

Web Application Firewall(WAF)の略。
Webアプリケーションの脆弱性に対しての攻撃(例えばSQLインジェクション攻撃とか)から、アプリケーションを保護するセキュリティ対策として利用される技術・製品のことで、
攻撃や脆弱性を感知した場合には、リクエストをブロックする

AWS WAFドキュメント

Fierwallとの違いは

IPアドレスやポート番号で通信を許可/拒否するものではないという点。
AWSでいうとセキュリティグループがFirewallにあたる。
Firewallでは悪意のあるアクセスなのかまでは判断することができない。

導入箇所

ALB・CloudFront・API Gatewayに割り当てて利用する

AWS WAFの攻撃範囲

※Aws BlackBelt Onlineセミナーから引用

AWS WAFの用語

• WebACL
  • 1つのWAFの設定の塊
  • CloudFront・ALB・API Gatewayに割り当てる単位
  • 1つのリソースに対して1つのWebACLのみ、割り当てることができる
  • 複数のリソースに対して同じWebACLを割り当てることができる
  • 複数のルール/ルールグループを内包する
  • WebACLキャパシティユニット(WCU)が1500まで
    • ルールごとの重みの合計値のこと
• ルール
  • リクエストに対する条件のまとまり
  • ルールごとにWCUが設定されている
• ルールグループ
  • ルールをまとめたもの
  • 事前に定義可能
• アクション
  • リクエストをルールに照らし合わせた結果をどう扱うかの設定
  • Count(カウント)・Allow(許可)・Block(ブロック)がある
    • Count
      • AWS WAF はリクエストをカウントしますが、リクエストを許可するかブロックするかは決定しません。このアクションにより、AWS WAF がウェブ ACL の残りのルールの処理を継続します。リクエストにカスタムヘッダーを挿入し、他のルールが照合できるラベルを追加できます。
    • Allow
      • AWS WAF では、処理と応答のためにリクエストを AWS リソースに転送できます。このアクションにより、リクエストのウェブ ACL 評価が終了します。保護されたリソースに転送する前に、カスタムヘッダーをリクエストに挿入できます。
    • Block
      • AWS WAF はリクエストをブロックします。このアクションにより、リクエストのウェブ ACL 評価が終了します。デフォルトでは、AWS リソースは HTTP 403 (Forbidden) ステータスコードで応答しますが、応答をカスタマイズできます。AWS WAF がリクエストをブロックする場合、ブロックアクション設定は、保護されたリソースがクライアントに送り返す応答を決定します。
  • ルール毎にアクションがあり、全てのルールに当たらなければWebACLに設定された　DefaultActionに沿って処理される

AWS WAFで作成できるルール

• IP制限
  • 管理系ページへのアクセス制限
    • 特定path以下へのアクセスは特定アドレス(拠点とか)からのみ許可する
  • ブラックリスト
    • 特定のIPアドレスをブロックする
• レートベースのルール
  • 5分間で閾値を超える同一アドレスからのアクセスがあった場合に、ブラックリストに追加する。
  • 一定時間経過するとブラックリストから解除する
• 特定の脆弱性に関するルール
  • XSS(クロスサイトスクリプティング)やSQLインジェクションなどWebアプリケーションの脆弱性に関するルールを作成する
• 悪意のあるHttpリクエストかを確認するルール
  • httpヘッダーがIPアドレスかを確認したり
  • httpリクエストの長さを確認したり

AWS Managed Rules for AWS WAFの種類

ベースラインルールグループ

様々な既知の脅威に対する一般的なルールを提供する
これらのルールグループのうち１つ以上を選択して、対象のアプリケーションを保護するためのベールラインとなるルールを設定

• Core rule set
  • OWASP Top10の脅威に基づく、一般的なウェブアプリケーションに適用可能な防御ルール
• Admin protection
  • 公開されている管理ページへの外部アクセスをブロックするためのルール
• Known bad inputs
  • 無効であることがわかっており、脆弱性の悪用またわ探索に関するリクエストパターンをブロックするルール

ユースケース別のルールグループ

ユースケールに合わせた追加の保護対策を提供
保護対象のオペレーティングシステムやミドルウェア、アプリケーションによって、適切なルールを選択する

• SQL database
  • SQLインジェクション攻撃など、SQLデータベースの悪用に関するリクエストパターンをブロックするルール
• Linux operating system
  • Linux固有のローカルファイルインクルージョン(LFI)攻撃など、Linux固有の脆弱性の悪用に関するリクエストパターンをブロックするルール
• PHP application
  • 安全でないPHP関数のインジェクションなど、PHPに固有の脆弱性の悪用に関するリクエストパターンをブロックするルール
• WordPress application
  • WordPressサイト特有の脆弱性の悪用に関するリクエストパターンをブロックするルール
• POSIX operationg system
  • POSIXおよびPOSIXと同様のオペレーティングシステムに固有の脆弱性の悪用(ローカルファイルインクルージョン(LFI)攻撃など)に関連するリクエストパターンをブロックするルール
• Windowns operation system
  • PowerShellコマンドのリモート実行など、Windows固有の脆弱性の悪用に関連するリクエストパターンをブロックするルール

IPレピテーションルールグループ

ここの攻撃の種類に対するルールではなく、よく踏み台などにされるIP元リストを提供しており、それらIPに基づいてリクエストをブロックする

• Amazon IP requtation list
  • botやその他の脅威に関連づけられているIPアドレスをブロックするルール。Amazon内部の脅威インテリジェンスにもどずくルールによって脅威IPが収集されている。
• Anonymous IP list
  • VPN、プロキシ、Torノード、ホスティングプロバイダーなどのビューワーIDの難読化を許可するサービスからのリクエストをブロックするルール

Bot Controlルールグループ(有償)

ボットと判断されるリクエストを検知し、それに基づいたアクションを行う

• botに特化したマネージドルールを提供
• リクエストによってbotの種別を表すラベルを追加
  • ラベル内にbotの種類と特徴(シグナル)を表す情報を付与
• AWS WAFを利用する全てのユーザーは、Bot Controlのルールグループを有効にせずとも、一定の可視性が得られる
  • Bot Controlルールを利用した場合の効果を事前に取得し、利用の可否を決めることができる。

Account Takeover Preventionルールグループ(有償)

ログインページに対する不正なアクセスから保護するためのルールグループ

• 盗まれた認証情報を利用したログイン試行を可視化及び制御
  • クレデンシャルフタッフィング攻撃
  • ブルートフォース攻撃
  • その他の異常のログイン試行
• POSTされたデータを盗まれたクレデンシャルのデータベースと照合
• アプリケーション統合SDKの利用で検知能力を向上(オプション)
  • Javascript、iOS/Android SDK

参考記事