セキュリティ – AWS WAF

2024年11月17日

AWS WAF: アプリケーションをウェブ脅威から保護するウェブアプリケーションファイアウォール

AWS WAF（Web Application Firewall）は、ウェブアプリケーションをSQLインジェクションやクロスサイトスクリプティング（XSS）などの一般的なウェブ脅威から保護するためのマネージドセキュリティサービスです。

概要

AWS WAFは、ウェブアプリケーションやAPIを脅威から守るために設計されたウェブアプリケーションファイアウォールです。ルールベースでトラフィックを制御し、悪意のあるリクエストをフィルタリングします。Amazon CloudFront、Application Load Balancer（ALB）、Amazon API GatewayなどのAWSサービスと統合して、スケーラブルかつ柔軟なセキュリティを提供します。

主な特徴

カスタマイズ可能なルール
特定のIPアドレスやリクエストパターンに基づくカスタムルールを作成可能です。
マネージドルールセット
AWSが提供するマネージドルールセットを利用して、一般的な攻撃から迅速に保護を開始できます。
トラフィックモニタリング
すべてのリクエストをリアルタイムでモニタリングし、異常なパターンを検出します。
柔軟なアクション設定
トラフィックを許可（Allow）、拒否（Block）、またはログ記録（Count）するアクションを選択可能です。
統合と拡張性
AWSサービスとシームレスに統合し、グローバル規模で高パフォーマンスなセキュリティを提供します。
費用対効果
使用量ベースの料金体系で、小規模なウェブサイトから大規模なアプリケーションまで対応可能です。

構成要素

Web ACL（Access Control List）
トラフィックを制御するルールの集合体で、トラフィックを許可、ブロック、またはログ記録する設定を管理します。
ルールグループ
カスタムルールやマネージドルールをまとめたグループで、特定の攻撃タイプに対する保護を簡単に適用できます。
条件（Conditions）
ルールで使用する特定の基準（IPアドレス、URIパス、ヘッダー値など）を定義します。
アクション（Actions）
許可、拒否、またはログ記録の3つのアクションを指定可能です。
マネージドルールセット
SQLインジェクションやXSSなどの一般的な攻撃を迅速に防御できるAWS提供のルールセット。
AWS Firewall Manager
マルチアカウント環境でWAFポリシーを一元管理するツール。

活用シナリオ

ウェブアプリケーションのセキュリティ
SQLインジェクションやクロスサイトスクリプティング（XSS）などの脅威からアプリケーションを保護します。
API保護
Amazon API GatewayやALBと連携し、悪意のあるリクエストからAPIを防御します。
ボット管理
マネージドルールセットを使用して、ボットによる不正アクセスやスクリーピングを防ぎます。
DDoS緩和
AWS Shieldと組み合わせて、DDoS攻撃に対する多層的な防御を提供します。
地域制限
特定の地域や国からのアクセスをブロックまたは許可することで、アクセス制御を強化します。

設定手順

Web ACLの作成
AWSマネジメントコンソールで新しいWeb ACLを作成し、対象となるAWSリソース（CloudFront、ALBなど）を指定します。
ルールの追加
カスタムルールまたはマネージドルールセットをWeb ACLに追加し、トラフィック制御の基準を設定します。
アクションの設定
ルールごとにトラフィックを許可（Allow）、拒否（Block）、またはログ記録（Count）するアクションを指定します。
対象リソースへの適用
Web ACLを対象のリソースに関連付けて、セキュリティ設定を有効化します。
トラフィックのモニタリング
AWS WAFコンソールまたはCloudWatch Logsを使用して、トラフィックの動向をリアルタイムで監視します。
設定の最適化
トラフィックログを分析してルールを調整し、誤検知を防ぎつつセキュリティを強化します。

ソリューションアーキテクトとしてのポイント

適切なルールセットの選定
マネージドルールセットを活用し、一般的な攻撃を効率的に防ぎつつ、カスタムルールで特定の要件に対応します。
AWSサービスとの統合
CloudFrontやALB、API Gatewayと組み合わせて、エンドツーエンドのセキュリティを実現します。
ログとモニタリングの活用
CloudWatch LogsやAWS WAFコンソールを使用してトラフィックログを詳細に分析し、セキュリティ体制を継続的に改善します。
セキュリティポリシーの一元管理
AWS Firewall Managerを利用して、マルチアカウント環境でWAF設定を統一的に管理します。
コスト効率の考慮
Web ACLやルール数に応じた料金が発生するため、必要最小限のルールで効率的な運用を行います。
リアルタイムの応答性
ルール設定を適切に構成し、悪意のあるトラフィックをリアルタイムで迅速に遮断します。