최근 AWS와 WAF가 계속 싸우고 있기 때문에 WAF에 대해 좀 쓰려고 합니다.

WAF 정보

Amazon에서 제공하는 관리 WAF입니다.
CloudFront와 함께 사용하기 위해서는 WAF를 사용할 때 먼저 CloudFront를 구축해야 한다.

WAF 용어

WAF에는 세 가지 용어가 있습니다.

condition: 조건 지정(이 IP 주소로 연결), "User-Agent 포함 ○○"등)

rule: 여러 condition

요약
ACL: rule[Allow]에게, [Block]에게.[Count]를 지정하고 규칙 기반 제한을 적용합니다.

condition

다음과 같이 condition으로 설정할 수 있습니다.

IP match conditions

String match conditions

Size constraint conditions

Cross-site scripting match conditions

SQL injection match conditions

IP match conditions

IP 주소의 흰색 목록/검은색 목록을 만들고 이 목록을 기반으로 접근 거부/허용을 설정합니다.

String match conditions

흰색 목록/검은색 목록을 만들고 이 목록에 따라 접근 거부/허용을 설정합니다.

Size constraint conditions

요청 크기에 관하여 지정한 값보다 큰 크기가 필요한지 평가합니다

Cross-site scripting match conditions

AWS 내부에서 제작된 평가 규칙에 따라 XSS 요구 혐의에 대한 평가

SQL injection match conditions

AWS 내부에서 작성된 평가 규칙을 바탕으로 SQL로 요청
주입 혐의가 있는지 평가하다

주의 사항

실제 사용 시 아래 사항을 주의하십시오

일지 보기가 너무 귀찮아요.
WAF 콘솔에서 로그를 볼 수 있지만 1.5시간 정도 남았습니다.
자세한 로그는 CloudFront 로그

를 확인합니다.

XSS/SQL 주입 규칙을 설정한 상태에서 로그에 아무것도 표시하지 않으면 안 된다
XSS/SQL 주입 규칙과 관련해서는 AWS가 독자적으로 시행하는 규칙에 따라 평가하지만, 이는 외부에서 규격이 공개되지 않았다.
또 일지에도 나쁜 점이 있어 방문이 뜨거나 남지 않기 때문에 양성으로 의심되는 방문이 왔을 때 확인하기 어렵다

항목의 상한선을 설정할 수 있습니다
WAF에는 규칙으로 설정할 수 있는 항목의 상한 수가 있습니다.
이 상한수는 현상을 완화시킬 수 없다(2016/05 현재).
제한된 범위 내에서 머리를 사용하세요

이상은 내가 시도하면서 느낀 점이다.
실제 사용 시 IP 제한 등/문자열 매칭탄을 통해 특정한 접근을 하는 것이 좋지 않습니까?
SQL 주사기 평가를 넣으면 블로그 투고 시 스타일 태그가 오류로 평가되지만 원인이 심각한지 알 수 없다.

설정(ACL 생성)

그러면 IP 접속 제한이 실제로 적용됩니다.


모두 통과 후 오른쪽 다음

ACL 이름을 입력하고 다음으로 이동합니다.



마지막으로 요약본이 나와 확인한 후 ACL을 만들 것입니다.

설정(IP match condition 생성)

그런 다음 IP에 대한 제한 규칙을 설정합니다.

IP 주소 표시줄 선택, Create Condition 선택

condition 평가 주의사항

condition에 지정된 항목은 OR 평가를 수행합니다.
따라서 여기에 설정된 값 중 1개가 맞는다면 진실로 평가된다.

설정(규칙 작성)

ACL과 연관된 규칙 작성

규칙 평가의 주의사항

지정된 항목에 대한 AND 평가는 condition의 OR 평가에 비해 규칙적으로 수행됩니다.
지정된 모든 항목을 충족할 때만 진실로 평가받을 수 있어 주의가 필요하다는 것이다

ACL에 규칙 연관

규칙에 따라 Edit web ACL

설정 예

자신의 IP만 허용하는 경우 IP를 쓰는 규칙이 진짜일 때 "Allow"
기본값(규칙 위반 시)은 Block입니다.
제작된 ACL을 클라우드 프론트에 적응시켜 WAF가 역할을 발휘할 수 있다
끝맺다