AWS WAF

Webへの不正アクセスをルールで防ぐサービス。

用語一覧に戻る関連する模擬問題へ進む

一言でいうと

Webへの不正アクセスをルールで防ぐサービス。

概要

Webアプリケーションへの攻撃的なリクエストをルールで制御するサービス。CloudFrontやALBと連携できる。

主な用途

SQLインジェクション対策
Botや大量アクセスの制御
CloudFront配信サイトの保護

CLF-C02 試験ポイント

Webアプリケーションを保護するファイアウォール
CloudFrontやALBと連携する
マネージドルールを利用できる

SAA-C03 試験ポイント

Rate-based ruleで大量アクセスを制限する
CloudFrontに関連付ける場合はグローバル扱いになる
コストと防御範囲を比較する

実際の使いどころ

AWS WAF（Web Application Firewall）は、Web アプリケーションに対する悪意あるリクエストをルールベースで検知・ブロックするマネージドファイアウォールサービスである。SQL インジェクション・クロスサイトスクリプティング（XSS）・特定 IP アドレスからの大量リクエスト・特定地域からのアクセスなどを、ルールに従って評価する。WAF はそれ単体で動作するのではなく、CloudFront・Application Load Balancer（ALB）・API Gateway・ AWS AppSync など「保護対象のリソース」に紐づけて配備する。ルールには 3 種類ある。マネージドルール（AWS や AWS Marketplace パートナーが提供するルールセット）、カスタムルール（自分で条件を記述）、レートベースルール（一定期間内のリクエスト数に基づくブロック）である。マネージドルールには OWASP Top 10 対策・Bot 管理・既知の悪意ある IP 対策など、よく使うルールセットが含まれており、有効化するだけで基本的な保護を開始できる。これらをルールグループとして Web ACL（Access Control List）に束ね、Web ACL を保護対象リソースに関連付ける構成となる。料金は Web ACL 数・ルール数・処理リクエスト数による従量課金で、マネージドルールには別途ルールグループごとの料金が加算される。AWS Shield Standard との関係も整理しておく必要があり、Shield Standard は L3/L4 の DDoS 対策を全 AWS ユーザーに無料で提供するのに対し、WAF は L7（HTTP/HTTPS）層のルールベース防御を担う。両者は守備範囲が異なるため、Web アプリの保護には WAF と Shield Standard を併用するのが基本である。CLF-C02 では「WAF = L7 の Web アプリ保護」「CloudFront / ALB と連携」「マネージドルールで SQL インジェクションや XSS を防げる」という整理が頻出論点となる。

公式ドキュメント

コスト注意点

Web ACL、ルール、リクエスト数に課金される
MVPではアクセス増加後に導入判断する

セキュリティ注意点

誤検知で正規ユーザーをブロックしないようログを確認する
ルール変更権限を限定する