AWS WAFとは
AWSにはWAF(Web Application Firewall)という機能があります。オンプレでもハードウェアとしてのWAFやプロバイダーが提供するWAFがありますが。それと同等のサービスが用意されています。
Firewallとは何が違うのか
Firewallはネットワーク層(IPアドレス、NWアドレス、ポート番号)でアクセスを制御しますが、WAFはアプリケーション層で制御できます。
今はSaaSなどのWebアプリケーションが全盛ですので、WAFによる対策は必須とも言えます。
何をしてくれるのか
代表例ですが、以下のような攻撃を防いでくれます。ユーザーによるルール設定が必要です。
(1)クロスサイトスクリプティング(XSS)・・・Webサイトの入力要素にスクリプトを埋め込まれ、意図しないページに誘導されて情報を抜き取られる
(2)SQLインジェクション攻撃・・・Webサイトの入力要素にSQL文を埋め込まれる。コードに欠陥があった場合にSQL文が実行されデータベースの情報が抜き取られたり改竄、消去されたりする
(3)CMSの脆弱性に対する攻撃・・・WordPressなどCMSの脆弱性を突いてくる攻撃
どうやって設定するのか
AWS WAFのコンソールよりルールを設定して、前回までで説明したCloudFrontと紐付けて使用します。次回はこれを試してみたいと思います。
