AWS WAF
2015/12/09
AWS Black Belt Tech Webinar 2015
アマゾン ウェブ サービス ジャパン株式会社
荒⽊靖宏
アジェンダ
•
•
•
•
AWS WAF
General Overview
位置付け
Technical Deep Dive
AWS WAF
Firewall)
(Web Application
Why AWS WAF?
• アプリ脆弱性
Good users
Web server
Bad guys
Exploit
code
Database
Why AWS WAF?
• Abuse
Good users
Web server
Bad guys
Database
Why AWS WAF?
• Application DDoS
Good users
Web server
Bad guys
Database
What is AWS WAF?
• Application DDoS
Good users
Web server
Bad guys
AWS
WAF
Database
What is AWS WAF?
• Application DDoS
AWS WAF rules:
1: BLOCK from 悪者.
2: ALLOW from not 悪者.
Good users
Web server
Bad guys
AWS
WAF
Database
What is AWS WAF?
• Application DDoS
Good users
Web server
Bad guys
AWS
WAF
Database
WAFとは？
• Web Application Firewall (WAF) は、HTTPトラフィックを
フィルタなどの制御をするためのアプライアンスや、サーバプ
ラグインなどのルールセットのこと。
• WAFは以下４つで提供されることが多い
•
•
•
•
Pure Play: スタンドアローンのアプライアンスやソフトウェア
CDN: Content Delivery Networkへのバンドル
Load Balancer: ロードバランサへのバンドル
Universal Threat Manager (UTM): 統合セキュリティ管理
（UTM）の⼀部として提供
なぜWAFを使うのか
• WAFは、Webサイトやアプリケーションが、攻撃されてダウン
したりデータが流出したりすることがないように⼿助けをする
• WAFの⼀般的なユースケース
•
•
•
SQL Injection (SQLi) 、Cross Site Scripting (XSS)対策
Webクローラ、スクレイピング等のBOT対策
DDoS緩和 (HTTP/HTTPS floods)
• ガートナーのレポートによると、導⼊理由の25-30%はPCIDSS対応のため
•
Magic_Quadrant_for_Web_Application_Firewalls.pdfによる
AWS WAF
カスタムルールに
よるフィルタ
SQLインジェクション、
XSSなどの
よくある攻撃への対策
モニタリング
これまでのWAF
• 設定は複雑で時間がかかる
これまでのWAF
• ルールが増えるにつれ誤検知（False positive）
に悩むことになる
これまでのWAF
• No API
これまでの WAF
• 導⼊と維持コストが⾼すぎる
• プロフェッショナルサービス
が必要になる
• ⾒積もりが過⼤になりがち
お客様の要望に応じてAWSが実現したWAF
• 実践的なセキュ
リティモデルを
簡単に導⼊
• フレキシブルに
ルールをカスタ
マイズできる
• DevOpsとの統
合
それらをAWSの「使っただけ」の⽀払い
AWS WAFとMarketplaceの併⽤について
AWS WAF
• Amazon CloudFrontとの併⽤
• クラウドベースの防御
• セルフサービス、簡単なデプロイ、
使った分だけのお⽀払い
• オートスケール
• DevOpsと相性がいい
• “Do it yourself”
Marketplace WAFs
• EC2インスタンス上で動作
• マネージドサービス、BYOL、1時間単
位など様々
• スケールさせるには別途設定、変更点、
特別作業等必要
CloudFront without WAF
CloudFront
users
hackers
bad bots
legitimate
traffic
SQL Injection,
XSS, other
attacks
site
scraping
AND/
OR
Edge
Location
S3
ELB
EC2
Customer On Premises
Environment
Origin Server
Origin Storage
悪意をもったトラフィックを含めてHTTP/HTTPSであれば通る
これまでのWAF配置
WAF on EC2はELBでサンドイッチする。結果、複雑になり、レイテンシ
も上昇する
ELB Sandwich
CloudFront
users
hackers
bad bots
legitimate
traffic
ELB
Edge
Location
SQL Injection,
XSS, other
attacks
WAF
ELB
EC2
Customer On Premises
Environment
site
scraping
WAF
Origin
Origin Storage
CloudFront with AWS WAF
CloudFront
users
hackers
bad bots
legitimate
traffic
SQL Injection,
XSS, other
attacks
site
scraping
Edge
Location
AND/
OR
WAF
S3
ELB
EC2
Customer On Premises
Environment
Origin Server
Origin Storage
不正なトラフィックはエッジロケーションにあるWAFでブロック。
• AWS外のリソースでもOK
• 動的なコンテンツでも静的なコンテンツでもOK
AWS WAF Components
1.
2.
3.
4.
5.
Web Access Control Lists (WebACL)
条件 – IPアドレス / ⽂字列 / SQLインジェクション
ルール - 順位 / アクション
AWSリソース (現状ではCloudFront)
レポート (リアルタイムのメトリクスとサンプリングされたリ
クエスト)
AWS WAF: WebACL
• WebACLsは、condition, rules, action
で構成
• WebACLsは⼀つあるいは複数の
CloudFront distributionに適⽤
• WebACLsはリアルタイムのメトリクス
と、サンプリングされたリクエストを
ルールごとに表⽰
AWS WAF: Conditions
• Conditionsはwebリクエストを判定するコン
ポーネント
• Conditionsでは⼀致判定を⾏う
•
•
•
IPアドレス i.e., /8, /16, /24, /32
⽂字列, i.e., URI, クエリ⽂字列, ヘッダ, etc.
SQLインジェクション, i.e., looks for invalid
SQL statements
• Conditionsは論理的に分離されている(OR)
Match conditions: IPSets
CIDR はオクテット毎の設定:
• 192.0.0.0/8 – Matches 192.*.*.*
• 192.168.0.0/16
• 192.168.32.0/24
• 192.168.32.64/32 – IPアドレスべた指定は/32を使う
制限について
l IPSetあたり1,000 CIDRまで
l webACLあたり、CIDRはトータルで10,000まで
Match conditions: Strings and bytes
Webリクエストの内容と照合する
Rule
RAW request headers
Host: www.example.com
User-Agent: Mozilla/5.0 (Macintosh; …
Accept: image/png,image/*;q=0.8,*/
*;q=0.5
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referrer: http://www.example.com/
Connection: keep-alive
Good users
String match condition
Check: Header
“Referrer”
Match Type: Contains
Match: “example.com”
Action: ALLOW
AWS
WAF
CloudFront
Match conditions: Strings and bytes
Rule
RAW request headers
Host: www.example.com
User-Agent: badbot
Accept: image/png,image/*;q=0.8,*/
*;q=0.5
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referrer: http://www.example.com/
Connection: keep-alive
Scraper bot
String match condition
Check: Header “UserAgent”
Match Type: Contains
Match: “badbot”
Action: BLOCK
AWS
WAF
CloudFront
Match conditions: Strings and bytes
“transforms”をつかってちょっとした変更には対応可能
Rule
RAW request headers
Host: www.example.com
User-Agent: bAdBoT
Accept: image/png,image/*;q=0.8,*/
*;q=0.5
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referrer: http://
www.InTeRnEtkItTiEs.com/
Connection: keep-alive
Scraper bot
String match condition
Check: Header “UserAgent”
Transform: To lower
Match Type: Contains
Match: “badbot”
Action: BLOCK
AWS
WAF
CloudFront
Match conditions: Strings and bytes
条件
1.
2.
3.
4.
5.
Contains
Exact
Begins with
Ends with
Contains word
Transformation
1. Convert to lowercase
2. HTML decode
3. 空⽩除去
4. Simplify command line
5. URL decode
Match conditions: Strings and bytes
悪意のあるバイナリの発⾒にはBase64エンコードが使える
8950 4e47
0d0a 1a0a
0000 000d
$> base64 bad.bin
iVBORw0KGgoAAAAN
“iVBORw0KGgoAAAAN”
bad.bin
1. Select binary file
2. Base64 encode
3. Set match criteria
Match conditions: SQLインジェクション
query stringsを URL decode後にチェックする
SQLiについては
AWS WAFが定義
しているコードの
み
Match conditions: SQLインジェクション
クエリ文字列のチェックには URL decode
/login?x=test%27%20UNION%20ALL%20select%20NULL%20--
URL decode
/login?x=testʼ UNION ALL select NULL --
AWS WAF: Rules
• ルールはあらかじめ決められたcondition
とアクションのセット
• 利⽤可能なアクション
•
•
•
Block
Allow
Count
• ルールは論理的には結合している
（AND）
• ルールは複数のWebACLsと適⽤される
Reuse conditions
• web ACLの再利⽤イメージ
Web ACL #1
Shared blacklist
Web ACL #2
CloudFront
distributions
AWS WAF: Resource
• WebACLsはCloudFront distributionsに適⽤される
• ルールは再利⽤できる：ひとつのWebACLを全ての
distributionsに使える
• フレキシブル: WebACLをdistributionに個別にセットできる
AWS WAF: Reporting and Logs
•
Real-Time Metrics (CloudWatch):
• ブロック
• 許可
• カウントのみ
– 分析のためのルールはすぐに適
⽤される
– 時間区切りはグラフをスライド
させて指定できる
• WAFのログはCloudFrontと統
合
AWS WAF: Request Process
CFはWAFの対象かど
うかを判定
エラーページがCloudFrontから戻され
る
HTTP/HTTPSのリク
エストがCloudFront
に発せられる
WAFはリクエストを
レビューし、CFに対
してallow/denyを伝
える
CloudFront経由でコンテンツ配送
WAFはメトリクスを
Cloudwatchに送る。
利⽤者はルールをいつ
でも変更可
費⽤について
⽉間の費⽤例
– テスト⽤ (1 rule): $6
– Small site (6 rules, 58M views): $46
– Medium site (6 rules, 260M views): $167
AWS WAFの利⽤戦略
ルール戦略
ネガティブ
• 多くの本番はこちら
• ALLOW by default
• BLOCK known-bad threats
ポジティブ
• 制限実⾏時が多い
• BLOCK by default
• ALLOW known-good
Examples
• BLOCK マルウェア配布IPレンジ
• BLOCK “{;}”
Examples
• ALLOW オフィスのIPレンジ
• ALLOW referrer header
“example.com”
緩和戦略
• Static policies – よく知られた⼿法の脅威むけ
• Reactive policies – ⼿法が変化する脅威向け
AWS WAF パートナー
によるルールの更新も
カウント機能を使った脅威発⾒
Count mode
Alert on Amazon CloudWatch metrics
Get sampled requests
Add bad IPs to BlackList
これらをあわせた典型的な使い⽅
• Ruleの順番に注意！
1. WhiteListed IPs – ALLOW
2. BlackListed IPs – BLOCK
3. BlackListedSignatures – BLOCK
4. SQLInjection – COUNT
5. SuspiciousActivity - COUNT
• Default: ALLOW
レポート⾃動化の流れ
1. Alarm on count
CloudWatch
Alarm
2. Send
Amazon SNS
notification
SNS
Topic
4. Format
sampled requests
AWS Lambda
5. Get
sampled requests
AWS WAF
6. Send email
notification
SNS
Topic
Operator
AWS WAFウォークスルー
AWS WAF: End to End Flow
1) WebACLの作成
2) Conditions (IP, string match, SQL)作成
3) RulesとActions (order, rule, action)作成
4) WebACLをCloudFrontに適⽤
5) レビュー
AWS WAF: Update WAF resources via API
• トークンベースで処理:
1
変更⽤トークン取得: WAFリソースを変更するための⼀回
限りのトークンを取得
2
変更のためにトークン使⽤
3
ステータス確認のためにトークン使⽤: INSYNCは、変更中で
あることを⽰す
GetChangeToken
$ aws waf get-change-token
{
}
"ChangeToken”:"d4c4f53b-9c7e-47ce-9140-0ee5765d6bff"
Create*
$ aws waf
create-web-acl
--name Test
--metric-name Test
--default-action Type=ALLOW
--change-token d4c4f53b-9c7e-47ce-9140-0ee5765d6bff
GetChangeTokenStatus
$ aws waf
get-change-token-status
--change-token d4c4f53b-9c7e-47ce-9140-0ee5765d6bff
{
"ChangeTokenStatus":{
”ChangeToken":"d4c4f53b-9c7e-47ce-9140-0ee5765d6bff ",
“Status”:
"PROVISIONED", OR
"PENDING", OR
"INSYNC"
]
},
}
Update*Set
$ aws waf
update-ip-set
--ip-set-id
--change-token d4c4f53b-9c7e-47ce-9140-0ee5765d6bff
--updates
[
},
]
{"Action": "INSERT",
"IPSetDescriptor":
{"Type": "IPV4",
"Value": "192.168.0.0/16"}
{"Action": "INSERT",
"IPSetDescriptor":
{"Type": "IPV4",
"Value": "192.168.5.0/24"}
}
GetSampledRequests
GetSampledRequestsは、指定された時間内（最⼤3時間前まで）
に⾏われた最⼤500リクエストをサンプリングした情報を得るのに
つかう。
{
"MaxItems": number,
"RuleId": "string",
"TimeWindow": {
"EndTime": number,
"StartTime": number
},
"WebAclId": "string"
}
WAF Example: A Technical Implementation
悪いボットを動的に退治する
WAF Example: Blocking Bad Bots
• 必要なもの
• IPSet: ブロックするIPアドレスリスト
• Rule: IPSetにマッチしたら、ブロックする
• WebACL: デフォルトではリクエストは許可。Ruleに含まれる
• 加えて必要なのは…
• 悪いボットを検出する⽅法
• 悪いボットのIPアドレスをIPSetに追加する⽅法
WAF Example: 悪いボットの検出
• robots.txt にスクレイプ禁⽌
条項を書いておく
• スクレイプ禁⽌コンテンツへの
リンクを隠しリンクとして書い
ておく
•
•
•
$ cat webroot/robots.txt
User-agent: *
Disallow: /honeypot/
•
<a href="/honeypot/"
class="hidden" ariahidden="true">click me</a>
WAF Example: 悪いボットのブラックリスト
•
•
•
悪いボット (robots.txtを無視するも
の)は隠しリンクをリクエストする
トリガスクリプトが
• ソースIPアドレスを検出
• トークンを変更
• ソースIPアドレスをIPSetのブ
ラックリストに追加
WebACLは続くリクエストをブロッ
ク
$ aws --endpoint-url https://
carrot.amazon.com/ carrot get-change-token
{
"ChangeToken": "acbc53f2-46db-4fbd-b8d5dfb8c466927f”
}
$ aws --endpoint-url https://
carrot.amazon.com/ carrot update-ip-set -cli-input-json '{ "IPSetId": ”<<IP SET ID>>",
"ChangeToken": "acbc53f2-46db-4fbd-b8d5dfb8c466927f", "Updates": [ { "Action":
"INSERT", "IPSetDescriptor": { "Type":
"IPV4", "Value": ”<<SOURCE IP>>/32" } } ] }’
{
"ChangeToken": "acbc53f2-46db-4fbd-b8d5dfb8c466927f”
}
Q&A
次回Webinarのお申し込み
http://aws.amazon.com/jp/event_schedule/
AWS Black Belt Tech Webinar 2015 〜今後の配信
• 12⽉は「新サービス紹介⽉間」
– 12/16 Amazon EC2 スポットインスタンス & Auto Scaling
– 12/22 AWS Black Belt 年の瀬座談会(※⽕曜⽇開催です)
• お申し込みサイト
• http://aws.amazon.com/jp/about-aws/events/
Webinar資料の配置場所
• AWS クラウドサービス活⽤資料集
– http://aws.amazon.com/jp/aws-jp-introduction/
公式Twitter/Facebook
AWSの最新情報をお届けします
検索
@awscloud_jp
もしくは
http://on.fb.me/1vR8yWm
最新技術情報、イベント情報、お役⽴ち情報、お得なキャンペーン情報などを
⽇々更新しています！
ご参加ありがとうございました。
© Copyright 2024 Paperzz
