フロント側にWAFを置きたい

[halsk]

改善詳細 / Details of Improvement

• フロント側のセキュリティ向上のためにWAFを置きたい
• ほかの手段も要検討

スクリーンショットなど / Screenshot

期待する見せ方・挙動 / Expected behavior

• WAF にこだわるものではないが、不正アクセスの監査やブロックを行うことを検討したい

対象インスタンス / Instances

• 全て

[komtaki]

@ayuki-joto

Cloud Frontの導入が済んだので、こちら検討しようかと思います。

AWS WAFは安く、カスタマイズ性が高い、また導入が簡単です。
そのためstagingでカウントモードでルールを組んでみようと思いますが、問題ないでしょうか？

その後、ルールをチューニングしつつ本番に入れられるか検証する流れを考えています。:+1:

[ayuki-joto]

@komtaki
ぜひ！お願いします！

[komtaki]

承知しました。早速、stagingにオーソドックスな下記4ルールをCOUNTモードで付けてみました。

• AWSManagedRulesCommonRuleSet
• AWSManagedRulesKnownBadInputsRuleSet
• AWSManagedRulesLinuxRuleSet
• AWSManagedRulesSQLiRuleSet

https://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/aws-managed-rule-groups-list.html

[komtaki]

@ayuki-joto

上記4ルールプラス下記で、全部盛りにしてみました。:+1:

• AWSManagedRulesAmazonIpReputationList

stagingで普通にざっと触って全て正常リクエストでした。またSQLインジェクションぽいURLを叩き、AWSManagedRulesSQLiRuleSetで検知されましたがブロックはされずカウントのみになっていることは確認しました。

ただ予想以上にアクセスがないので、本番にもカウントモードで入れたいです。
本番用のwafを作成したので、確認をお願いします。

[komtaki]

MRもマージしていただき、問題なさそうなので本番にカウントモードでアタッチしました。 👍

[ayuki-joto]

@komtaki
対応ありがとうございます！
ちなみにWAFで特定のURLのみアクセスをブロックするようなことは可能でしょうか？
#254 ここで問題になっていたURLに対して，robots.txtを無視してクローリングしてくるbotがいるので一旦WAFで手間がかからず対応可能なら止めてしまいたいと思っています！

[komtaki]

ちなみにWAFで特定のURLのみアクセスをブロックするようなことは可能でしょうか？

可能です。ただ現状のWAFルール「NoUserAgent_HEADER」でも、悪質と判定されているボットアクセスが数百あるので、まずはそちらを有効化したいです。カスタマイズしなくても除去できるかもしれないので。

https://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/aws-managed-rule-groups-list.html

[ayuki-joto]

@komtaki
なるほどそちらも別途対応した方が良さそうですね．
ただ現状問題となっている部分に関しては，海外の検索エンジンからのbotというのはuser-agentからわかっているので，こちらの対応も必要かと思っています！

[komtaki]

@ayuki-joto

• AWSManagedRulesKnownBadInputsRuleSet
• AWSManagedRulesLinuxRuleSet
• AWSManagedRulesSQLiRuleSet
• AWSManagedRulesAmazonIpReputationList

ご検知がなさそうな上記4ルールを本番でブロックモードにしました。

下記はしばらく様子見て調整します。また海外の検索エンジンからのbotの件を確認するので、Botのユーザーエージェントを教えてもらえると助かります。

• AWSManagedRulesCommonRuleSet

[komtaki]

本番もAWSManagedRulesCommonRuleSetを有効化しました。

[komtaki]

本番導入後、問題なさそうなのでクローズします。

Botの件もインスタンススケールアップ&wafの導入で現状大丈夫そうです。

また何かあれば別途issueをたててください。:bow: