¿Qué son AWS WAF, AWS Shield Advanced y AWS Firewall Manager?

Puede utilizar AWS WAF, AWS Shield y AWS Firewall Manager juntos para crear una solución de seguridad integral. AWS WAF es un firewall de aplicaciones web que permite supervisar las solicitudes web que los usuarios finales envían a sus aplicaciones y para controlar quién accede a su contenido. Shield Advanced proporciona protección contra los ataques de denegación de servicio distribuido (DDoS) a los recursos de AWS en las capas de red y transporte (capas 3 y 4) y en la capa de aplicaciones (capa 7). AWS Firewall Manager proporciona administración de protecciones como AWS WAF y Shield Advanced en todas las cuentas y los recursos, incluso cuando se agregan nuevos recursos.

¿Qué es AWS WAF?

AWS WAF es un firewall de aplicación web que le permite monitorizar las solicitudes HTTP y HTTPS que se reenvíen a los recursos de su aplicación web protegida. Puede proteger los siguientes tipos de recursos:

• Distribución de Amazon CloudFront

• API de REST de Amazon API Gateway

• Equilibrador de carga de aplicación

• API de GraphQL de AWS AppSync

• Grupo de usuarios de Amazon Cognito

• Servicio de AWS App Runner

• Instancia de acceso verificado de AWS

AWS WAF le permite controlar el acceso a su contenido. En función de las condiciones que especifique, como las direcciones IP de las que provienen las solicitudes o los valores de las cadenas de consulta, su recurso protegido responde a las solicitudes con el contenido solicitado, con un código de estado HTTP 403 (Prohibido) o con una respuesta personalizada.

En el nivel más sencillo, AWS WAF le permite elegir uno de los siguientes comportamientos:

• Permitir todas las solicitudes excepto las que especifique: esto es útil cuando desea que Amazon CloudFront, Amazon API Gateway, equilibrador de carga de aplicación, AWS AppSync, Amazon Cognito, AWS App Runner o acceso verificado de AWS proporcionen contenido para un sitio web público, pero también desea bloquear las solicitudes de los atacantes.

• Bloquear todas las solicitudes, excepto las que especifique: esto es útil si quiere distribuir contenido a un sitio web restringido cuyos usuarios se puedan identificar fácilmente por medio de propiedades de las solicitudes web, como las direcciones IP que utilizan para navegar en el sitio web.

• Contar las solicitudes que coincidan con sus criterios: puede utilizar la acción Count para hacer un seguimiento de su tráfico web sin modificar la forma en que lo administra. Puede utilizarla para una supervisión general y también para probar sus nuevas reglas de manejo de solicitudes web. Cuando desee permitir o bloquear solicitudes en función de las nuevas propiedades de las solicitudes web, primero puede configurar AWS WAF para contar las solicitudes que coincidan con esas propiedades. Esto le permite confirmar sus nuevos ajustes de configuración antes de cambiar las reglas para permitir o bloquear solicitudes coincidentes.

• Ejecutar CAPTCHA o comprobaciones de desafío frente a solicitudes que coincidan con sus criterios: puede implementar CAPTCHA y controles de desafío silenciosos frente a solicitudes para ayudar a reducir el tráfico de bots a sus recursos protegidos.

AWS WAF le aporta varios beneficios:

• Protección adicional frente a ataques web gracias al uso de criterios especificados. Puede definir los criterios usando características de solicitudes web, como las siguientes:

  • Direcciones IP de origen de las solicitudes.

  • País de origen de las solicitudes.

  • Valores indicados en los encabezados de solicitudes.

  • Cadenas que aparecen en las solicitudes, ya sean cadenas específicas o cadenas que coinciden con patrones de expresiones regulares (regex).

  • Longitud de las solicitudes.

  • Presencia de código SQL que probablemente sea malintencionado (conocido como inyección de código SQL).

  • Presencia de un script que probablemente sea malintencionado (conocido como scripting entre sitios).

• Reglas que pueden permitir, bloquear o contar solicitudes web que cumplen los criterios especificados. Además, las reglas pueden bloquear o contar solicitudes web que no solo cumplan los criterios especificados, sino que también superen un número determinado de solicitudes en un minuto o en cinco minutos.

• Reglas que pueda reutilizar para varias aplicaciones web.

• Grupos de reglas administrados de vendedores de AWS y AWS Marketplace.

• Métricas y solicitudes web muestreadas en tiempo real.

• Administración automatizada mediante la API de AWS WAF.

Si desea un control detallado sobre la protección que agrega a sus recursos, AWS WAF por sí solo podría ser la elección correcta. Para obtener más información acerca de AWS WAF, consulte AWS WAF.

¿Qué es AWS Shield Advanced?

Puede utilizar las listas de control de acceso web (ACL web) de AWS WAF como ayuda para minimizar los efectos de un ataque de denegación de servicio distribuido (DDoS). Para protección adicional frente a ataques DDoS, AWS también proporciona AWS Shield Standard y AWS Shield Advanced. AWS Shield Standard se incluye automáticamente sin coste adicional alguno, aparte de lo que ya haya pagado por AWS WAF y los demás servicios de AWS.

Shield Advanced ofrece una protección ampliada frente a ataques de DDoS para sus instancias de Amazon EC2, los equilibradores de carga de Elastic Load Balancing, las distribuciones de CloudFront, las zonas alojadas de Route 53 y los aceleradores estándar de AWS Global Accelerator. Shield Advanced conlleva cargos adicionales. Las opciones y características de Shield Advanced incluyen mitigación automática de DDoS en la capa de aplicación, visibilidad avanzada de eventos y soporte dedicado del equipo de respuesta de Shield (SRT). Si posee sitios web de alta visibilidad o sufre ataques DDoS frecuentes, debería plantearse comprar las protecciones adicionales que proporciona Shield Advanced. Para obtener más información, consulte AWS Shield Advanced capacidades y opciones y Decidir si desea suscribirse a protecciones adicionales AWS Shield Advanced y aplicarlas.

¿Qué es AWS Firewall Manager?

AWS Firewall Manager simplifica las tareas de administración y mantenimiento en varias cuentas y varios recursos para todo tipo de protecciones, incluidos AWS WAF, AWS Shield Advanced, las ACL de red y los grupos de seguridad de Amazon VPC, AWS Network Firewall y DNS Firewall de Amazon Route 53 Resolver. Con Firewall Manager, configure las protecciones una única vez y el servicio las aplica automáticamente en todas sus cuentas y recursos, incluso cuando se agreguen nuevas cuentas y recursos.

Para obtener más información sobre Firewall Manager, consulte AWS Firewall Manager.