AWS WAF、 AWS Shield Advanced、 AWS Firewall Managerとは

AWS WAF、、AWS Shieldおよび をAWS Firewall Manager一緒に使用して包括的なセキュリティソリューションを作成できます。 AWS WAF は、エンドユーザーがアプリケーションに送信するウェブリクエストをモニタリングし、コンテンツへのアクセスを制御するために使用できるウェブアプリケーションファイアウォールです。Shield Advanced は、ネットワークレイヤーとトランスポートレイヤー (レイヤー 3 と 4) およびアプリケーションレイヤー (レイヤー 7) で、 AWS リソースに対する分散型サービス拒否 (DDoS) 攻撃から保護します。 AWS Firewall Manager は、新しいリソースが追加されても、アカウントとリソース間で AWS WAF や Shield Advanced などの保護を管理します。

とは AWS WAF

AWS WAF は、保護されたウェブアプリケーションリソースに転送される HTTP および HTTPS リクエストをモニタリングできるウェブアプリケーションファイアウォールです。以下のリソースタイプを保護できます。

• Amazon CloudFront ディストリビューション

• Amazon API Gateway REST API

• Application Load Balancer

• AWS AppSync GraphQL API

• Amazon Cognito ユーザープール

• AWS App Runner サービス

• AWS Verified Access インスタンス

• AWS Amplify

AWS WAF では、コンテンツへのアクセスを制御できます。リクエストの発生元の IP アドレスまたはクエリ文字列の値など、指定した条件に基づいて、保護されたリソースはリクエストに対し、リクエストされたコンテンツ、HTTP 403 ステータスコード (禁止)、カスタム応答のリクエストのいずれかで応答します。

最も簡単なレベルで、次のいずれかの動作 AWS WAF を選択します。

• 指定したリクエストを除くすべてのリクエストを許可する – これは、Amazon CloudFront、Amazon API Gateway、Application Load Balancer、 AWS AppSync、Amazon Cognito AWS App Runner、または AWS Verified Access でパブリックウェブサイトのコンテンツを提供するが、攻撃者からのリクエストをブロックする場合に便利です。

• 指定したリクエスト以外のすべてのリクエストをブロックする - これは、制限されたウェブサイトのコンテンツを提供する場合に便利です。ユーザーは、ウェブサイトをウェブリクエストのプロパティ (ウェブサイトを参照するために使用する IP アドレスなど) によって簡単に識別できるようになります。

• 条件に一致するリクエストをカウントする - Count アクションを使用して、処理方法を変更せずにウェブトラフィックを追跡できます。これは、一般的なモニタリングのほか、新しいウェブリクエスト処理ルールをテストするためにも使用できます。ウェブリクエストの新しいプロパティに基づいてリクエストを許可またはブロックする場合は、まず、それらのプロパティに一致するリクエストをカウント AWS WAF するように を設定できます。これにより、ルールを切り替えて一致するリクエストを許可またはブロックする前に、新しい構成設定を確認できます。

• 基準に一致するリクエストに対して CAPTCHA または、チャレンジチェックを実行する – リクエストに対する CAPTCHA とサイレントチャレンジコントロールを実装して、保護されたリソースへのボットトラフィックを削減することができます。

の使用 AWS WAF にはいくつかの利点があります。

• 指定した基準を使用した、ウェブ攻撃に対する追加の保護。基準を定義するには、次のようなウェブリクエストの特性を使用します。

  • リクエストの発生元の IP アドレス。

  • リクエスト送信元の国。

  • リクエストヘッダーの値。

  • リクエストに含まれる文字列 (正規表現パターンと一致する特定の 1 つ以上の文字列)。

  • リクエストの長さ。

  • 悪意のある可能性がある SQL コード (SQL インジェクション) の有無。

  • 悪意のある可能性があるスクリプト (クロスサイトスクリプティング) の有無。

• 指定された基準を満たすウェブリクエストを許可、ブロック、またはカウントするルール。また、ルールは、指定された基準を満たすだけでなく、1 分間または 5 分間にわたって指定された数のリクエストを超えるウェブリクエストをブロックまたはカウントすることもできます。

• 複数のウェブアプリケーションで再利用できるルール。

• AWS および AWS Marketplace 販売者からのマネージドルールグループ。

• リアルタイムのメトリクスとサンプリングされたウェブリクエスト。

• AWS WAF API を使用した自動管理。

リソースに追加する保護をよりきめ細かに制御したい場合は、 AWS WAF のみを使用することが適切な選択である場合があります。詳細については AWS WAF、「」を参照してくださいAWS WAF。

とは AWS Shield Advanced

AWS WAF ウェブアクセスコントロールリスト (ウェブ ACLs) を使用すると、分散型サービス拒否 (DDoS) 攻撃の影響を最小限に抑えることができます。DDoS 攻撃に対する保護を強化するために、 は AWS Shield Standard と AWS も提供します AWS Shield Advanced。 AWS Shield Standard は、すでに支払った料金やその他の AWS サービスを超える追加コストなしで自動的に含まれ AWS WAF ます。

Shield Advanced は、Amazon EC2 インスタンス、Elastic Load Balancing ロードバランサー、CloudFront ディストリビューション、Route 53 ホストゾーン、および AWS Global Accelerator 標準アクセラレーターに対して、DDoS 攻撃に対する保護を拡張します。Shield Advanced には追加料金が発生します。Shield Advanced のオプションと機能には、アプリケーションレイヤー DDoS 自動緩和、高度なイベント可視性、および Shield Response Team (SRT) からの専用サポートが含まれます。認知度の高いウェブサイトを所有している場合、または頻繁な DDoS 攻撃を受けやすいという場合は、Shield Advanced が提供する追加保護の購入を検討してください。詳細については、「AWS Shield Advanced の機能とオプション」および「AWS Shield Advanced をサブスクライブして追加の保護を適用するか否かの判断」を参照してください。

とは AWS Firewall Manager

AWS Firewall Manager は、Amazon VPC セキュリティグループとネットワーク ACLs、 AWS Shield Advanced Amazon Route 53 Resolver DNS Firewall AWS WAFなど、さまざまな保護のために AWS Network Firewall、複数のアカウントとリソースにわたる管理およびメンテナンスタスクを簡素化します。Firewall Manager を使用すると、保護を 1 回設定するだけで、アカウントとリソースに (追加する新しいアカウントとリソースにも) その保護が自動的に適用されます。

Firewall Manager の詳細については、「AWS Firewall Manager」を参照してください。