O que são AWS WAF, AWS Shield Advanced; e AWS Firewall Manager?

Você pode usar AWS WAFAWS Shield, e AWS Firewall Manager em conjunto para criar uma solução de segurança abrangente. AWS WAF é um firewall de aplicativo da web que você pode usar para monitorar as solicitações da web que seus usuários finais enviam aos seus aplicativos e para controlar o acesso ao seu conteúdo. O Shield Advanced fornece proteção contra ataques distribuídos de negação de serviço (DDoS) para AWS recursos, nas camadas de rede e transporte (camadas 3 e 4) e na camada de aplicativos (camada 7). AWS Firewall Manager fornece gerenciamento de proteções como AWS WAF a Shield Advanced em todas as contas e recursos, mesmo quando novos recursos são adicionados.

O que é AWS WAF?

AWS WAF é um firewall de aplicativo web que permite monitorar as solicitações HTTP e HTTPS que são encaminhadas para os recursos protegidos do seu aplicativo web. É possível proteger os seguintes tipos de recursos:

• CloudFront Distribuição da Amazon

• API REST do Amazon API Gateway

• Application Load Balancer

• AWS AppSync API do GraphQL

• Grupo de usuários do Amazon Cognito

• AWS App Runner serviço

• AWS Instância de acesso verificado

AWS WAF permite que você controle o acesso ao seu conteúdo. Com base nas condições que você especificar, como de quais endereços IP se originam as solicitações ou os valores das strings de consulta, seu recurso protegido responde às solicitações com o conteúdo solicitado, um código de status HTTP 403 (proibido) ou uma resposta personalizada.

No nível mais simples, AWS WAF permite escolher um dos seguintes comportamentos:

• Permitir todas as solicitações, exceto aquelas que você especificar — Isso é útil quando você deseja que a Amazon CloudFront, o Amazon API Gateway, o Application Load Balancer AWS AppSync, o Amazon Cognito AWS App Runner AWS ou o Verified Access forneçam conteúdo para um site público, mas você também deseja bloquear solicitações de invasores.

• Bloquear todas as solicitações, exceto as que você especificar: isso é útil quando você deseja fornecer conteúdo a um website restrito cujos usuários são prontamente identificáveis pelas propriedades nas solicitações da web, como os endereços IP que eles usam para navegar até o website.

• Contar as solicitações que correspondam aos seus critérios: você pode usar a ação Count para rastrear seu tráfego na web sem modificar a forma como você lida com isso. Você pode usar isso para monitoramento geral e também para testar suas novas regras de tratamento de solicitações da web. Quando quiser permitir ou bloquear solicitações com base em novas propriedades nas solicitações da Web, você pode primeiro configurar AWS WAF para contar as solicitações que correspondem a essas propriedades. Isso permite que você confirme suas novas configurações antes de mudar suas regras para permitir ou bloquear solicitações correspondentes.

• Executar verificações de CAPTCHA ou de desafio em solicitações que correspondam aos seus critérios: você pode implementar CAPTCHA e controles de desafio silenciosos em solicitações para ajudar a reduzir o tráfego de bots para seus recursos protegidos.

O uso AWS WAF tem vários benefícios:

• Proteção adicional contra ataques da web usando as condições que você especificar. Você pode definir condições usando as características das solicitações da web, como as seguintes:

  • Endereços IP dos quais as solicitações se originam.

  • País de origem das solicitações.

  • Valores nos cabeçalhos da solicitação.

  • As strings exibidas em solicitações, sejam strings específicas ou strings correspondentes a padrões de expressão regular (regex).

  • Comprimento das solicitações.

  • Presença de código SQL que pode ser mal-intencionado (conhecido como injeção de SQL).

  • Presença de um script que provavelmente é mal-intencionado (conhecido como cross-site scripting).

• Regras que podem permitir, bloquear ou contar solicitações da web que atendem aos critérios especificados. Como alternativa, as regras podem bloquear ou contar solicitações da web que não apenas atendam aos critérios especificados, mas também excedam um número específico de solicitações em um ou cinco minutos.

• Regras que você pode reutilizar para várias aplicações web.

• Grupos de regras gerenciados de AWS e AWS Marketplace vendedores.

• Métricas em tempo real e solicitações da web amostradas.

• Administração automatizada usando a AWS WAF API.

Se você deseja ter controle granular sobre a proteção que é adicionada aos seus recursos, apenas o AWS WAF é a escolha certa. Para obter mais informações sobre AWS WAF, consulteAWS WAF.

O que é AWS Shield Advanced?

Você pode usar listas de controle de acesso à AWS WAF web (ACLs da web) para ajudar a minimizar os efeitos de um ataque distribuído de negação de serviço (DDoS). Para proteção adicional contra ataques de DDoS, AWS também fornece AWS Shield Standard e. AWS Shield Advanced AWS Shield Standard é incluído automaticamente sem nenhum custo extra além do que você já paga AWS WAF e de seus outros AWS serviços.

O Shield Advanced fornece proteção expandida contra ataques de DDoS para suas instâncias do Amazon EC2, balanceadores de carga do Elastic Load Balancing, distribuições, CloudFront zonas hospedadas do Route 53 e aceleradores padrão. AWS Global Accelerator O Shield Advanced incorre em cobranças adicionais. As opções e atributos do Shield Advanced incluem mitigação automática de DDoS na camada de aplicativos, visibilidade avançada de eventos e suporte dedicado da Shield Response Team (SRT). Se você possui sites de alta visibilidade ou suscetíveis a ataques de DDoS frequentes, avalie a possibilidade de comprar os recursos adicionais que o Shield Advanced fornece. Para obter informações adicionais, consulte AWS Shield Advanced capacidades e opções e Como decidir se deseja assinar o AWS Shield Advanced e aplicar proteções adicionais.

O que é AWS Firewall Manager?

AWS Firewall Manager simplifica suas tarefas de administração e manutenção em várias contas e recursos para uma variedade de proteções AWS WAF, incluindo grupos de segurança e ACLs de rede AWS Shield Advanced da Amazon VPC e o Amazon Route 53 Resolver AWS Network Firewall DNS Firewall. Com o Firewall Manager, você configura suas proteções apenas uma vez e o serviço aplica-as automaticamente em todas as contas e recursos, mesmo quando novos recursos e contas forem adicionados.

Para obter mais informações sobre o Firewall Manager, consulte AWS Firewall Manager.