「AWS WAF」でWEBサイトのセキュリティを保護

AWS WAFを利用することにより、以下のようなメリットがあります。

• AWSサービスと簡単に連携できます
• WAFの基盤をAWSが管理してくれるため、拡張性を気にする必要がありません
• 従量課金制なので、コストパフォーマンス良く利用できます
• AWSが公式に用意しているマネージドルール（AWS Managed Rules for AWS WAF）の利用が可能
• セキュリティベンダー提供のマネージドルール（セット）が利用可能です

これらのメリットを活かしながら、運用中のアクセス状況に合わせてルールをチューニングすることで、セキュアなウェブアプリケーションの構築が可能です。

では「AWS WAF」は、悪意のあるアクセスとそうでないアクセスをどのように見分けているのでしょうか？それは、WebACL（Web Access Control List）に設定されたルールをもとに判断しています。

WebACLは、各種AWSサービスに連携する単位で、WebACLの中に複数のルールを設定することになります。ルールは最大10個まで設定が可能で、いくつか種類があります。

ルールはゼロから作成するのではなく、あらかじめ用意されたものから選ぶことが可能です。
マネージドルールには、AWSが標準で用意しているものと、AWS以外のベンダーが用意しているものがあります。利用用途に適したルールを選択して利用します。

また、ホワイトリスト登録もできるので、管理者や関係者からのアクセスはホワイトリスト登録しておく事も可能です。

具体的なコストの計算式は次のような仕組みになっています。

WebACLの料金 (5.00 USD/月/WebACL) + ルールの利用料金 (1.00 USD/月/ルール) + リクエスト数 (0.60 USD/100万アクセス)

リクエスト数はページビュー（PV）数とは異なるため、注意が必要です。Google Analytics (GA) などのツールではなく、アクセスログ件数などから算出する必要があります。

まずは、AWSアカウントへログインを行い、AWS WAFの構築を行います。その後、運用モードをカウントモードまたはブロックモードのどちらかで動作させることが必要です。

誤検知の可能性があるため、初めての運用ではカウントモードで行うことが推奨されます。カウントモードでは、WAFのチェックのみが有効になり、アクセスのブロックは行われません。最初の1か月程度は様子を見て、ログから誤検知が起こっていないことを確認します。もし誤検知があれば、ルールの調整を行う必要があります。

調整が完了したら、ブロックモードに切り替えて本番運用を開始します。

AWS WAFのログは定期的に収集・監視し、異常なトラフィックパターンを検出します。異常を発見した場合は、対応するルールを作成または更新します。悪意のある攻撃者やBOTなど、特定のIPアドレスからの攻撃をブロックすることも可能です。

たとえば、サーバーが高負荷によってアクセス不能になってしまったときなど、ログ等から高負荷の原因を調査します。明らかに通常ではない攻撃性のアクセスが特定のIPアドレスがからあった場合は、そのIPをブロックする設定を行います。IPアドレスが不特定多数になる場合は、レートベースの制限設定を入れることができます。たとえば、5分間で100以上のアクセスがあった場合は、ブロックする等の設定が可能です。最適な数値に関しては、ウェブサイトによって変わってくるので運用状況を踏まえて設定することが重要です。

すべてのルールは定期的に見直し、不要となったルールは削除、新たに必要となったルールを追加します。また、既存のルールが最新のセキュリティ状況に適応しているかの確認も必要です。

セキュリティ脅威インテリジェンスは定期的に確認し、新しい攻撃ベクトルや脅威を特定します。その後、それらに対応する新しいルールを作成し、AWS WAFに適用します。

なお、ディーネットでは月々43,000円から始められる、コストパフォーマンスに優れたAWS WAFの自動運用ツールの「Cloudbric WMS」の取り扱いをしております。ご興味ある方はお気軽にお問い合わせ、ご相談ください。