cloudformation-waf-acl

قالب AWS CloudFormation يُستخدم لتوفير وإدارة موارد AWS WAFv2، بما في ذلك قائمة التحكم في الوصول على الويب (Web ACL) ومجموعات القواعد المُدارة ومجموعة أنماط التعبير العادي المخصصة ومجموعة عناوين IP.

المكونات

يوفر القالب:

1. مورد AWS::WAFv2::WebACL.
2. مجموعات قواعد الحماية المُدارة من AWS:
   • AWSManagedRulesCommonRuleSet
   • AWSManagedRulesKnownBadInputsRuleSet
   • AWSManagedRulesAmazonIpReputationList
   • AWSManagedRulesAnonymousIpList
   • AWSManagedRulesSQLiRuleSet
3. مجموعة أنماط تعبير عادي مخصصة (CustomRuleEncodeHTML) يمكن تفعيلها لحظر المدخلات المشفرة/المشبوهة في سلسلة الاستعلام.
4. مجموعة عناوين IP مخصصة (CustomRuleRejectIP) يمكن تفعيلها لحظر عناوين IP محددة.
5. مجموعة سجلات CloudWatch (CloudWatchLogGroup) لتخزين سجلات Web ACL.

يقوم المكدس بتصدير ARN الخاص بـ Web ACL كـ ${StackName}-aclarn.

المعلمات

يقبل القالب المعلمات التالية:

1. Name
   • اسم قائمة ACL المراد إنشاؤها.
2. Scope
   • القيم المسموح بها: CLOUDFRONT أو REGIONAL.
   • يتحكم في المكان الذي يمكن ربط Web ACL به.
3. RegularExpressionsList
   • أنماط تعبير عادي مفصولة بفاصلة (على سبيل المثال، ^(.*<.*)+$,^(.*>.*)+$,^(.*".*)+$,^(.*'.*)+$).
4. MyIPSetDenylist
   • قائمة بعناوين IPv4 CIDR مفصولة بفاصلة (على سبيل المثال، 203.0.113.10/32,198.51.100.0/24).

بالنسبة لـ Scope=CLOUDFRONT، قم بتشغيل عمليات النشر في us-east-1.

النشر

استخدم CloudFormation deploy لإنشاء المكدس أو تحديثه.

• تسجيل الدخول إلى حساب AWS الخاص بك وانقر على الرابط السريع للنشر في CloudFormation (موصى به)، أو

• قم بتنزيل القالب وانشره يدويًا في وحدة التحكم الخاصة بـ CloudFormation، خاصةً إذا كنت ترغب في تخصيصه.

مثال: Web ACL إقليمي (لـ ALB وAPI Gateway وAppSync وغيرها)

aws cloudformation deploy \
  --template-file waf.yaml \
  --stack-name waf-standard-regional \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=REGIONAL \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

مثال: Web ACL لـ CloudFront

aws cloudformation deploy \
  --region us-east-1 \
  --template-file waf.yaml \
  --stack-name waf-standard-cloudfront \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=CLOUDFRONT \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

ربط Web ACL

بعد النشر، قم بربط مخرجات ARN الخاصة بـ Web ACL مع المورد الخاص بك:

1. توزيعة CloudFront (لـ Scope=CLOUDFRONT).
2. موازن تحميل التطبيقات أو API Gateway أو موارد إقليمية أخرى (لـ Scope=REGIONAL).

يمكنك استرداد مخرجات المكدس باستخدام:

aws cloudformation describe-stacks \
  --stack-name waf-standard-regional \
  --query 'Stacks[0].Outputs'

استكشاف الأخطاء وإصلاحها

إذا تم حظر حركة المرور الصالحة بواسطة القواعد المُدارة من AWS، فاستخدم واحدًا أو أكثر من الأساليب التالية:

1. أضف قواعد استثناء/سماح مخصصة ذات أولوية أعلى.
2. تجاوز أو استبعاد قواعد فرعية مُدارة محددة.
3. قم بتثبيت أو تغيير إصدارات مجموعات القواعد المُدارة.
4. استخدم التسميات وبيانات تقليص النطاق لتضييق نطاق الفحص.

خيارات حماية إضافية لـ CloudFront

1. قم بتمكين التسجيل في CloudWatch أو S3 أو كليهما للرؤية التشغيلية.
2. أضف استجابات خطأ مخصصة.

يمكن إجراء هذه العمليات يدويًا، أو باستخدام البرنامج النصي المساعد.