cloudformation-waf-acl

Eine AWS CloudFormation-Vorlage zur Bereitstellung und Verwaltung von AWS WAFv2-Ressourcen, einschließlich einer Web-ACL, verwalteter Regelgruppen, eines benutzerdefinierten Regex-Pattern-Sets und eines IP-Sets.

Komponenten

Die Vorlage stellt Folgendes bereit:

1. Eine AWS::WAFv2::WebACL.
2. Von AWS verwaltete Schutzregelgruppen:
   • AWSManagedRulesCommonRuleSet
   • AWSManagedRulesKnownBadInputsRuleSet
   • AWSManagedRulesAmazonIpReputationList
   • AWSManagedRulesAnonymousIpList
   • AWSManagedRulesSQLiRuleSet
3. Ein benutzerdefiniertes Regex-Pattern-Set (CustomRuleEncodeHTML), das aktiviert werden kann, um codierte/verdächtige Query-String-Eingaben zu blockieren.
4. Ein benutzerdefiniertes IP-Set (CustomRuleRejectIP), das aktiviert werden kann, um ausgewählte Quell-IPs zu blockieren.
5. Eine CloudWatch-Log-Gruppe (CloudWatchLogGroup) zum Speichern der WebACL-Logs.

Der Stack exportiert die Web-ACL-ARN als ${StackName}-aclarn.

Parameter

Die Vorlage akzeptiert die folgenden Parameter:

1. Name
   • Der Name der zu erstellenden ACL.
2. Scope
   • Zulässige Werte: CLOUDFRONT oder REGIONAL.
   • Bestimmt, wo die Web-ACL zugeordnet werden kann.
3. RegularExpressionsList
   • Komma-getrennte Regex-Muster (z. B. ^(.*<.*)+$,^(.*>.*)+$,^(.*".*)+$,^(.*'.*)+$).
4. MyIPSetDenylist
   • Komma-getrennte Liste von IPv4-CIDRs (z. B. 203.0.113.10/32,198.51.100.0/24).

Für Scope=CLOUDFRONT müssen Bereitstellungen in us-east-1 ausgeführt werden.

Bereitstellung

Verwenden Sie CloudFormation Deploy, um den Stack zu erstellen oder zu aktualisieren.

• Melden Sie sich bei Ihrem AWS-Konto an und klicken Sie auf den Schnelllink, um die Bereitstellung in CloudFormation durchzuführen (empfohlen), oder

• Laden Sie die Vorlage herunter und stellen Sie sie manuell in der CloudFormation-Konsole bereit, insbesondere wenn Sie sie anpassen möchten.

Beispiel: Regionale Web-ACL (für ALB, API Gateway, AppSync usw.)

aws cloudformation deploy \
  --template-file waf.yaml \
  --stack-name waf-standard-regional \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=REGIONAL \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

Beispiel: CloudFront Web-ACL

aws cloudformation deploy \
  --region us-east-1 \
  --template-file waf.yaml \
  --stack-name waf-standard-cloudfront \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=CLOUDFRONT \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

Verknüpfen der Web-ACL

Nach der Bereitstellung verknüpfen Sie die Web-ACL-ARN-Ausgabe mit Ihrer Ressource:

1. CloudFront-Distribution (für Scope=CLOUDFRONT).
2. Application Load Balancer, API Gateway oder andere regionale Ressourcen (für Scope=REGIONAL).

Sie können Stack-Ausgaben mit dem folgenden Befehl abrufen:

aws cloudformation describe-stacks \
  --stack-name waf-standard-regional \
  --query 'Stacks[0].Outputs'

Fehlerbehebung

Wenn legitimer Datenverkehr durch AWS Managed Rules blockiert wird, verwenden Sie einen oder mehrere der folgenden Ansätze:

1. Fügen Sie benutzerdefinierte Allow/Exception-Regeln mit höherer Priorität hinzu.
2. Überschreiben oder schließen Sie bestimmte verwaltete Unterregeln aus.
3. Fixieren oder ändern Sie die Versionen der verwalteten Regelgruppen.
4. Verwenden Sie Labels und Scope-Down-Anweisungen, um die Überprüfung einzuschränken.

Zusätzliche Schutzoptionen für CloudFront

1. Aktivieren Sie die Protokollierung in CloudWatch, S3 oder beides für operative Transparenz.
2. Fügen Sie benutzerdefinierte Fehlerantworten hinzu.

Diese können manuell oder mithilfe des Hilfsskripts durchgeführt werden.