cloudformation-waf-acl

AWS CloudFormation टेम्पलेट जो AWS WAFv2 संसाधनों को प्रोविज़न और प्रबंधित करने के लिए उपयोग किया जाता है, जिसमें Web ACL, प्रबंधित नियम समूह, एक कस्टम regex पैटर्न सेट, और एक IP सेट शामिल हैं।

घटक

टेम्पलेट निम्नलिखित प्रदान करता है:

1. एक AWS::WAFv2::WebACL।
2. AWS प्रबंधित सुरक्षा नियम समूह:
   • AWSManagedRulesCommonRuleSet
   • AWSManagedRulesKnownBadInputsRuleSet
   • AWSManagedRulesAmazonIpReputationList
   • AWSManagedRulesAnonymousIpList
   • AWSManagedRulesSQLiRuleSet
3. एक कस्टम regex पैटर्न सेट (CustomRuleEncodeHTML) जिसे एन्कोडेड/संदिग्ध क्वेरी स्ट्रिंग इनपुट को ब्लॉक करने के लिए सक्षम किया जा सकता है।
4. एक कस्टम IP सेट (CustomRuleRejectIP) जिसे चयनित स्रोत IP को ब्लॉक करने के लिए सक्षम किया जा सकता है।
5. एक CloudWatch लॉग समूह (CloudWatchLogGroup) जो WebACL लॉग संग्रहीत करता है।

स्टैक Web ACL ARN को ${StackName}-aclarn के रूप में निर्यात करता है।

पैरामीटर

टेम्पलेट निम्नलिखित पैरामीटर स्वीकार करता है:

1. Name
   • बनाने के लिए ACL का नाम।
2. Scope
   • अनुमत मान: CLOUDFRONT या REGIONAL।
   • यह नियंत्रित करता है कि Web ACL कहाँ संबद्ध किया जा सकता है।
3. RegularExpressionsList
   • कॉमा-सीमांकित regex पैटर्न (उदाहरण के लिए, ^(.*<.*)+$,^(.*>.*)+$,^(.*".*)+$,^(.*'.*)+$)।
4. MyIPSetDenylist
   • IPv4 CIDRs की कॉमा-सीमांकित सूची (उदाहरण के लिए, 203.0.113.10/32,198.51.100.0/24)।

Scope=CLOUDFRONT के लिए, us-east-1 में तैनाती चलाएँ।

तैनाती

स्टैक बनाने या अपडेट करने के लिए CloudFormation deploy का उपयोग करें।

• अपने AWS खाते में लॉगिन करें और CloudFormation में तैनाती के लिए त्वरित लिंक पर क्लिक करें (अनुशंसित), या
• टेम्पलेट डाउनलोड करें और CloudFormation कंसोल में मैन्युअल रूप से तैनात करें, विशेष रूप से यदि आप इसे अनुकूलित करना चाहते हैं।

उदाहरण: क्षेत्रीय Web ACL (ALB, API Gateway, AppSync, आदि के लिए)

aws cloudformation deploy \
  --template-file waf.yaml \
  --stack-name waf-standard-regional \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=REGIONAL \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

उदाहरण: CloudFront Web ACL

aws cloudformation deploy \
  --region us-east-1 \
  --template-file waf.yaml \
  --stack-name waf-standard-cloudfront \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=CLOUDFRONT \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

Web ACL को संबद्ध करें

तैनाती के बाद, Web ACL ARN आउटपुट को अपने संसाधन से संबद्ध करें:

1. CloudFront वितरण (Scope=CLOUDFRONT के लिए)।
2. Application Load Balancer, API Gateway, या अन्य क्षेत्रीय संसाधन (Scope=REGIONAL के लिए)।

आप स्टैक आउटपुट निम्नलिखित से प्राप्त कर सकते हैं:

aws cloudformation describe-stacks \
  --stack-name waf-standard-regional \
  --query 'Stacks[0].Outputs'

समस्या निवारण

यदि AWS प्रबंधित नियमों द्वारा वैध ट्रैफ़िक को अवरुद्ध किया जाता है, तो निम्नलिखित तरीकों में से एक या अधिक का उपयोग करें:

1. उच्च-प्राथमिकता वाले कस्टम अनुमति/अपवाद नियम जोड़ें।
2. विशिष्ट प्रबंधित उप-नियमों को ओवरराइड या बाहर करें।
3. प्रबंधित नियम समूह संस्करणों को पिन या बदलें।
4. निरीक्षण को संकीर्ण करने के लिए लेबल और स्कोप-डाउन स्टेटमेंट का उपयोग करें।

CloudFront के लिए अतिरिक्त सुरक्षा विकल्प

1. परिचालन दृश्यता के लिए CloudWatch, S3, या दोनों में लॉगिंग सक्षम करें।
2. कस्टम त्रुटि प्रतिक्रियाएँ जोड़ें।

ये मैन्युअल रूप से, या हेल्पर स्क्रिप्ट का उपयोग करके किया जा सकता है।