cloudformation-waf-acl

Un template AWS CloudFormation utilizzato per fornire e gestire risorse AWS WAFv2, inclusi un Web ACL, gruppi di regole gestiti, un set di pattern regex personalizzato e un IP set.

Componenti

Il template fornisce:

1. Un AWS::WAFv2::WebACL.
2. Gruppi di regole di protezione gestiti da AWS:
   • AWSManagedRulesCommonRuleSet
   • AWSManagedRulesKnownBadInputsRuleSet
   • AWSManagedRulesAmazonIpReputationList
   • AWSManagedRulesAnonymousIpList
   • AWSManagedRulesSQLiRuleSet
3. Un set di pattern regex personalizzato (CustomRuleEncodeHTML) che può essere abilitato per bloccare input di query string codificati/sospetti.
4. Un IP set personalizzato (CustomRuleRejectIP) che può essere abilitato per bloccare IP sorgente selezionati.
5. Un gruppo di log CloudWatch (CloudWatchLogGroup) per archiviare i log del WebACL.

Lo stack esporta l'ARN del Web ACL come ${StackName}-aclarn.

Parametri

Il template accetta i seguenti parametri:

1. Name
   • Il nome dell'ACL da creare.
2. Scope
   • Valori consentiti: CLOUDFRONT o REGIONAL.
   • Controlla dove può essere associato il Web ACL.
3. RegularExpressionsList
   • Pattern regex delimitati da virgole (ad esempio, ^(.*<.*)+$,^(.*>.*)+$,^(.*".*)+$,^(.*'.*)+$).
4. MyIPSetDenylist
   • Elenco di CIDR IPv4 delimitati da virgole (ad esempio, 203.0.113.10/32,198.51.100.0/24).

Per Scope=CLOUDFRONT, esegui i deployment in us-east-1.

Distribuzione

Usa CloudFormation deploy per creare o aggiornare lo stack.

• Accedi al tuo account AWS e clicca sul collegamento rapido per distribuire in CloudFormation (consigliato), oppure

• Scarica il template e distribuiscilo manualmente nella console di CloudFormation, specialmente se desideri personalizzarlo.

Esempio: Web ACL regionale (per ALB, API Gateway, AppSync, ecc.)

aws cloudformation deploy \
  --template-file waf.yaml \
  --stack-name waf-standard-regional \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=REGIONAL \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

Esempio: Web ACL per CloudFront

aws cloudformation deploy \
  --region us-east-1 \
  --template-file waf.yaml \
  --stack-name waf-standard-cloudfront \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=CLOUDFRONT \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

Associa il Web ACL

Dopo la distribuzione, associa l'output dell'ARN del Web ACL con la tua risorsa:

1. Distribuzione CloudFront (per Scope=CLOUDFRONT).
2. Application Load Balancer, API Gateway o altre risorse regionali (per Scope=REGIONAL).

Puoi recuperare gli output dello stack con:

aws cloudformation describe-stacks \
  --stack-name waf-standard-regional \
  --query 'Stacks[0].Outputs'

Risoluzione dei problemi

Se il traffico valido viene bloccato dalle regole gestite AWS, utilizza uno o più dei seguenti approcci:

1. Aggiungi regole personalizzate di eccezione/consentimento con priorità più alta.
2. Sostituisci o escludi specifiche sotto-regole gestite.
3. Fissa o modifica le versioni dei gruppi di regole gestite.
4. Utilizza etichette e dichiarazioni di restrizione per restringere l'ispezione.

Opzioni di protezione aggiuntive per CloudFront

1. Abilita la registrazione su CloudWatch, S3 o entrambi per la visibilità operativa.
2. Aggiungi risposte di errore personalizzate.

Queste operazioni possono essere eseguite manualmente o utilizzando lo script helper.