cloudformation-waf-acl

AWS WAFv2リソース（Web ACL、マネージドルールグループ、カスタム正規表現パターンセット、IPセット）をプロビジョニングおよび管理するためのAWS CloudFormationテンプレートです。

コンポーネント

このテンプレートは以下をプロビジョニングします：

1. AWS::WAFv2::WebACL
2. AWSマネージド保護ルールグループ：
   • AWSManagedRulesCommonRuleSet
   • AWSManagedRulesKnownBadInputsRuleSet
   • AWSManagedRulesAmazonIpReputationList
   • AWSManagedRulesAnonymousIpList
   • AWSManagedRulesSQLiRuleSet
3. エンコードされた/不審なクエリ文字列入力をブロックするために有効にできるカスタム正規表現パターンセット（CustomRuleEncodeHTML）。
4. 選択した送信元IPをブロックするために有効にできるカスタムIPセット（CustomRuleRejectIP）。
5. WebACLログを保存するためのCloudWatchロググループ（CloudWatchLogGroup）。

スタックはWeb ACL ARNを ${StackName}-aclarn としてエクスポートします。

パラメータ

このテンプレートは以下のパラメータを受け入れます：

1. Name
   • 作成するACLの名前。
2. Scope
   • 許可される値：CLOUDFRONT または REGIONAL。
   • Web ACLを関連付ける場所を制御します。
3. RegularExpressionsList
   • カンマ区切りの正規表現パターン（例：^(.*<.*)+$,^(.*>.*)+$,^(.*".*)+$,^(.*'.*)+$）。
4. MyIPSetDenylist
   • カンマ区切りのIPv4 CIDRリスト（例：203.0.113.10/32,198.51.100.0/24）。

Scope=CLOUDFRONT の場合は、us-east-1 でデプロイを実行してください。

デプロイメント

CloudFormation deploy を使用してスタックを作成または更新します。

• AWSアカウントに ログイン し、クイックリンク をクリックして CloudFormation でデプロイする（推奨）、または
• 特にカスタマイズしたい場合は、テンプレート をダウンロードして CloudFormation コンソール で手動でデプロイしてください。

例：リージョナルWeb ACL（ALB、API Gateway、AppSyncなど向け）

aws cloudformation deploy \
  --template-file waf.yaml \
  --stack-name waf-standard-regional \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=REGIONAL \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

例：CloudFront Web ACL

aws cloudformation deploy \
  --region us-east-1 \
  --template-file waf.yaml \
  --stack-name waf-standard-cloudfront \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=CLOUDFRONT \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

Web ACLの関連付け

デプロイ後、Web ACL ARN出力をリソースに関連付けます：

1. CloudFront ディストリビューション（Scope=CLOUDFRONT の場合）。
2. Application Load Balancer、API Gateway、またはその他のリージョンリソース（Scope=REGIONAL の場合）。

スタック出力は次のコマンドで取得できます：

aws cloudformation describe-stacks \
  --stack-name waf-standard-regional \
  --query 'Stacks[0].Outputs'

トラブルシューティング

正当なトラフィックがAWSマネージドルールによってブロックされた場合は、以下のアプローチの1つ以上を使用してください：

1. 優先度の高いカスタム許可/例外ルールを追加する。
2. 特定のマネージドサブルールを上書きまたは除外する。
3. マネージドルールグループのバージョンを固定または変更する。
4. ラベルとスコープダウンステートメントを使用して検査範囲を絞り込む。

CloudFront向けの追加保護オプション

1. 運用の可視性を高めるために、CloudWatch、S3、またはその両方へのログ記録を有効にする。
2. カスタムエラーレスポンスを追加する。

これらは手動で、または ヘルパースクリプト を使用して行うことができます。