cloudformation-waf-acl

AWS WAFv2 리소스(Web ACL, 관리형 규칙 그룹, 사용자 정의 정규식 패턴 세트, IP 세트 포함)를 프로비저닝하고 관리하는 데 사용되는 AWS CloudFormation 템플릿입니다.

구성 요소

템플릿은 다음을 프로비저닝합니다:

1. AWS::WAFv2::WebACL
2. AWS 관리 보호 규칙 그룹:
   • AWSManagedRulesCommonRuleSet
   • AWSManagedRulesKnownBadInputsRuleSet
   • AWSManagedRulesAmazonIpReputationList
   • AWSManagedRulesAnonymousIpList
   • AWSManagedRulesSQLiRuleSet
3. 인코딩/의심스러운 쿼리 문자열 입력을 차단하기 위해 활성화할 수 있는 사용자 정의 정규식 패턴 세트 (CustomRuleEncodeHTML)
4. 선택한 소스 IP를 차단하기 위해 활성화할 수 있는 사용자 정의 IP 세트 (CustomRuleRejectIP)
5. WebACL 로그를 저장하는 CloudWatch 로그 그룹 (CloudWatchLogGroup)

스택은 Web ACL ARN을 ${StackName}-aclarn으로 내보냅니다.

파라미터

템플릿은 다음 파라미터를 허용합니다:

1. Name
   • 생성할 ACL의 이름입니다.
2. Scope
   • 허용 값: CLOUDFRONT 또는 REGIONAL입니다.
   • Web ACL을 연결할 수 있는 위치를 제어합니다.
3. RegularExpressionsList
   • 쉼표로 구분된 정규식 패턴 (예: ^(.*<.*)+$,^(.*>.*)+$,^(.*".*)+$,^(.*'.*)+$)
4. MyIPSetDenylist
   • 쉼표로 구분된 IPv4 CIDR 목록 (예: 203.0.113.10/32,198.51.100.0/24)

Scope=CLOUDFRONT의 경우 us-east-1에서 배포를 실행하세요.

배포

CloudFormation deploy를 사용하여 스택을 생성하거나 업데이트하세요.

• 로그인하여 AWS 계정에 접속하고 빠른 링크를 클릭하여 CloudFormation에서 배포합니다(권장). 또는,
• 템플릿을 다운로드하여 CloudFormation 콘솔에서 수동으로 배포합니다(특히 사용자 정의하려는 경우).

예: 리전별 Web ACL (ALB, API Gateway, AppSync 등)

aws cloudformation deploy \
  --template-file waf.yaml \
  --stack-name waf-standard-regional \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=REGIONAL \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

예: CloudFront Web ACL

aws cloudformation deploy \
  --region us-east-1 \
  --template-file waf.yaml \
  --stack-name waf-standard-cloudfront \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=CLOUDFRONT \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

Web ACL 연결

배포 후 Web ACL ARN 출력을 리소스에 연결하세요:

1. CloudFront 배포 (Scope=CLOUDFRONT인 경우)
2. Application Load Balancer, API Gateway 또는 기타 리전별 리소스 (Scope=REGIONAL인 경우)

스택 출력은 다음 명령으로 조회할 수 있습니다:

aws cloudformation describe-stacks \
  --stack-name waf-standard-regional \
  --query 'Stacks[0].Outputs'

문제 해결

AWS Managed Rules에 의해 유효한 트래픽이 차단되는 경우 다음 방법 중 하나 이상을 사용하세요:

1. 우선순위가 더 높은 사용자 정의 허용/예외 규칙 추가
2. 특정 관리형 하위 규칙 재정의 또는 제외
3. 관리형 규칙 그룹 버전 고정 또는 변경
4. 라벨 및 범위 축소(scope-down) 문을 사용하여 검사 범위 좁히기

CloudFront 추가 보호 옵션

1. 운영 가시성을 위해 CloudWatch, S3 또는 둘 다에 로깅 활성화
2. 사용자 정의 오류 응답 추가

위 작업은 수동으로 수행하거나 헬퍼 스크립트를 사용하여 수행할 수 있습니다.