cloudformation-waf-acl

Um modelo AWS CloudFormation usado para provisionar e gerenciar recursos AWS WAFv2, incluindo um Web ACL, grupos de regras gerenciadas, um conjunto de padrões regex personalizados e um conjunto de IPs.

Componentes

O modelo provisiona:

1. Um AWS::WAFv2::WebACL.
2. Grupos de regras de proteção gerenciadas pela AWS:
   • AWSManagedRulesCommonRuleSet
   • AWSManagedRulesKnownBadInputsRuleSet
   • AWSManagedRulesAmazonIpReputationList
   • AWSManagedRulesAnonymousIpList
   • AWSManagedRulesSQLiRuleSet
3. Um conjunto de padrões regex personalizados (CustomRuleEncodeHTML) que pode ser habilitado para bloquear entrada de query string codificada/suspeita.
4. Um conjunto de IPs personalizado (CustomRuleRejectIP) que pode ser habilitado para bloquear IPs de origem selecionados.
5. Um grupo de logs do CloudWatch (CloudWatchLogGroup) para armazenar os logs do WebACL.

A stack exporta o ARN do Web ACL como ${StackName}-aclarn.

Parâmetros

O modelo aceita os seguintes parâmetros:

1. Name
   • O nome do ACL a ser criado.
2. Scope
   • Valores permitidos: CLOUDFRONT ou REGIONAL.
   • Controla onde o Web ACL pode ser associado.
3. RegularExpressionsList
   • Padrões regex delimitados por vírgula (por exemplo, ^(.*<.*)+$,^(.*>.*)+$,^(.*".*)+$,^(.*'.*)+$).
4. MyIPSetDenylist
   • Lista de CIDRs IPv4 delimitada por vírgula (por exemplo, 203.0.113.10/32,198.51.100.0/24).

Para Scope=CLOUDFRONT, execute as implantações em us-east-1.

Implantação

Use o CloudFormation deploy para criar ou atualizar a stack.

• Faça login na sua conta AWS e clique no link rápido para implantar no CloudFormation (recomendado), ou

• Baixe o template e implante manualmente no console do CloudFormation, especialmente se desejar personalizá-lo.

Exemplo: Web ACL Regional (para ALB, API Gateway, AppSync, etc.)

aws cloudformation deploy \
  --template-file waf.yaml \
  --stack-name waf-standard-regional \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=REGIONAL \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

Exemplo: Web ACL do CloudFront

aws cloudformation deploy \
  --region us-east-1 \
  --template-file waf.yaml \
  --stack-name waf-standard-cloudfront \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=CLOUDFRONT \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

Associar o Web ACL

Após a implantação, associe a saída do ARN do Web ACL ao seu recurso:

1. Distribuição do CloudFront (para Scope=CLOUDFRONT).
2. Application Load Balancer, API Gateway ou outros recursos regionais (para Scope=REGIONAL).

Você pode recuperar as saídas da stack com:

aws cloudformation describe-stacks \
  --stack-name waf-standard-regional \
  --query 'Stacks[0].Outputs'

Solução de problemas

Se o tráfego válido for bloqueado pelas AWS Managed Rules, use uma ou mais das seguintes abordagens:

1. Adicione regras personalizadas de permissão/exceção com prioridade maior.
2. Substitua ou exclua sub-regras gerenciadas específicas.
3. Fixe ou altere as versões dos grupos de regras gerenciadas.
4. Use labels e declarações de escopo para restringir a inspeção.

Opções Adicionais de Proteção para CloudFront

1. Habilite o registro em log no CloudWatch, S3 ou ambos para visibilidade operacional.
2. Adicione respostas de erro personalizadas.

Isso pode ser feito manualmente ou usando o script auxiliar.