cloudformation-waf-acl

一个用于预置和管理 AWS WAFv2 资源的 AWS CloudFormation 模板，包括 Web ACL、托管规则组、自定义正则表达式模式集和 IP 集。

组件

该模板预置以下资源：

1. 一个 AWS::WAFv2::WebACL。
2. AWS 托管防护规则组：
   • AWSManagedRulesCommonRuleSet
   • AWSManagedRulesKnownBadInputsRuleSet
   • AWSManagedRulesAmazonIpReputationList
   • AWSManagedRulesAnonymousIpList
   • AWSManagedRulesSQLiRuleSet
3. 一个自定义正则表达式模式集（CustomRuleEncodeHTML），可启用以阻止编码/可疑的查询字符串输入。
4. 一个自定义 IP 集（CustomRuleRejectIP），可启用以阻止选定的源 IP。
5. 一个 CloudWatch 日志组（CloudWatchLogGroup），用于存储 WebACL 日志。

该堆栈将 Web ACL ARN 导出为 ${StackName}-aclarn。

参数

模板接受以下参数：

1. Name
   • 要创建的 ACL 的名称。
2. Scope
   • 允许的值：CLOUDFRONT 或 REGIONAL。
   • 控制 Web ACL 可以关联的范围。
3. RegularExpressionsList
   • 逗号分隔的正则表达式模式（例如，^(.*<.*)+$,^(.*>.*)+$,^(.*".*)+$,^(.*'.*)+$）。
4. MyIPSetDenylist
   • 逗号分隔的 IPv4 CIDR 列表（例如，203.0.113.10/32,198.51.100.0/24）。

如果 Scope=CLOUDFRONT，请在 us-east-1 区域运行部署。

部署

使用 CloudFormation 部署命令创建或更新堆栈。

• 登录 您的 AWS 账户并点击快速链接在 CloudFormation 中部署（推荐），或

• 下载模板并在 CloudFormation 控制台中手动部署，特别是如果您想自定义它。

示例：区域 Web ACL（用于 ALB、API Gateway、AppSync 等）

aws cloudformation deploy \
  --template-file waf.yaml \
  --stack-name waf-standard-regional \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=REGIONAL \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

示例：CloudFront Web ACL

aws cloudformation deploy \
  --region us-east-1 \
  --template-file waf.yaml \
  --stack-name waf-standard-cloudfront \
  --capabilities CAPABILITY_NAMED_IAM \
  --parameter-overrides \
  Name=StandardACL \
  Scope=CLOUDFRONT \
  RegularExpressionsList="^(.*<.*)+$,^(.*>.*)+$,^(.*\".*)+$,^(.*'.*)+$" \
  MyIPSetDenylist="203.0.113.10/32,198.51.100.0/24"

关联 Web ACL

部署后，将输出的 Web ACL ARN 与您的资源关联：

1. CloudFront 分配（适用于 Scope=CLOUDFRONT）。
2. Application Load Balancer、API Gateway 或其他区域资源（适用于 Scope=REGIONAL）。

您可以通过以下命令检索堆栈输出：

aws cloudformation describe-stacks \
  --stack-name waf-standard-regional \
  --query 'Stacks[0].Outputs'

故障排除

如果合法流量被 AWS 托管规则阻止，请使用以下一种或多种方法：

1. 添加优先级更高的自定义允许/例外规则。
2. 覆盖或排除特定的托管子规则。
3. 锁定或更改托管规则组的版本。
4. 使用标签和范围缩小语句来缩小检查范围。

CloudFront 的额外防护选项

1. 启用日志记录到 CloudWatch、S3 或两者，以获得运维可见性。
2. 添加自定义错误响应。

这些可以手动完成，或使用辅助脚本。