AWS WAF (Web Application Firewall)

は、/ リクエストを検査し、Web アプリケーションを、クロスサイトスクリプティング、不正なボットなどから保護する Web アプリケーションファイアウォールです。

SAA では、ネットワーク層の通信制御ではなく、URL、ヘッダー、本文、送信元、リクエスト頻度などのアプリケーション層条件で許可・遮断する場合に選びます。

概要

では Web を作成し、ルールを組み合わせてリクエストを評価します。、、などの対応リソースに関連付けます。

主要技術

①Web ACLとルール

要素	役割
Web	ルールをまとめ、保護対象へ関連付けます。
Rule	一致条件とアクションを定義します。
Rule group	再利用可能なルールの集合です。
Managed Rules	AWS またはベンダーが管理する一般的な防御ルールです。

②一致条件とアクション ⚠️ 頻出

、国、URI、クエリ文字列、ヘッダー、本文、SQLi、などを評価できます。アクションには Allow、Block、Count、CAPTCHA、Challenge があります。導入前に Count で影響を確認する設計も有効です。

マネージドルールグループの一部のルールが正規のリクエストを誤って遮断する場合は、グループ全体を外さず、そのルールだけアクションを Count に上書き（ルールアクションのオーバーライド）します。他のルールは Block のまま残せます。

③レートベースルール

一定期間に多数のリクエストを送る送信元を検出し、制限できます。アプリケーション層の大量アクセス対策に利用しますが、大規模全般の保護はと組み合わせます。

④CloudFrontとリージョナルリソース

世界中の利用者へ配信する構成ではにを関連付け、エッジで不正リクエストを遮断します。やなどのリージョナルリソースにも関連付けられます。

関連付けられるのは CloudFront、ALB、API Gateway の、AppSync、ユーザープール、App Runner、Verified Access などのを扱うリソースです。やには関連付けられないため、これらを入口にする構成で HTTP の内容を検査したい場合は、背後に ALB を置いて WAF を関連付けます。

試験対策

要件	選ぶ機能
やを遮断
L3/ を自動保護
境界で通信を検査
単位でポートを許可	Security Group

WAF は / の内容を理解して制御します。「特定 URI」「SQLi」「国別」「レート制限」が正答を見分けるキーワードです。