AWS WAF を
安全に効かせる
WAFは攻撃を止める仕組みである一方、正規ユーザーを止めないための配置・優先順位・観測が本体です。
TL;DR
- 対象サービスに合うscopeでWeb ACLを置く。
- ルールは上から順に評価され、Allow/Blockで終了する。
- 導入時はCountで観測し、根拠を得てBlockへ進む。
01 入口と scope を合わせる
WAFは入口の直前に置く。 CloudFrontにはglobal scope、ALBやAPI Gatewayにはregional scopeを選ぶ。対象とscopeを誤ると、守りたい通信経路を覆えません。
02 ルール順序は挙動そのもの
AllowもBlockも一致した時点で評価が終わります。信頼済み利用者を通すAllowを後ろに置くと、その前のmanaged ruleで止まることがあります。ルールは小さく分け、優先順位と意図を読めるようにします。
03 Count で学んでから Block する
いきなりBlockすると誤ブロックが障害になります。まずCountで実トラフィックへの影響を見て、必要ならscope-downや例外を設計してからBlockへ切り替えます。APIログがない失敗時はWAFのログも確認します。
結論: WAFは設定して終わりではなく、順序を読み、実データで調整し続ける運用サービスです。