アプリケーション側の実装
- 人事専用ページに関するAPIのエンドポイントを /hr/ を含む形式に統一する。
正規表現の登録
- AWS WAF→Regex pattern setsにて、検出したい正規表現パターン（^/hr/.*）を登録する。
- 正規表現パターンは複数登録可能。登録するパターンが1つのみの場合は、パターンセットとして登録しなくてもOK。

IPアドレスセットの作成
- WAF → IP sets → Create IP set にて、許可したいIPアドレスのセットを登録

web ACLを作成

web ACLにルールの作成
- 正規表現に合致するパスへのリクエストに対して、指定のIPアドレス範囲以外からのリクエストはブロックするというルールを設定

正規表現を活用することで、特定のパスパターンに基づく細かいセキュリティルールを設定することが可能になり、より精密な攻撃防御が実現できます。

カスタムヘッダーを使ってネットワーク別にアクセスをコントロール

内部ネットワークからのアクセスと外部ネットワークからのアクセスに、異なるセキュリティ対策を適用したいケースがあるかと思います。外部ネットワークからのリクエストにWAFでヘッダーを付与し、アプリケーション側での判定に使用することができます。

ユースケース：内部システムと外部パートナーのアクセス管理

内部の社員と外部のパートナー企業が同じシステムにアクセスする場合、内部の社員にはフルアクセスを許可したいが、外部のパートナー企業には特定の制限を設けたいケースを想定します。

許可された内部ネットワークからのアクセスに対してカスタムヘッダーを付与し、アプリケーションでは、このヘッダーの有無をもとに多要素認証など追加の認証ステップを設定します。

実装例

IPアドレスセットの作成
- WAF → IP sets → Create IP set にて、許可したい内部ネットワークのIPアドレスセットを作成

ルールの設定
- web ACLを作成し、ルールを作成
- 内部ネットワークからのアクセス時にはカスタムヘッダーを付与する設定を作成

アプリケーション側の追加処理
- カスタムヘッダーの有無を確認、カスタムヘッダーがない場合は多要素認証させる処理を追加

def is_allowed_ip(request):
    restricted_ip = request.headers.get("X-Amzn-Waf-Allowed-IP")
    if restricted_ip:
        return False
    return True

def post(request):
	  is_allowed_ip = is_allowed_ip(request)
	
	  if is_allowed_ip:
		    login(request)　# カスタムヘッダーがある場合、通常ログイン
	  else:
	      mfa_login(request) # カスタムヘッダーがない場合、多要素認証ログイン

リファラー（Referer）チェックで限定コンテンツを保護

リファラー（Referer）ヘッダーは、リクエストがどのページから送信されたかを示す情報です。リファラーを見るルールを使用することで、特定のサイトからのアクセスのみを許可したり、悪意のあるサイトからのアクセスを軽減することができます。

ユースケース：限定キャンペーンの不正利用防止

特定のキャンペーンページに対し、キャンペーン専用のランディングページからのリクエストのみを許可し、その他のページや外部サイトからのアクセスをブロックします。これにより、限定クーポンの不正利用などを一定抑制できます。

※ リファラーは偽造可能であるため、他のセキュリティ対策と併用して、より堅牢な防御を実現することが重要です。

実装例

web ACLを作成し、ルールを作成
リファラー条件の設定
- Referer ヘッダーの値が特定のドメイン（例: https://example.com）と一致するかどうかを確認する条件を設定

デフォルトのルールとして「Block」アクションを設定し、その他のすべてのリクエストをブロック

ファイルアップロードの制御

ファイルのアップロード機能はアプリケーション側で制御されるケースが多いかと思いますが、WAFでも一定弾くことができます。これにより、無効なファイル形式や過度に大きなファイルによるアプリケーションのパフォーマンス低下を軽減することができます。

※ 全ての無効なファイル形式を検出できるわけではないため、アプリケーション側でも適切なバリデーションを行うことは重要です

ユースケース：サイズ制限によるDDoS攻撃対策

ファイルアップロードに関して、ファイルサイズの超過を検出してブロックすることが可能です。

実装例

web ACLを作成し、ルールを作成
Bodyのサイズが5MB以上の場合はBlockするルールを設定

おわりに

本記事で紹介したのは一例ですが、WAFには他にも様々なカスタム設定がありますので、興味のある方はぜひ調査してみてください。 WAFを効果的に設定することで、よりセキュアなアプリケーション開発を目指していければと思います。最後までご覧いただき、ありがとうございました。

お悩みご相談ください

ご相談フォーム | 株式会社divx（ディブエックス） DIVXのご相談フォームページです。株式会社divx（ディブエックス）

参考記事

https://docs.aws.amazon.com/waf/latest/developerguide/waf-chapter.html
https://docs.aws.amazon.com/waf/latest/developerguide/waf-rules.html

DIVX テックブログ

セキュリティを高める！AWS WAFのカスタム設定活用法

はじめに