はじめに
AWS WAFがCloudFrontだけでなくELBでも使えるようになり、より使いやすくなりました。
そこで、SQLインジェクションや非公開ファイルへのアクセスをブロックし、WAFのメリットを確認していきましょう。
AWS WAFとは
AWS WAF(Web Application Firewall)は、脆弱性を利用した様々な攻撃からアプリケーションを保護するファイヤーウォールです。
多くのAWSサービスと同様に、料金は従量課金となっています(設定するルール数、アプリケーションへのリクエスト数によって変動)。
脆弱性を持ったアプリケーション
まずはテストのために、SQLインジェクションが可能なRailsアプリケーションを作成します。
普通にRuby on Railsでアプリケーションを作ると基本的なリスクヘッジがされていますが、ここではあえて脆弱性を含むコードを書いてみます。
Userモデルに名前とメールアドレスのカラムが存在するという状態で、入力したメールアドレスと一致するユーザを検索をするために、プレイスホルダを使わずに文字列をそのままSQLとして渡すself.search_unsafe
というメソッドを作成します。
[ruby]
class User < ApplicationRecord
# 危険
def self.search_unsafe(email)
User.where("email = '#{email}'")
end
# 安全
def self.search_safe(email)
User.where("email = ?", "#{email}")
end
end
[/ruby]
このメソッドに、
[sql]
' or 1=1 --'
[/sql]
という文字列を入力すると、発行されるSQLは
[sql]
SELECT `users`.* FROM `users` WHERE (email = '' or 1=1 --'')
[/sql]
となり、意図せず全てのユーザリストが取得できることになります。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf01.png)
AWS WAF
このRailsアプリケーションをEC2にデプロイし、ELB配下に設置します。
AWSマネジメントコンソールからWAFを選択。
Web ACLの作成を行います。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf02-1024x400.png)
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf03-1024x783.png)
Web ACLの名前、CloudWatchのmetric名、対象となるELBを指定します。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf04-1024x546.png)
Webアクセスコントロールリストを作成します。
今回はSQLインジェクションとURLに特定の文字列を含む場合をブロックするので、まずSQL Injection match conditionsを選択します。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf05-1024x785.png)
名前を入力し、今回はフィルターにPart of request to filter onを「Body」、Transformationに「URL decode」を選択します。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf06.png)
同様にString match conditionを作成します。
名前、Part of request to filter onは「URL」、Match Typeを「Contains」、Value to matchに「secret」を設定します。
これで、secret.htmlなどを含むURLが要求された時にはブロックされるはずです。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf07.png)
次にルールを作成するため、「Create rule」を押します。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf08-1024x635.png)
名前とCloudWatchのmetric名を入力し条件を設定します。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf09.png)
今回作成したルールは以下の通りです。
- SQLインジェクションをブロック
- 特定文字列に一致したものはブロック
- それ以外は許可する
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf10-1024x639.png)
この内容で作成を実行します。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf11-1024x734.png)
たったこれだけで、ELBにWAFが適用されます。
/secret.htmlにアクセスしてみると、確かにELBがブロックしています。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf12-1024x393.png)
SQLインジェクションも検索実行した後に危険な文字列が含まれているためブロックされます。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf13-1024x403.png)
マネジメントコンソールで確認してみると、WAFがブロックした履歴が確認できます。
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf14.png)
![](https://capsulecloud.io/wp-content/uploads/2017/05/ccwaf15.png)
まとめ
CloudFrontを使用していないケースでもELBでWAFが使えるということは、従来からあるアプリケーションにも適用可能となるので導入のハードルが下がりました。
アプリケーション特性に合ったルールが設定できるので、AWSでアプリケーションを運用する際にはWAFを検討してみてください。
![](https://capsulecloud.io/wp-content/uploads/2022/09/official-recruit2.png)