同一Regionのインターネット向けALBで公開するHTTPS APIを保護する。regional web ACLのデフォルトアクションはAllowで、先行する終端Allowや、対象要求を遮断するほかのルールはない。
検査対象範囲内のSQLインジェクションパターンに一致する要求をWAFで遮断したい。ネットワーク層・トランスポート層の一般的なDDoSへの標準的な保護も把握する。
Shield Advancedは契約していない。WAFのSQLi検査範囲と実効アクションを確認し、すべての攻撃や無制限の本文を防げるとは仮定しない。
適切な構成・保護の説明を2つ選べ。
WAFでALBへの要求をSQLiルールと実効Blockにより検査・遮断する。Shield Standardの自動DDoS保護は別の役割であり、Count、SGの443許可、標準DDoS保護だけをSQLi遮断と同一視しない。
詳細解説
Shield Standardの自動保護を利用できる。ただし、SQLインジェクションの検査やShield Advancedの追加機能を、この標準保護だけで得られるとは扱わない。
Countは一致を記録して後続評価へ進む。本問のデフォルトAllowとほかの遮断なしという条件では、Countだけでは要求を止められない。
SGのポート・プロトコル・送信元による制御は、HTTP本文のSQLiパターン検査ではない。通信経路の許可とアプリケーション要求の検査を分ける。
WAFのSQLiルールでHTTPリクエストのパターンを評価できる。関連付けだけでなくルールの対象・評価順序・実効Blockを満たすことが必要である。
標準的なDDoS保護は、WAFのSQLiルールによる要求検査の代わりにならない。Shieldという製品名だけでSQLi対策まで設定済みと判断しない。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
公式資料とALB/web ACLのRegion・関連付け、SQLiルール、上書きアクション、評価順序を照合する。承認済み検証環境では検査範囲内の検証要求と正常要求を比較し、WAFの一致情報・実効actionとアプリ到達を確認する。Shield Standardの自動保護とAdvancedの追加機能を分けて確認する。
参考にした公式資料
確認できる内容
検証対象のSQLi一致要求はWAFでBlockされ、正常要求との比較で誤検知も評価できる。CountやTCP 443の許可だけを遮断成功とは扱わない。ALBの本文検査は先頭8 KBの範囲であり、無制限の本文やすべての攻撃への完全防御を証明したことにはならない。
理解のポイント
- AWS WAF
- AWS Shield
- SQLインジェクション
- DDoS
確認時の注意
- 確認環境: AWS公式WAF/Shield資料の照合。利用可能な承認済み検証環境で要求とログを比較する。
- AWS公式SAA-C03 Domain 1と各セキュリティサービスの公式ドキュメントを確認する。
基礎のおさらい
関連付けと実効アクションを確認する
ルールを作るだけでは対象ALBへの保護にならない。同一Regionのweb ACLとの関連付け、ルールの対象と順序、Countへの上書きの有無を確認する。Countの一致記録はBlockの実行ではない。
Shieldの標準保護を過大評価しない
Shield Standardは一般的なネットワーク層・トランスポート層DDoSの自動保護である。Shield Advancedの追加機能やWAFのSQLi検査を、Standardだけで有効になったものとは解釈しない。
検査範囲と検証の限界を示す
ALBでWAFが検査できる本文は先頭8 KBまでであり、managed ruleでもサイズ制限とoversize handlingを確認する。正常要求も比較して誤検知を評価し、検証に成功しても全攻撃への完全防御とはしない。