AWS WAFとは？料金の考え方とマネージドルールから始める設定の手順

AWS WAFとは、CloudFrontやApplication Load Balancer（ALB）⁠に付けて、Webへのリクエストをルールで検査し、許可や遮断を行うAWSのサービスです。

今日やることは2つです。公開しているサイトの入口がALBかCloudFrontかを確かめ、月間のリクエスト数を調べてください。この2つ⁠がわかれば、料金の見積もりと、最初の構成を決められます。

この記事はAWSの公式文書を整理したものです。私たちが導入や検証をしたわけではありません。WAFで全体を守れるわけではないので、サイト全体の考え方はWebサイト・サーバー防御のカテゴリ⁠と合わせて見てください。

ALBとCloudFront、どちらに付ける？

既にある入口に付けるのが基本です。両方を使っている場合は、外から最初に届くCloudFrontを候補にします。公式の保護対象の一覧⁠にEC2はないので、EC2だけで公開しているなら前段の構成から考えます。

Web ACLは、対象と同じリージョンに置く決まりです。東京リージョンのALBなら東京で、CloudFrontなら米国東部で作ります。新しいコンソールでは、Web ACLが「保護パック」⁠と表示されます。

本文の検査範囲にも違いがあります。ALBでは8KB⁠を超えた部分を検査できません。CloudFrontは上限を増やせますが、増やすと料金が増えます。

CloudFrontだけに付ける場合は、ALBへ直接届く通信を塞ぎます。CloudFront経由でない通信はWAFを通らないからです。公式はカスタムヘッダーで直接のアクセスを防ぐ方法⁠を案内しています。

料金はどう計算する？

公式の料金ページ⁠によると、料金はWeb ACLの数、追加するルールの数、受けるリクエストの数で決まります。初期費用はありません。CloudFrontやALBの料金は別に請求されます。

単価は料金ページの計算例から取りました。地域によって異なる場合があるので、実際の見積もりは公式の料金見積りツールで確かめてください。

たとえば、Web ACLが1つ⁠、マネージドルールグループが3つ⁠、自作のレート制限が1つで、月1,000万リクエストの場合を計算します。5ドル＋3ドル＋1ドル＋6ドルで、月15ドルです。

攻撃で急にリクエストが増えると、リクエスト料金も増えます。AWSの請求アラートを設定し、どの金額で誰に通知するかを決めておくと、月末に初めて気づく事態を避けられます。

最初に入れるルールはどれ？

自分でルールを書く前に、AWSが管理するマネージドルールから入れます。容量の単位WCUは、Web ACLの基本料金に1,500まで含まれます⁠。

この4つ⁠でWCUは1,125です。WordPressのサイトなら、同じ公式文書にあるWordPress用（100）⁠とPHP用（100）⁠を足しても1,500⁠の中に収まります。公開している管理画面があるなら、管理者保護（100）⁠も候補です。自社で使っていない技術のルールは入れなくて構いません。

ログインの総当たりや、1つ⁠の送信元からの大量アクセスには、レートベースのルール⁠を足します。一定時間のリクエスト数を数え、多すぎる場合に制限するルールです。問い合わせフォームやログイン画面のように、1人⁠が短時間に何度も開くはずのない場所から試します。

設定はどの順番で進める？

公式のテストと調整の案内は、テスト環境で試したうえで、本番の通信をカウントモードで確かめる順番を示しています。カウントは、数えるだけで許可や遮断を決めない動作です。

1. ログの送り先を決める。S3を使う場合は、バケット名を「aws-waf-logs-」⁠で始める決まりがある
2. Web ACLを作り、どのルールにも当たらないときの動作⁠を許可（Allow）⁠に⁠す⁠る
3. マネージドルールを追加し、ルールグループの動作をカウントに上書きする
4. ALBまたはCloudFrontに関連付ける
5. 問い合わせの送信、ログイン、ファイル送信など、業務の操作を実際に試す
6. ログで、どのルールが正常な操作に反応したかを確かめる
7. 反応のないルールグループからブロックに切り替える

カウントの期間に決まった長さはありません。月末の受注処理や、月に一度の一括登録など、ふだんと違う操作が含まれる期間を入れてください。短い期間だと、その操作が初めて止まるのは本番で遮断を始めた後になります。

正常な通信が止まるのはどんなとき？

製造業のサイトで考えやすいのは、問い合わせフォームに図面や仕様書を添付できる場合です。

たとえば、コアルールセットには、8KB⁠を超えるリクエスト本文を検査するSizeRestrictions_BODYというルールがあり、動作はブロックです。カウントを外すと、添付付きの送信が止まる可能性があります。そこで、そのルールだけをカウントに上書きし、ほかのルールはブロックにします。

ルールグループ全体を外したり、WAFを止めたりする対応は、守りを必要以上に下げます。ログで当たったルールの名前を確かめ、そのルールだけを調整するのが基本です。調整した内容は、理由と日付を手順書に残してください。担当が替わったときに、外してよい設定なのか判断できなくなるからです。

設定した後は何を見る？

専任がいない会社では、見る項目を絞ります。月に一度、次の3つ⁠を確かめれば、変化には気づけます。

• ブロックされた件数が大きく増減していないか
• 問い合わせや受注が減ったという声が社内で出ていないか
• 請求額が想定の範囲に収まっているか

WAFで防げるのは、Webへのリクエストとして届く攻撃の一部です。IPAの安全なウェブサイトの運用管理に向けての20ヶ条（2019年更新）⁠も⁠、WAFを弱点が修正されるまでの間に影響を減らす手段の一つと位置づけています。ソフトの更新の代わりにはなりません。

AWS WAFのほかも検討するのはどんな場合？

サイトがAWSの外にある、複数のクラウドにまたがっている、または運用まで任せたい場合は、ほかのWAFも比べます。WAFの製品比較で、提供形態と運用の範囲を見比べられます。

大量の通信でサイトが止まる被害が心配なら、DDoS対策の製品比較も確かめてください。AWS WAFにもレイヤー7のDDoS防御があり、料金は別です。AWSの設定の誤りまで見たい場合は、WAFとは別の領域で、CNAPPの製品比較が入口になります。

WAFはサイトという入口の対策の一つです。IDやVPNを含めた順番は入口別の不正アクセス対策⁠にまとめました。HTTPSの証明書を自社で管理している場合は、Let's Encryptを法人で使うときの注意点⁠も関係します。