Shield Advanced と AWS WAF ウェブ ACL とレートベースのルールでアプリケーションレイヤーを保護する

このページでは、AWS WAF レートベースのルールと Shield Advanced が連携して基本的なアプリケーションレイヤー保護を作成する方法について説明します。

デフォルトな設定でレートベースのルールを使用する場合、AWS WAF は直近 5 分間の時間枠でのトラフィックを定期的に評価します。AWS WAF は、リクエストレートが許容レベルに低下するまで、しきい値を超えるソース IP アドレスからのリクエストをブロックします。Shield Advanced を通じてレートベースのルールを設定する際は、任意の 5 分間の時間枠内で期待される通常のトラフィックレートを超える値にレートしきい値を設定してください。

ウェブ ACL で複数のレートベースのルールを使用したい場合があります。例えば、高いしきい値を持つすべてのトラフィックについて 1 つのレートベースのルールを指定するとともに、ウェブアプリケーションの特定の部分と一致するように設定され、しきい値が低い追加のルールを 1 つ以上指定できます。例えば、ログインページに対する不正を緩和するために、しきい値を低くして URI /login.html に対する照合を行うことができます。

別の評価時間枠を使用し、ヘッダー値、ラベル、クエリ引数などの多数のリクエストコンポーネントによってリクエストを集約するように、レートベースのルールを設定できます。詳細については、「AWS WAF でのレートベースのルールステートメントの使用」を参照してください。

追加情報とガイダンスについては、「The three most important AWS WAF rate-based rules」(3 つの最も重要なレートベースのルール) のセキュリティに関するブログ記事を参照してください。

AWS WAF による設定オプションの拡張

Shield Advanced コンソールでは、レートベースのルールを追加し、基本のデフォルト設定で構成できます。AWS WAF を通じてレートベースのルールを管理することで、追加の設定オプションを定義できます。例えば、転送された IP アドレス、クエリ文字列、およびラベルなどのキーに基づく集約リクエストのルールを設定できます。また、ルールにスコープダウンステートメントを追加して、一部のリクエストを評価およびレート制限から除外することも可能です。詳細については、「AWS WAF でのレートベースのルールステートメントの使用」を参照してください。