![将 WAF 规则应用于 CloudFront 仍然会导致后端不受保护吗?](https://linux22.com/image/735743/%E5%B0%86%20WAF%20%E8%A7%84%E5%88%99%E5%BA%94%E7%94%A8%E4%BA%8E%20CloudFront%20%E4%BB%8D%E7%84%B6%E4%BC%9A%E5%AF%BC%E8%87%B4%E5%90%8E%E7%AB%AF%E4%B8%8D%E5%8F%97%E4%BF%9D%E6%8A%A4%E5%90%97%EF%BC%9F.png)
看起来,将 WAF 规则应用于 CloudFront 分发仍然会导致后端应用程序负载均衡器不受保护。
在 AWS 控制台中,不清楚如何过渡地应用 WAF 规则,和/或锁定 ALB 以仅接受与 CloudFront 的连接。
有没有关于此的任何文献或轶事最佳实践?
答案1
IP 限制
您可以使用安全组保护您的 ALB/实例,该安全组仅将 CloudFront IP 地址列入白名单。此列表会定期更改,但 AWS 拥有CloudFront 更新安全组 Lambda,它可以帮助您保持 IP 列表最新。但它不会进行 IP 的初始填充。
我不太确定进行初始安全组 IP 填充的最佳方法。你必须获得AWS IP 列表并从中提取 CloudFront IP,此脚本可能有用。这似乎是某人应该已经解决的问题,因此搜索一下可能会找到解决方案。MLu 可能知道,他可能会在接下来的一两天内发表评论。
我通常使用 NACL 来仅允许端口/协议通过 ALB 进入子网,然后使用 CloudFront IP 的安全组。不要忘记将公共 IP 所需的任何管理列入白名单,但最佳做法是使用堡垒主机进行公共访问。
网页应用防火墙
AWS WAF 或其他 WAF 可以防御应用程序层攻击。它们还可以缓解 DDOS 攻击。
其他
正如您在评论中指出的那样,攻击者可以创建自己的 CF 分发,这意味着他们可以直接攻击服务器。CloudFront/Shield 仍将应用 DDOS 保护,这在一定程度上缓解了这种情况。
安全性必须分层。除了 CDN/WAF,您还需要一个安全、可扩展的应用层。您可以在应用层进行速率限制,使用实例防火墙、IDS/IPS。
有很多方法可以增加攻击者的攻击难度。如果你在线,你就容易受到攻击。这就是为什么安全的异地备份和演练过的恢复计划也很重要。