AWS WAFでOWASP Top 10の対応

AWS WAFを導入したのでその記録です。
運用コストを考えると、自力でがんばるのはしんどいので、AWSのOWASP10テンプレートを利用しました。

まずはじめに、以下のページからCloudFormationのテンプレートをダウンロードします。
Use AWS WAF to Mitigate OWASP’s Top 10 Web Application Vulnerabilities

続いて、CloudFormationを実行するためのIAMロールを作成します。

IAMの画面からロール→ロールの作成をクリックします。

エンティティの種類は「CloudFormation」を選択します。

権限をアタッチします。
おそらく手抜きのAdministratorAccessをチョイス。

名前をつけて作成。新しいIAMロールができました。

続いてAWSマネジメントコンソールからCloudFormationの画面を開きます。

最初に入手したクラウドフォーメーションテンプレートを選択します。

スタックに名前をつけて、ロールを選択します。

CloudFormationが実行され、しばらく待つと完了します

ルールが１０個できました！generic-detect-admin-accessはIPとURLの設定が必要なので、環境に合わせて調整しましょう。

今回はALBにアタッチして利用しました。導入当初はブロックではなく、カウントに設定して様子をみるのがよさそうです。

作業は以上です。テンプレートとAWSの手軽さのおかげで導入はあっという間に終わりますが、安定するまで運用ルールの監視と調整が必要になりそうです。

今回の環境でもWordPressの管理画面が利用できなくなるなど、いくつかの調整が必要になりました。

kaneko tomo 2019年3月14日

こんにちはいけしまです。前回のブログ更新から5ヶ月もたってしまいました。すみませ…

OWASP Zapでの脆弱性検査を、開発者PCもしくはオフィスの共有PCから実行…

はじめにどうも！T-utsuです。最近なにかとAWSをいじるこ…

ハマログ