ラボ概要
このラボでは、すでに用意されている Application Load Balancer (ALB) に AWS WAF の Web ACL を関連付け、AWS マネージドルール・レートベースルール・カスタムルールを組み合わせて不正な HTTP リクエストをブロックします。正常リクエストは通し、攻撃らしいリクエストは 403 で遮断される様子を実際に確認します。
学習目標
- ALB 用に「リージョン」スコープの WAF Web ACL を作成し関連付ける
- AWS マネージドルールグループ(コアルールセット・既知の不正な入力)を追加する
- レートベースルールで短時間の大量アクセスを抑制する設定方法を習得する
- 文字列一致(URI)に基づくカスタムブロックルールを作る
- 許可／ブロックの挙動と、サンプリングされたリクエスト・CloudWatch メトリクスを確認する
前提
このラボの開始時点で、CloudFormation により以下が東京リージョンに自動作成されています(あなたが手で作る必要はありません)。
- VPC・2 つのパブリックサブネット(ap-northeast-1a / 1c)
- インターネット向け ALB(名前:
clouddo-waf-lab-alb)と HTTP:80 リスナー - このリスナーは固定レスポンス(HTTP 200 の簡単な HTML)を返すため、EC2 などのバックエンドは不要です
ラボの構成
- 1ベースラインの ALB を確認する
- 2WAF の Web ACL を作成する
- 3AWS マネージドルールを追加する
- 4レートベースルールを追加する
- 5カスタムの文字列一致ブロックルールを追加する
- 6デフォルトアクションと優先順位を確認して作成する
- 7動作確認
- 8完了チェックリスト
- 9後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- AWS WAF ドキュメント — Web ACL・マネージドルール・レートベースルールの公式ガイド
- AWS WAF 製品ページ — WAF の概要・機能・ユースケース
- Elastic Load Balancing (ALB) ドキュメント — Application Load Balancer の作成とリスナー設定
- Amazon VPC ドキュメント — VPC・サブネット・ネットワーク構成の基礎
- Amazon CloudWatch ドキュメント — メトリクスとモニタリングによる WAF 挙動の確認