Comment protéger mon application Web contre les menaces Web avec CloudFront et AWS WAF ?

Brève description

Les attaques courantes au niveau de la couche applicative incluent l'injection SQL ou les scripts inter-site (XSS). Pour protéger votre application Web contre ces attaques, configurez CloudFront avec AWS WAF pour inspecter les requêtes HTTP/HTTPS aux emplacements périphériques. Ils peuvent ensuite bloquer le trafic malveillant avant qu'il n'atteigne vos serveurs d'origine. Pour plus d'informations, consultez la section Cas d'utilisation courants pour protéger les distributions CloudFront avec AWS WAF.

Résolution

Prérequis :

• Un Application Load Balancer qui achemine le trafic vers votre instance Amazon Elastic Compute Cloud (Amazon EC2) ou tout autre point de terminaison régional AWS.
• Le contenu de votre application est déployé et en cours d'exécution.
• Vous disposez des autorisations nécessaires pour configurer CloudFront et AWS WAF.

Configurer CloudFront

Pour configurer CloudFront en tant que bouclier de sécurité, procédez comme suit :

1. Ouvrez la console CloudFront.
2. Créez une distribution.
3. Dans le champ Domaine d’origine, saisissez l'adresse de votre site Web.
4. Dans Politique de protocole d'utilisateur, choisissez Rediriger HTTP vers HTTPS.
5. Sélectionnez Créer une distribution.

Remarque : Lorsque vous mettez en cache du contenu statique et dynamique à l'emplacement périphérique, vous réduisez le nombre de requêtes qui atteignent votre origine. Cette action permet de réduire les coûts et d'améliorer les performances.

Configurer AWS WAF

Pour configurer AWS WAF afin qu'il agisse en tant que gardien de sécurité, procédez comme suit :

1. Ouvrez la console AWS WAF.
2. Créez une ACL (Web Access List) Web.
3. Choisissez votre région AWS.
4. Donnez-lui un nom. Exemple : "MyWebsiteProtection".
5. Choisissez Ajouter des règles, puis choisissez Ajouter une règle basée sur les taux.
   Saisissez la règle de limite de taux suivante :
   Configurez-le pour bloquer les adresses IP qui envoient trop de requêtes. Par exemple, 2 000 requêtes toutes les 5 minutes.
6. Choisissez Ajouter des règles, puis Ajouter des règles gérées.
   Ajoutez un jeu de règles principales (CRS) Règles gérées d'AWS. Le CRS inclut une protection contre les attaques courantes telles que l'injection SQL et XSS.
   Remarque : Les emplacements périphériques appliquent les règles AWS WAF et bloquent le trafic malveillant au plus près de la source.
7. Sélectionnez Suivant, puis choisissez Créer une liste ACL web.

Remarque : Vous pouvez maintenant utiliser l'expérience mise à jour pour accéder aux fonctionnalités AWS WAF n'importe où dans la console. Pour plus d'informations, consultez la section Démarrer avec AWS WAF à l'aide de l'expérience de console mise à jour.

Connecter AWS WAF à CloudFront

Pour vous assurer qu'AWS WAF et CloudFront fonctionnent ensemble, procédez comme suit :

1. Ouvrez la console AWS WAF.
2. Sélectionnez votre liste ACL Web.
3. Sélectionnez Ressources AWS associées.
4. Sélectionnez Ajouter des ressources AWS.
5. Sélectionnez votre distribution CloudFront.
6. Sélectionnez Ajouter. Pour plus d'informations, consultez la section Utilisation d'AWS WAF avec Amazon CloudFront.

Configurer la surveillance

Remarque : Si vous activez la journalisation, des frais supplémentaires vous seront facturés. CloudWatch propose une offre gratuite, mais des frais s'appliquent lorsque vous dépassez les limites de l’offre gratuite. Pour connaître la tarification actuelle, consultez la rubrique Tarification d'Amazon CloudWatch.

Pour configurer la surveillance dans CloudFront, procédez comme suit :

1. Ouvrez la console CloudFront.
2. Choisissez votre distribution.
3. Accédez à Journaux.
4. Activez la journalisation standard.

Pour configurer la surveillance dans AWS WAF, procédez comme suit :

1. Ouvrez la console AWS WAF.
2. Ouvrez votre liste ACL Web.
3. Choisissez Journalisation et métriques.
4. Activez la journalisation. Pour plus d'informations, consultez la section CloudFront et journalisation des fonctions Edge.

Informations connexes

Automatisation de l'atténuation des attaques DDoS au niveau de la couche applicative avec Shield Advanced

Accélérer et protéger vos sites Web à l'aide d'Amazon CloudFront et AWS WAF