こんにちは、前回ブログを書き忘れていた清瀬です。
本日は、AWSのWAFについて勉強させていただいたので、
それをまとめたいと思います。
まずWAFとは、
Web Application Firewall（略称:WAF、ワフ）とは、ウェブアプリケーションの脆弱性を悪用した攻撃からウェブアプリケーションを保護するセキュリティ対策の一つ[1]。WAFを導入するウェブサイト運営者は、検出パターンを設定することで、ウェブサイトとウェブサイト利用者との間の通信の内容を機械的に検査する。WAFを使用することで、以下の効果が期待できる。（Wiikipediaより）
ちょっとよくわかりませんね。
WEBフレームワークは、デファルトでXSSやSQLインジェクションの対策をしてくれているものが多いそうです。
しかし、制作の都合上そのデフォルト機能をOFFにして、そのまま忘れていた・・・。
そんな時に役立つのがWAFです。WAFはWEBアプリケーションにリクエストが到達する前にその中身を精査してくれます。
AWSでは、この機能を実装するためにALBとWeb ACLsという機能が搭載されています。
ALBはリクエストの中身を確認し、IPやURLなど様々な条件を基にして、
そのリクエストを適切なターゲットグループ（サーバー・インスタンスの集まり）に振り分けます。
その過程で、ALBはACLsと連携をします。ACLsはルールの集まりのようなもので（たぶん）、
ここにどんな条件のものを弾いて欲しいかのルールを書くことができます。ACLsにはawsがすでに作成してくれている便利なルールがたくさんあるので、だれでも簡単にWAFを導入することができます。
こんな感じで、今日はAWSのWAFを勉強させて頂きました。こんなにもAWSが多機能だとは、今まで知りませんでした。これから、どんどん自分でもAWSを勉強していきたいと思います。
