臼田佳祐(129)7979件のシェア(ちょっぴり話題の記事)こんにちは、臼田です。WAFに大きなアップデートがありました。WAFはv2となっていて、中身の仕組みがいろいろ変わっています。Rulesが使えるようになりましたそのため、各セキュリティベンダーから提供されるマネージドルールも作り直されているみたいでまだv2でリリースされているマネージドルールは多くありません。Gateway用のマネージドルールが出てくるのは嬉しいです。GatewayはRESTfulなAPIエンドポイントのため、ALBと比べると扱うフォーマットが限定的だったり、バックエンドにLambda等を利用するときにはサーバOSを意識することは少なかったり、つながる先もNoSQLになったりといろいろ変わる部分があります。Gatewayやサーバレスに最適化されたマネージドルールというのは良いものです。CSCさんはマネージドルールを日本語でサポートしてくれる唯一のベンダーさんでもあります。Gatewayを使っている上でWAFを選択する際のベーシックな選択肢になるのではないでしょうか。ルールの説明を見ると、下記のようなものをブロックするとあります。コードインジェクションテクニック(SQLi、NoSQLi、OScommandiなど)XML外部エンティティ攻撃サーバーサイドリクエストフォージェリ(SSRF)XSS(クロスサイトスクリプティング)ディレクトリトラバーサル悪意のあるボットルールセット悪意のあるボットのアクセスや様々な攻撃から守ってくれそうです。SSRFに対応したルールと明示されているマネージドルールも初めてだと思います。Gatewayやそのバックエンドの作成はされている前提で進めます。WAFのコンソールにアクセスします。新しいコンソールにスイッチするリンクが出ていますのでこちらに切り替えます。MarketplaceからSubscribeする必要があります。下記のように開くか、直接こちらを開きます。Subscribeを押します。購入画面に来るのでSubscribeを押します。100万リクエスト毎に$1.2と非常に安いです。実際は月額も1時間単位で割られるので、とりあえず検証のためにSubscribeしても全然問題ありません!Subscribeしたら下記リンク等で元の画面に戻ります。元の画面でSubscribeされていることが確認できます。