AWS WAF の詳細構築ガイド

このガイドでは、AWS WAF（Web Application Firewall）の構築方法を詳細に説明します。AWSマネジメントコンソールとAWS CLIの両方の方法を提供します。

1. 前提条件

• AWSアカウントを持っていること。
• 保護したいリソース（CloudFrontディストリビューションやApplication Load Balancerなど）が既に設定されていること。

2. AWS WAFのウェブACLの作成

2.1 AWSマネジメントコンソールを使用する方法

AWSマネジメントコンソールにログインし、WAFサービスに移動し、「ウェブACLの作成」をクリックします。

以下の基本設定を行います。

1. 名前とデスクリプションを入力します。
2. リソースタイプを選択します（CloudFront、リージョナルなど）。
3. 関連付けるAWSリソースを選択します。

次にルールを追加します。以下は主な種類です。

• マネージドルール：AWSが提供する事前設定ルール。
• カスタムルール：独自の条件とアクションを設定。
• レートベースルール：リクエスト数に基づくルール。

最後にデフォルトアクションを設定します（通常は「許可」）。

設定を確認し、「作成」をクリックします。

2.2 AWS CLIを使用する方法

2.2.1 ウェブACL設定のJSONファイル（web-acl-config.json）を作成します。

2.2.2 以下のAWS CLIコマンドを実行してウェブACLを作成します。

3. ルールの追加と設定

3.1 SQLインジェクション対策ルールの追加

AWSマネジメントコンソールで次の通り行います。

1. 作成したウェブACLを選択します。
2. 「ルールの追加」をクリックします。
3. マネージドルールから「AWSマネージドルール SQLiルールセット」を選択します。
4. 必要に応じてルールの動作をカスタマイズします。

AWS CLIにて次を実行します。

3.2 カスタムIPブロックリストの作成

AWSマネジメントコンソールで次の通り行います。

1. 「IPセット」を作成し、ブロックしたいIPアドレスを追加します。
2. ウェブACLに新しいルールを追加し、作成したIPセットを参照します。

AWS CLIにて次を実行します。

3.2.1 IPセットを作成

3.2.2 ウェブACLにルールを追加

4. ロギングの設定

4.1 ログを保存

Amazon S3バケットを作成してログを保存します。

4.2 ロギングを有効化

AWSマネジメントコンソールで、ウェブACLの「ロギング」タブからロギングを有効にします。

4.3 AWS CLIで次のコマンドを実行

5. モニタリングとアラートの設定

1. CloudWatchダッシュボードを作成し、WAFメトリクスを追加します。
2. 重要なメトリクス（ブロックされたリクエスト数など）にCloudWatchアラームを設定します。

6. テストと検証

1. 安全な環境で、ブロックされるべきリクエスト（SQLインジェクション攻撃など）をシミュレートします。
2. ログとCloudWatchメトリクスを確認し、ルールが期待通りに機能していることを確認します。
3. 正常なトラフィックが影響を受けていないことを確認します。

まとめ

AWS WAFの構築は、基本的な設定から始まり、具体的なセキュリティニーズに応じたカスタマイズまで多岐にわたります。このガイドで説明した手順とベストプラクティスを参考に、ご自身のアプリケーションに適したWAF設定を構築してください。

セキュリティは継続的なプロセスです。定期的なルールの見直し、ログ分析、新しい脅威への対応を行うことで、常に最適な保護を維持することが重要です。また、AWSの新機能や更新情報をチェックし、最新のセキュリティプラクティスを取り入れていくことをおすすめします。