Erste Schritte mit AWS Edge Services

AWS WAF ist eine Web Application Firewall, mit der Webanwendungen vor Bedrohungen auf Anwendungsebene geschützt werden können. Zu den Bedrohungen auf Anwendungsebene gehören:

• DDoS-Angriffe (z. B. HTTP-Floods), die darauf abzielen, Ihre Anwendungsressourcen zu verbrauchen, um sie legitimen Benutzern unzugänglich zu machen. 
• Angriffe, die versuchen, Sicherheitslücken auf Anwendungsebene auszunutzen und dann böswillige Aktivitäten ausführen, wie z. B. den Diebstahl von Daten oder die unbefugte Nutzung Ihrer Ressourcen wie etwa zum Bitcoin-Mining. 
• Angriffe automatisierter Bots, die Ihrem Unternehmen auf unterschiedliche Weise schaden können, z. B. durch Kontoübernahme und Content-Scraping. 

Um AWS WAF zu verwenden, erstellen Sie Regeln in einer WebACL und hängen Sie sie dann an Ressourcen an, die geschützt werden müssen. Globale WebACL können an CloudFront-Distributionen angehängt werden, und regionale WebACLs können an Ressourcen innerhalb derselben Region wie ALBs und API-Gateways angehängt werden. Wenn eine WAF-WebACL an eine Ressource angehängt wird, übergibt der zugrunde liegende Service der Ressource (z. B. CloudFront oder ALB) eine Kopie der HTTP-Anfrage an den AWS WAF-Service, um die konfigurierten Regeln innerhalb eines einstelligen Millisekundenzeitraums auszuwerten. Basierend auf der Regelauswertung weist der AWS WAF-Service den zugrunde liegenden Service an, wie die Anfrage verarbeitet werden soll (z. B. blockieren, weiterleiten, eine Aufgabe stellen usw.). Beachten Sie, dass die AWS WAF-Logik ausschließlich auf HTTP-Anforderungsattributen (und nicht Antwortattributen) basiert.

Eine neu erstellte WAF-WebACL enthält nur eine Standardregel, die alle Anfragen zulässt, zu der Sie mehrere Regeln unterschiedlichen Typs hinzufügen können. Zunächst können Sie benutzerdefinierte Regeln erstellen, die auf den Attributen (z. B. IP, Header, Cookies, URL usw.) der geprüften HTTP-Anfrage basieren. Regeln können auch in Regelgruppen gruppiert werden, um ihre Verwaltung zu erleichtern. Zweitens können Sie verwaltete Regeln von AWS oder von Anbietern auf dem AWS Marketplace hinzufügen, die als konfigurierbare Regelgruppen zu Ihrer WebACL hinzugefügt werden. Sie können beispielsweise verwaltete AWS-Gruppen wie Core Rule Set oder eine Liste anonymer IP-Adressen hinzufügen. Erweiterte verwaltete Regeln wie Bot Control und Account Takeover Prevention erfordern eine clientseitige SDK-Integration. Regeln können beim Abgleich mit den folgenden Aktionen konfiguriert werden: Zulassen und Zählen (mit der Möglichkeit, Header in den Upstream zu senden), Blockieren (mit der Möglichkeit, mit einer benutzerdefinierten Antwort zu antworten), Ratenlimit und schließlich Aufgaben mit CAPTCHA oder stillen Aufgaben. Regeln wie etwa AWS Managed Rules geben Labels aus, die in der Logik nachfolgender Regeln verwendet werden könnten, wenn sie von der WAF-Auswertung erreicht werden. Sie können Ihre eigenen Regeln für die Ausgabe von Labels konfigurieren, die in WAF-Protokolldatensätzen verfügbar sind.

AWS Global Accelerator ist ein Netzwerkservice, der die Leistung, Zuverlässigkeit und Sicherheit Ihrer Online-Anwendungen mithilfe von AWS Global Infrastructure verbessert. Da AWS Global Accelerator auf Ebene 4 des OSI-Modells arbeitet, kann es mit jeder TCP/UDP-Anwendung verwendet werden. Zu den beispielhaften Anwendungsfällen gehören: UDP/TCP-basiertes Multiplayer-Gaming, Voice- und Video-over-IP, IoT, Videoaufnahme und FTP-Uploads sowie andere Anwendungsfälle wie VPN, Git und AdTech-Gebote. 

AWS Global Accelerator kann vor Ihren Network Load Balancern, Application Load Balancern, AWS EC2-Instances und Elastic IPs bereitgestellt werden, die alle als regionale Endpunkte für Ihre Anwendung dienen können. Um diesen Dienst zu verwenden, erstellen Sie einen Accelerator, der zwei globale statische Anycast-IPv4-Adressen bereitstellt, die als fester Einstiegspunkt für Ihre Anwendung dienen. Mit Global Accelerator sind mehrere Anwendungsendpunkte in einer oder mehreren AWS-Regionen möglich, auf die jedoch alle über dieselbe Anycast-IP-Adresse zugegriffen werden kann. Anschließend konfigurieren Sie Ihren autoritativen DNS-Server so, dass der Domainname Ihrer Webanwendung auf die dedizierten statischen IPs des Accelerators verweist. Diese Anycast-IPs werden in allen Global Accelerator-PoPs angekündigt, um den User-Traffic an den nächstgelegenen PoP weiterzuleiten und ihn dann über das globale AWS-Netzwerk an den regionalen Endpunkt weiterzuleiten.