• Home
• コーポレートブログ
• AWS WAFで不正なリクエストをブロックするため独自のルールを使用しています

原田です。今回は2年前にMy Subversionサービスをリニューアルし、その後運用しながら見直しを行っているAWS WAFのルールについてご紹介します。

リニューアルして2年になります

以前にブログでも紹介しましたが、My Subversion（本サービス）は2023年11月15日にサービスをリニューアル、ようやく2年になります。リニューアル後に微調整等はありましたが、大きな問題もなく安定稼動を続けています。お客様に本サービスが提供できている大きな要因の一つはWAFのおかげであると私は思っています。

不正なリクエストをブロックするWAF

本サービスは世界中（大半は日本）から様々なリクエストを受信しますが、WAFを介して不正なリクエストを判定・ブロックして発信元に403 Forbiddenを返しています。本音を言うと、403エラーを受け取った発信元にはリクエストの再試行を諦めていただきたいのですが、実際には何度もリクエストを受信している状況です。

現在、本サービスのWAFではいくつかのAWSマネージドルールと当社作成のルールを混在させています。当社作成のルール（一部）をご紹介します。

Invalid Host

HTTPリクエストにおいてクライアントがアクセスしようとしているサーバーのドメイン名とポート番号をHostヘッダーに指定しますが、ドメイン名から割り当てられているIPアドレスを探し出しIPアドレス指定でサーバーにアクセスすることも可能です。

作成したルールでは、本来指定すべきドメイン名以外を指定するリクエストをブロックします。

Rate-Based Limits

DDoSやブルートフォース等のサイバー攻撃を防ぐため作成したルールです。 以下の条件に該当するリクエストをブロックします。

• 同一IPアドレス（クライアント）から
• 指定期間の間に
• 一定回数以上のアクセス

参考: AWS WAF でアクセス数が一定回数を超えた IP アドレスを自動的にブラックリストに追加させる方法

Invalid URI

本サービスでは次の3つの機能（コンテンツ）をご利用頂くことができます。

• ユーザー・グループ・リポジトリの管理（追加・編集・削除）
• リポジトリブラウザ（閲覧）
• Subversionリポジトリ

これらの機能はそれぞれ異なるURIパスで提供しています。作成したルールでは、これらURIパス以外のアクセスをブロックします。

参考: AWS WAFで特定のURI以外をブロックしてボット対策をする

WAFで不正なリクエストをブロックするとALBの設定は楽になる

WAFで不正なリクエストをブロックすることで、ALBの設定（リスナールール）が正規のリクエストに対する設定だけで良いのでメンテナンスが楽になります。今後も新たに発生する不正なリクエストに対しては、WAFにルールを作成しブロックしていきたいと思います。