AWS WAF OWASP Top10 2017 テンプレート実装手順（ELBのALB利用）

 各AWSリソースへの命名ルールが結構大事です。AWSリソースの識別に役立ちます。プロジェクトの接頭辞を決めておくことをおすすめします。セキュリティグループのdescriptionには、プロトコルとポートを明記すると便利です。

AWS WAFのCondition（コンデイション）で自己IPを登録する時、サブネットマスクの値は/32を使います。それ以外は設定できませんのでご注意ください。

AWS WAFで特定リクエストのフィルタリングとカウント、ログ管理を行い、独自にルール運用を行う事も可能です。

この記事はCloudFrontではなく、ELBのALBを使ったAWS WAF構築の手順となります。ACMによるSSL/TLSも含みます。

以下、SlideShareにて、

OWASP Top10 2017　AWS WAF テンプレートについて　〜WordPressの場合　〜　

もご参考ください。

 

以下より手順です。

 

１

プロジェクト用のIAMグループとIAMユーザーを作る

２

VPCを作る（デフォルトVPC可）

３

サブネットを２つ以上で作る（ELB/ALB使う場合、サブネットは必ず２つ以上必要です。冗長化などを考える場合、CIDRとサブネットは余裕のある設計にする事を強くお勧めします）

４

EC２インスタンス用セキュリティグループを作る

５

独自ドメインを準備（Freenomを使えば12ヶ月無料です）

６

ElasticIPで新しいIPアドレスを割り当て、Route53のAレコードを新しいIPアドレスに設定。独自ドメインのNSをRoute53に設定。Route53を使わないと、ELBを使えないので注意（CDNのAWS CloudFrontでもAWS WAFを使えます）。

※NI（ネットワークインターフェイス）をEC2構築の前に作ると、EC2構築時に、作っておいたNIでは自動割当パブリックIPを付けられないので、ElasticIPを使わない方は気を付けてください。

Aレコードはwww有りと無し両方で作ります。

７

VPCに付けるインターネットゲートウェイがあるか？プロジェクト用のVPC IDになっているか？などを確認しておく。

８

KMSでEC２インスタンス向けキーペアを作る。EC2向けIAMロールを作る。

９

EC２インスタンス用セキュリティグループを作る

※http、https、sshの３種インバウンドを設定しておく。

１０

EC2インスタンスを作る

CloudWatchは有効化をおすすめします。また、プレイスメントグループ（単一AZ内のインスタンスをグループ化したもの。通信コストを下げる）はスプレッドで作ります。

１１

EC２インスタンスにLAMP構築、Wordpressインストール

１２

IGW（インターネットゲートウェイ）をVPCにアタッチ。IGWとlocalをtargetとしたルートテーブルをVPCに設定

１３

ACMでSSL証明書を作る。Route53のCNAMEで「DNSの検証」を行いSSLを実装。

１４

ALB用のセキュリティグループを作っておく（httpとhttpsを開けておく）

１５

EC2インスタンスのELBでALBを作り、Route53でIPアドレスAレコードを削除、ALIASをALBに設定。

ALBでHTTPのリスナーはルールの編集でHTTPSにリダイレクトさせる。この時点ではJSとCSSなどの静的スクリプトファイルは、リダイレクトされないので注意。ELBのUIは、リスナーのルール変更画面まで辿りつきにくいです。UIがわかりにくいです。

１６

IPv4アドレスとパブリックDNSによるhttp/https通信を遮断

１７

S3用のIAMロールを作る

１８

S3にOWASP Top 10 AWS WAF ymlテンプレートをアップロード、S3のURLコピー

１９

CloudFormation用のIAMロールを作る

２０

CloudFormationで OWASP Top10 のスタックを作る。S３のURLを貼り付ける。

２１

WAF&Shield→AWS WAF→web ACLs→Filterで該当するリージョンを選択→Rules→ResoucesでALBを選択してAWS WAFとALBを紐付け

２２

条件（Condition）に会社などの固定IP、stringでwp-admin、wp-login.phpを登録。Ruleに追加。WebACLsでallow設定にする。

※ダッシュボードログインRLを独自に変更している場合は、stringも独自に変えてください。

２３

web ACLで、RulesのAllowとBlockのテストをしながらダッシュボードログイン可否確認を行い、出来ないものについては理由を調べてアプリケーション側で実装を行う。