189-AWS SAP AWS 「理論・実践・一問道場」WAF

type

status

date

slug

summary

理論

1. Webアプリケーションファイアウォール (WAF)

WAFは、アプリケーションへの不正アクセスや攻撃（SQLインジェクションやクロスサイトスクリプティングなど）を防ぐために使用されます。AWS WAFは、カスタムルールを設定することで、悪意のあるリクエストを検出し、遮断することができます。

2. コンテンツ配信ネットワーク (CDN) とCloudFront

CloudFrontは、CDNサービスであり、アプリケーションのトラフィックを分散させ、地理的に分散したエッジロケーションから配信することで、攻撃トラフィックを早期に処理します。これにより、アプリケーションの負荷を軽減し、悪意のあるリクエストを先にブロックできます。

実践

略

一問道場

質問 #189

トピック 1

ある会社が、顧客がオンライン注文を行うために使用するアプリケーションを更新しています。最近、悪意のある攻撃者によるアプリケーションへの攻撃が増加しています。

会社は更新されたアプリケーションをAmazon Elastic Container Service (Amazon ECS) クラスターでホストします。アプリケーションデータはAmazon DynamoDBに保存され、パブリックなApplication Load Balancer (ALB) がエンドユーザーにアプリケーションへのアクセスを提供します。

会社は攻撃を防ぎ、攻撃が進行中でも最小限のサービス中断でビジネスの継続性を確保する必要があります。

これらの要件を最もコスト効率良く満たすためのステップの組み合わせはどれですか？（2つ選択してください。）

A. Amazon CloudFrontディストリビューションを作成し、ALBをオリジンとして設定します。CloudFrontドメインにカスタムヘッダーとランダムな値を追加し、ALBを設定して、ヘッダーと値が一致する場合のみ条件付きでトラフィックを転送します。

B. アプリケーションを2つのAWSリージョンにデプロイし、Amazon Route 53を使用して両方のリージョンに均等にルーティングするように設定します。

C. Amazon ECSタスクの自動スケーリングを設定し、DynamoDB Accelerator (DAX) クラスターを作成します。

D. DynamoDBのオーバーヘッドを削減するためにAmazon ElastiCacheを設定します。

E. 適切なルールグループを含むAWS WAFウェブACLをデプロイし、CloudFrontディストリビューションにウェブACLを関連付けます。

解説

この問題では、アプリケーションが増加する攻撃から保護され、ビジネス継続性が確保されることが求められています。さらに、最小限のサービス中断でコスト効率よく対応することも重視されています。これらの要件を満たすためには、以下の対策が重要です。

要件：

攻撃の防止：アプリケーションへの攻撃を防ぐ。

ビジネスの継続性：攻撃中でもサービスを継続できるようにする。

コスト効率：リソースを無駄にせず、最小限のコストで対処する。

各選択肢の解説：

A. Amazon CloudFrontディストリビューションを作成し、ALBをオリジンとして設定する

解説：CloudFrontを使用して、ALBの前にCDN（コンテンツ配信ネットワーク）を配置することで、攻撃トラフィックをCloudFrontで処理し、ALBへの負荷を減らします。また、カスタムヘッダーとランダムな値を使って、不正なリクエストをブロックすることができます。これにより、悪意のあるリクエストをフィルタリングし、攻撃を減らすことが可能です。