AWS WAF
Tường lửa web
Lọc request HTTP độc hại (SQL injection, XSS, bot, IP xấu) trước khi tới CloudFront, ALB, API Gateway.
- Chi phí$$ Vừa phải
- Độ khó●●●●●
- Để không có tốn tiền?Có
- AWS quản lý
- Có trong đềCLF · SAA · SOA
Hình dungNhư bảo vệ cổng soát người ra vào theo danh sách đen và các dấu hiệu khả nghi.
WAF đứng ở đâu trong hệ thống?
WAFWAF gọi tới
Một ví dụ thật, từng bước
- Trang đăng nhập của bạn bị một bot thử mật khẩu hàng nghìn lần mỗi phút.
- Bạn tạo web ACL trong AWS WAF và gắn vào CloudFront đang đứng trước website.
- Bạn bật bộ rule có sẵn của AWS chặn SQL injection và XSS, không phải tự viết rule.
- Một rate-based rule chặn IP nào gửi quá 300 request trong 5 phút tới /login.
- Bot bị chặn ngay ở điểm biên, request xấu không chạm tới máy chủ của bạn.
Khi nào nên dùng
✓ Nên dùng khi
Ứng dụng web public.
✗ Không nên dùng khi
Chống DDoS tầng mạng → Shield; lọc traffic trong VPC → Network Firewall.
Ví dụ hay gặp
- Chặn SQL injection, XSS bằng managed rules
- Giới hạn tốc độ chống brute-force, bot
- Chặn theo IP hoặc quốc gia
WAF, VPC hay CloudFront?
| WAF |  VPC |  CloudFront | |
|---|---|---|---|
| Bảo vệ ở tầng | Ứng dụng (HTTP): SQL injection, XSS, bot | Mạng: IP, cổng (security group, NACL) | Phân phối nội dung; Shield Standard chống DDoS sẵn |
| Gắn vào | CloudFront, ALB, API Gateway, AppSync, Cognito… | Tài nguyên trong VPC | Đứng trước website |
| Hiểu nội dung request | Có (đường dẫn, header, body) | Không | Một phần (cache theo đường dẫn, header) |
| Tính tiền | Theo web ACL, rule, request | Security group miễn phí | Theo dữ liệu truyền |
Tốn bao nhiêu tiền?
- Cách tính: $5/web ACL/tháng + $1/rule/tháng + $0,60/1 triệu request. Bộ rule nâng cao (Bot Control, Fraud Control) tính thêm.
- Miễn phí: Không.
Bot Control/Fraud Control tính theo request khá đắt; mỗi môi trường tạo một web ACL riêng.
Chặn SQL injection, XSS, giới hạn request từ một IP, chặn theo quốc gia → WAF. Chống DDoS tầng mạng → Shield (Advanced nếu cần hỗ trợ và bảo vệ chi phí). WAF không gắn được vào EC2 hay NLB.
Thử sức với câu hỏi thi thật
1A company's web application consists of multiple Amazon EC2 instances that run behind an Application Load Balancer in a VPC. An Amazon RDS for MySQL DB instance contains the data. The company needs the ability to automatically detect and respond to suspicious or unexpected behavior in its AWS environment. The company already has added AWS WAF to its architecture. What should a solutions architect do next to protect against threats?
- AUse Amazon GuardDuty to perform threat detection. Configure Amazon EventBridge (Amazon CloudWatch Events) to filter for GuardDuty findings and to invoke an AWS Lambda function to adjust the AWS WAF rules.
- BUse AWS Firewall Manager to perform threat detection. Configure Amazon EventBridge (Amazon CloudWatch Events) to filter for Firewall Manager findings and to invoke an AWS Lambda function to adjust the AWS WAF web ACL.
- CUse Amazon Inspector to perform threat detection and to update the AWS WAF rules. Create a VPC network ACL to limit access to the web application.
- DUse Amazon Macie to perform threat detection and to update the AWS WAF rules. Create a VPC network ACL to limit access to the web application.
Xem đáp án
Đáp án đúng: A
GuardDuty phát hiện hành vi đáng ngờ; EventBridge bắt các phát hiện đó và gọi Lambda để tự cập nhật rule của WAF. Inspector quét lỗ hổng phần mềm, Macie tìm dữ liệu nhạy cảm, không phải công cụ phát hiện tấn công.
2A company runs a web application on Amazon EC2 instances in an Auto Scaling group that has a target group. The company designed the application to work with session affinity (sticky sessions) for a better user experience. The application must be available publicly over the internet as an endpoint. A WAF must be applied to the endpoint for additional security. Session affinity (sticky sessions) must be configured on the endpoint. Which combination of steps will meet these requirements? (Choose two.)
- ACreate a public Network Load Balancer. Specify the application target group.
- BCreate a Gateway Load Balancer. Specify the application target group.
- CCreate a public Application Load Balancer. Specify the application target group.
- DCreate a second target group. Add Elastic IP addresses to the EC2 instances.
- ECreate a web ACL in AWS WAF. Associate the web ACL with the endpoint.
Xem đáp án
Đáp án đúng: C, E
Application Load Balancer public hỗ trợ sticky session và gắn được web ACL của AWS WAF. NLB và Gateway Load Balancer không gắn được WAF.
Câu hỏi thường gặp
WAF khác gì Shield?
WAF lọc request HTTP ở tầng ứng dụng: chặn SQL injection, XSS, bot, giới hạn tốc độ theo IP. Shield chống DDoS; Shield Standard tự bật miễn phí cho mọi tài khoản, Shield Advanced có phí và thêm hỗ trợ từ đội ứng cứu DDoS của AWS.
Gắn WAF vào đâu được?
Vào CloudFront, Application Load Balancer, API Gateway REST API, AppSync, Cognito user pool, App Runner và Verified Access. WAF không gắn trực tiếp vào EC2 hay NLB.
WAF tính tiền thế nào?
Theo số web ACL, số rule trong mỗi ACL và số request được kiểm tra. Managed rule group của AWS Marketplace và các tính năng như Bot Control hay chống gian lận tính thêm phí.
Đề thi AWS hay hỏi gì về WAF?
Chặn SQL injection và XSS bằng managed rule, rate-based rule chống tấn công dồn dập từ một IP, chặn theo quốc gia, chọn đúng nơi gắn WAF, và phân biệt với Shield, Network Firewall và security group.