Implementando Regras de WAF na Nuvem

Quando Usar

• Ao implantar novas aplicações web ou APIs atrás de balanceadores de carga na nuvem que exigem proteção OWASP.
• Quando testes de penetração na aplicação revelam injeção de SQL, XSS ou outras vulnerabilidades de injeção.
• Ao experimentar ataques de força bruta, credential stuffing ou bots contra endpoints de autenticação.
• Quando requisitos de conformidade exigem um WAF para PCI-DSS ou padrões semelhantes.
• Ao ajustar regras de WAF para reduzir falsos positivos que bloqueiam tráfego legítimo da aplicação.

Não use para proteção DDoS em nível de rede (use AWS Shield ou Azure DDoS Protection), para design de autenticação de API (veja managing-cloud-identity-with-okta), ou para correções de segurança em nível de código da aplicação (WAF é um controle compensatório, não um substituto para código seguro).

Pré-requisitos

• AWS ALB/CloudFront, Azure Application Gateway ou Cloudflare configurado como ponto de entrada da aplicação.
• Logs de tráfego da aplicação para análise de linha de base antes da implantação do WAF.
• Ambiente de teste para validar regras de WAF antes da aplicação em produção.
• Compreensão dos padrões de requisição da aplicação para minimizar falsos positivos.

Fluxo de Trabalho

Etapa 1: Implantar Conjuntos de Regras Gerenciados

Habilite os conjuntos de regras gerenciados pelo provedor de nuvem que cobrem as vulnerabilidades do OWASP Top 10. Comece no modo de Contagem (detecção) antes de mudar para o modo de Bloqueio (prevenção).

# AWS WAF: Create Web ACL with AWS Managed Rules
aws wafv2 create-web-acl \
  --name production-waf \
  --scope REGIONAL \
  --default-action '{"Allow": {}}' \
  --visibility-config '{
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "production-waf"
  }' \
  --rules '[
    {
      "Name": "AWSManagedRulesCommonRuleSet",
      "Priority": 1,
      "Statement": {
        "ManagedRuleGroupStatement": {
          "VendorName": "AWS",
          "Name": "AWSManagedRulesCommonRuleSet"
        }
      },
      "OverrideAction": {"Count": {}},
      "VisibilityConfig": {
        "SampledRequestsEnabled": true,
        "CloudWatchMetricsEnabled": true,
        "MetricName": "CommonRuleSet"
      }
    },
    {
      "Name": "AWSManagedRulesSQLiRuleSet",
      "Priority": 2,
      "Statement": {
        "ManagedRuleGroupStatement": {
          "VendorName": "AWS",
          "Name": "AWSManagedRulesSQLiRuleSet"
        }
      },
      "OverrideAction": {"Count": {}},
      "VisibilityConfig": {
        "SampledRequestsEnabled": true,
        "CloudWatchMetricsEnabled": true,
        "MetricName": "SQLiRuleSet"
      }
    },
    {
      "Name": "AWSManagedRulesKnownBadInputsRuleSet",
      "Priority": 3,
      "Statement": {
        "ManagedRuleGroupStatement": {
          "VendorName": "AWS",
          "Name": "AWSManagedRulesKnownBadInputsRuleSet"
        }
      },
      "OverrideAction": {"Count": {}},
      "VisibilityConfig": {
        "SampledRequestsEnabled": true,
        "CloudWatchMetricsEnabled": true,
        "MetricName": "KnownBadInputs"
      }
    }
  ]'

Etapa 2: Criar Regras Personalizadas de Limitação de Taxa

Implante regras baseadas em taxa para proteger endpoints de login contra ataques de força bruta e credential stuffing.

# Rate limiting rule for login endpoint (100 requests per 5 minutes per IP)
aws wafv2 update-web-acl \
  --name production-waf \
  --scope REGIONAL \
  --id <web-acl-id> \
  --lock-token <lock-token> \
  --default-action '{"Allow": {}}' \
  --rules '[
    {
      "Name": "RateLimitLogin",
      "Priority": 0,
      "Statement": {
        "RateBasedStatement": {
          "Limit": 100,
          "AggregateKeyType": "IP",
          "ScopeDownStatement": {
            "ByteMatchStatement": {
              "FieldToMatch": {"UriPath": {}},
              "PositionalConstraint": "STARTS_WITH",
              "SearchString": "/api/auth/login",
              "TextTransformations": [{"Priority": 0, "Type": "LOWERCASE"}]
            }
          }
        }
      },
      "Action": {"Block": {"CustomResponse": {"ResponseCode": 429}}},
      "VisibilityConfig": {
        "SampledRequestsEnabled": true,
        "CloudWatchMetricsEnabled": true,
        "MetricName": "RateLimitLogin"
      }
    }
  ]'

Etapa 3: Configurar Bloqueio Geográfico e Reputação de IP

Bloqueie o tráfego de países onde a aplicação não tem usuários legítimos e utilize listas de reputação de IP para bloquear fontes maliciosas conhecidas.

# AWS WAF: Regra de bloqueio geográfico
# Bloquear países que não estão na lista permitida
aws wafv2 create-ip-set \
  --name blocked-ips \

…