Protegendo o API Gateway com AWS WAF

Quando Usar

• Ao implantar endpoints do API Gateway que exigem proteção contra ataques web comuns
• Ao implementar limites de taxa e estrangulamento para prevenir abuso de API e ataques DDoS
• Ao criar detecção e mitigação de bots para endpoints de API expostos à internet
• Quando a conformidade exige proteção WAF para todos os endpoints de API voltados para o público
• Ao personalizar controles de acesso com base na reputação de IP, geolocalização ou padrões de solicitação

Não use para proteção DDoS em nível de rede (use AWS Shield), para vulnerabilidades de lógica de aplicação (use ferramentas SAST/DAST) ou para segurança interna de API entre microsserviços (use autenticação e autorização de service mesh).

Pré-requisitos

• AWS API Gateway (API REST ou HTTP) implantado com endpoints públicos
• Permissões IAM para operações wafv2:* e apigateway:*
• CloudWatch e S3 ou Kinesis Firehose configurados para log do WAF
• Compreensão dos padrões de tráfego esperados da API para configuração de limites de taxa
• Listas de reputação de IP ou feeds de inteligência de ameaças para bloqueio de IP personalizado

Fluxo de Trabalho

Etapa 1: Criar um Web ACL do WAF com Grupos de Regras Gerenciados

Crie um Web ACL com Regras Gerenciadas da AWS para proteção básica contra ataques OWASP Top 10.

# Create a WAF Web ACL with managed rule groups
aws wafv2 create-web-acl \
  --name api-gateway-waf \
  --scope REGIONAL \
  --default-action '{"Allow":{}}' \
  --visibility-config '{
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "api-gateway-waf"
  }' \
  --rules '[
    {
      "Name": "AWSManagedRulesCommonRuleSet",
      "Priority": 1,
      "Statement": {
        "ManagedRuleGroupStatement": {
          "VendorName": "AWS",
          "Name": "AWSManagedRulesCommonRuleSet"
        }
      },
      "OverrideAction": {"None": {}},
      "VisibilityConfig": {
        "SampledRequestsEnabled": true,
        "CloudWatchMetricsEnabled": true,
        "MetricName": "CommonRuleSet"
      }
    },
    {
      "Name": "AWSManagedRulesKnownBadInputsRuleSet",
      "Priority": 2,
      "Statement": {
        "ManagedRuleGroupStatement": {
          "VendorName": "AWS",
          "Name": "AWSManagedRulesKnownBadInputsRuleSet"
        }
      },
      "OverrideAction": {"None": {}},
      "VisibilityConfig": {
        "SampledRequestsEnabled": true,
        "CloudWatchMetricsEnabled": true,
        "MetricName": "KnownBadInputs"
      }
    },
    {
      "Name": "AWSManagedRulesSQLiRuleSet",
      "Priority": 3,
      "Statement": {
        "ManagedRuleGroupStatement": {
          "VendorName": "AWS",
          "Name": "AWSManagedRulesSQLiRuleSet"
        }
      },
      "OverrideAction": {"None": {}},
      "VisibilityConfig": {
        "SampledRequestsEnabled": true,
        "CloudWatchMetricsEnabled": true,
        "MetricName": "SQLiRuleSet"
      }
    },
    {
      "Name": "AWSManagedRulesAmazonIpReputationList",
      "Priority": 4,
      "Statement": {
        "ManagedRuleGroupStatement": {
          "VendorName": "AWS",
          "Name": "AWSManagedRulesAmazonIpReputationList"
        }
      },
      "OverrideAction": {"None": {}},
      "VisibilityConfig": {
        "SampledRequestsEnabled": true,
        "CloudWatchMetricsEnabled": true,
        "MetricName": "IPReputationList"
      }
    }
  ]'

Etapa 2: Adicionar Regras de Limite de Taxa

Configure regras baseadas em taxa para estrangular solicitações excessivas de API por endereço IP.

# Obter o ARN do Web ACL e o token de bloqueio
WEB_ACL_ARN=$(aws wafv2 list-web-acls --scope REGIONAL \
  --query "WebACLs[?Name=='api-gateway-waf'].ARN" --output text)

# Atualizar Web ACL para adicionar regra de limite de taxa
aws wafv2 update-web-acl \
  --name api-gateway-waf \
  --scope REGIONAL \
  --id $(aws wafv2 list-web-acls --scope REGIONAL --query "WebACLs[?Name=='api-gateway-waf'].Id" --output text) \
  --lock-token $(aws wafv2 get-web-acl --name api-gateway-waf --scope REGIONAL --id WEB_ACL_ID --query 'LockToken' --output text) \
  --default-action '{"Allow":{}}' \
  --visibility-config '{
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "api-gateway-waf"
  }' \
  --rules '[
    {
      "Name": "RateLimitPerIP",
      "Priority": 0,
      "Statement": {
        "RateBasedStatement": {
          "Limit": 2000,
          "AggregateKeyType": "IP"
        }
      },
      "Action": {"Block": {}},
      "VisibilityConfig": {
        "SampledRequestsEnabled": true,

…