[AWS CDK] WAF v2のAWSマネージドルールとIP許可ルールを組み合わせてCloudFrontに適用する

2021.05.23

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、CX事業本部の若槻です。
前回の記事では、AWSマネージドルールを設定したWAF v2をAWS CDKで作成しました。
[AWS CDK] WAF v2のAWSマネージドルールをCloudFrontに適用する | DevelopersIO
これによりWAFが適用されたリソースに「マネージドルールをパス」したリクエストのみアクセスが可能となりますが、同じWAFに対してさらに「接続元IPアドレスがIP許可リストに含まれているか」という条件を加えたい場合があります。
条件1：AWSマネージドルールをパスしている
条件2：接続元IPアドレスがIP許可リストに含まれている
そこで今回は、AWS CDKでWAF v2のAWSマネージドルールとIP許可ルールを組み合わせてCloudFrontに適用し、上記2つの条件を満たすアクセスのみアプリケーションへの接続を許可するようにしてみました。
 やってみる前回の記事では、AWSマネージドルールを設定したWAF v2をAWS CDKで作成しましたが、今回は前回作成したリソースに修正を加える形で手順をご紹介します。
 IP Setの作成アクセス許可対象とするIPv4アドレスを登録するIP Setを作成します。create-ip-setコマンドでの作成時にはアドレスを1つ以上指定する必要があります。リージョンはWAFと同じus-east-1を指定します。（ここでIP SetのリソースをAWS CDKで作成しないのは、許可IPリストの変更をシステム運用者などがマネジメントコンソールからできるようにするためです。）
create-ip-set — AWS CLI 1.19.78 Command Reference
aws wafv2 create-ip-set \
  --name custom-allow-ip-set \
  --scope CLOUDFRONT \
  --ip-address-version IPV4 \
  --addresses "XXX.XXX.XXX.XXX/32" \
  --region us-east-1

{
    "Summary": {
        "Name": "custom-allow-ip-set",
        "Id": "df4459fe-9746-4bba-ba8f-a76a38d6935e",
        "Description": "",
        "LockToken": "a3602646-674f-429f-ba28-703303c2b259",
        "ARN": "arn:aws:wafv2:us-east-1:XXXXXXXXXXXX:global/ipset/custom-allow-ip-set/df4459fe-9746-4bba-ba8f-a76a38d6935e"
    }
}
作成したIP SetのArnは事項で使用するので控えておきます。
 CDKスタックの修正CDKスタックの記述を修正します。ハイライト部分が前回からの修正部分です。
Web ACLのデフォルトアクションはBlockにする
許可するIPアドレスはIP Setルールで明示的に指定するため、マネージドルールはIP 評価ルールグループは指定せず、ベースラインルールグループのみ指定する
ルールのPriorityは、マネージドルールを先とし、IP Setルールを最後とする
IP Setルールでは先ほど作成したIP SetのArnを指定する
今回はベタ書きしていますが、実際の実装では環境変数やSSMパラメータを使用しての指定になるかと思います。

[ts title="lib/aws-cdk-deploy-react-stack.ts" highlight="34,91-105"]@
CDKスタックの更新をデプロイします。
% cdk deploy
修正したWeb ACLをマネージドコンソールから見ると、マネージドルールが指定したPriorityで設定されていることが確認できます。

 動作確認 許可されたIPからアクセスして、全てのルールをパスする場合CloudFrontのURLからアプリケーションにアクセスしてみます。IP Setで指定したアドレスから接続したためアプリにアクセスできています。

 許可していないIPからアクセスして、デフォルトアクションで拒否される場合マネジメントコンソールからIP Setの管理画面にアクセスします。[Global (CloudFront)]の一覧から先ほど作成したIP Setを選択します。

指定済みのIPアドレスを選択して[Delete]をクリックし削除します。

数十秒後にアプリケーションにアクセスすると、アクセスがブロックされていることが確認できます。

WAFのサンプルリクエストのログからも、アクセスがデフォルトアクションによりブロックされていることが確認できます。

 許可されたIPからアクセスして、マネージドルールで拒否される場合マネジメントコンソールからIP Setルールに先ほど削除したアクセス元IPアドレスを[Add IP address]をクリックして再度指定し許可リストに追加します。

CloudFrontのURL + /adminにアクセスしてみます。攻撃者が管理ページへのアクセスを試みているという想定です。すると今度もReactアプリが表示されました。

しかしWeb ACLでのサンプルリクエストの記録を見てみると、マネージドルールグループAWSManagedRulesAdminProtectionRuleSetのうちAdminProtection_URIPATHルールでブロックされていることが分かります。

Web ACLでブロックされているにも関わらずページが表示されたのは、今回使用したReactアプリは既定の設定でパスによらず同じコンテンツを返すようになっているためです。/adminページへのルーティングを定義している場合はブロックにより何も表示されない動作となります。
 おわりにAWS CDKでWAF v2のAWSマネージドルールとIP許可ルールを組み合わせてCloudFrontに適用し、「AWSマネージドルールをパスしている」「接続元IPアドレスがIP許可リストに含まれている」の2つの条件を満たすアクセスのみアプリケーションへの接続を許可するようにしてみました。
IP Setのルールが適用できればマネージドルールを組み合わせなくとも良さそうに思えますが、アクセス元がEC2などのIaaSやZScalerなどのネットワークサービスなどとなる場合は、許可するIPアドレスのレンジを広く取らざるを得ず、同じIPレンジを使用しての攻撃者からのアクセスが無いとも限りません。そのような場合にマネージドルールを組み合わせることにより、より強固なセキュリティを実現できるようになります。
以上