F5 Advanced WAFをAWS上で使ってみた

AWS Marketplaceで公開されている「F5 Advanced WAF」をサブスクライブしてAWS上に構築してみました。

#AWS

#F5

#セキュリティ

もこ

2020.01.31

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

もこ@札幌オフィスです。

AWS Marketplaceで公開されている「F5 Advanced WAF」をサブスクライブしてAWS上に構築してみました。

今回の構成図はこんな感じです。

Public SubnetにF5 Advanced WAFを起動し、Private Subnetに起動してるNginxをターゲットとして設定します。

※Webサーバーの構築、起動は省略させて頂きます。

検証で利用したAMIは下記となります。(30日の無料トライアルがあります)

F5 Advanced WAF (PAYG, 25Mbps)

Advanced WAFの構築手順自体はあまりBIG-IPと変わっているところはありませんでした。

そもそもF5 Advanced WAFって？

BIG-IPにWAFを追加して、よりセキュアな環境を構築できるWAFソリューションで、

一般的なWAFとしての機能はもちろん、L7 DDos、不正なBot、ブルートフォース対策等の幅広い分野で利用出来るWAFです。

F5 Advanced WAFレイヤー７・ボット攻撃を対策する　WAFソリューション

やってみる

早速やっていきましょう。まずはじめに、AWS Marketplaceでサブスクライブしていきます。

AWSのコンソールから「AWS Marketplace Subscriptions」を開き、

「F5 Advanced WAAF」の「新規インスタンスを起動」をクリックして、EC2を起動していきます。

インスタンスタイプは、メモリを多めに取る必要があるため、「t2.large」を選択し、プライマリ IPを「10.0.0.200」にしておきます。

続いてSecurity Groupの設定となります。　8443が管理画面となるため、IP制限をします。

6分ほどでインスタンスにSSHが出来るようになりますので、パスワードの変更をしてきます。

ユーザーは admin で接続し、パスワードを変更して保存してquitします。

$ ssh admin@xx.xxx.xxx.xx -i ~/.ssh/key.pem 
admin@(ip-10-0-0-200)(cfg-sync Standalone)(ModuleNotLicensed::Active)(/Common)(tmos)# modify auth password admin
changing password for admin
new password: 
confirm password: 
admin@(ip-10-0-0-200)(cfg-sync Standalone)(ModuleNotLicensed::Active)(/Common)(tmos)# save sys config
Saving running configuration...
  /config/bigip.conf
  /config/bigip_base.conf
  /config/bigip_user.conf
Saving Ethernet map ...done
Saving PCI map ...
 - verifying checksum .../var/run/f5pcimap: OK
done
 - saving ...done
admin@(ip-10-0-0-200)(cfg-sync Standalone)(ModuleNotLicensed::Active)(/Common)(tmos)# quit

F5 Advanced WAFの設定

https://パブリックIPアドレス:8433/ でアクセスすると、管理画面にアクセスすることが出来ます。

先程SSHして変更したパスワードでログインすることが出来ます。

ポータル画面にログインすることが出来たら、早速Application Securityを有効化していきます。

System > Resource Provisioning から「Application Security(ASM)」をNormalに変更し、Submitをクリックします。

暫く(2-3分)すると左側の一覧にSecurityが現れ、Security機能が使えるようになります。

PoolとVirtual Serverを追加する

続きましてPoolを作っていきます。

Local Traffic > Pools > Pool List を開き、新規作成で裏側のWebサーバーのPrivate IP、ポート、を指定します。

今回はNginxを起動しているEC2のプライベートIPを登録した上で、「Health　Monitors」をhttpに設定しました。

作成したPoolのMembersを開き、先程追加したサーバーのヘルスチェックが通っているかを確認します。

続きまして、 Local Traffic > Virtual Servers から、新規Virtual Serverを作っていきます。

保存した後、F5 Advanced WAFのPublicIPに指定したポートにアクセスすると、Private Subnetにあるウェブサーバーのページが表示されることを確認出来ます！

Advanced WAFで攻撃をブロックしてみる

設定が完了したので、早速Advanced WAFを使って攻撃を遮断してみます。

ポリシーを作成

Security > Application Security > Security Policies > Policies List から新規Security Policyを作成します。

こんな感じに設定して、ポリシーを作成します。

Security > Overview からVirtual Serverに作成したポリシーがアタッチされていることを確認します。

「明らかに攻撃」って感じのリクエストを投げて正常にWAFが機能しているのかを確認してみます。

正常に動作してブロックされると「The requested URL was rejected. Please consult with your administrator.」と表示されるはずです！

Application Security > Attack Signatures から攻撃シグネチャの確認、追加、除外をしたり、 Options > Application Security > Attack Signatures > Attack Signature List からルールを自作することも出来ます。