안녕하세요 클래스메소드의 수재입니다.
최근에 WAF의 신 기능으로 추가된 원클릭 통합 및 Captcha 개선에 대해 간략히 알아보겠습니다.
WAF 원클릭 통합
Application Load Balancer (ALB) now supports console integration with AWS WAF that allows you to secure your applications behind ALB with a single click. - 공식 아나운스
2월 6일에 아나운스 된 기능으로 ALB를 생성할 때 아래 이미지와 같이 AWS WAF를 바로 연결하도록 설정할 수 있습니다.
이를 통해 ALB를 작성한 후 AWS WAF 콘솔에서 연결을 설정할 필요가 없어졌습니다.
WAF의 Web ACL은 AWS에서 제공하는 기본 Web ACL을 바로 적용할 수도 있고 기존에 작성했던 Web ACL을 지정할 수도 있습니다. 만약 기존에 다른 ALB에서 WAF의 Web ACL을 적용중이고 똑같은 Web ACL을 적용해야하는 새로운 ALB를 만들어야 한다면 보다 간단하게 연결 작업을 할 수 있겠네요.
AWS 기본 Web ACL을 적용한다면 AWS WAF 콘솔에서 아래와 같이 새로운 Web ACL이 생성된 것을 확인할 수 있습니다.
추가적인 설정이 필요하다면 해당 Web ACL을 이용하면 되겠습니다.
보충 설명
만약 AWS WAF를 처음 사용하고 관련 지식이 없으시다면 AWS에서 제공하는 Web ACL을 선택하고 개수(COUNT)모드로 적용해보는 것을 추천합니다.
적용된 후에 서비스의 통신이 카운트되는 것 없이 정상적으로 통과한다면 차단(BLOCK)모드로 변경하는 것이 좋습니다.
만약 서비스의 통신이 카운트되었다면 어떤 룰에 필터링되었는지를 확인하고 문제가 없다면 예외 처리를 합니다.
AWS에서 기본으로 제공하고 있는 Web ACL 이외에도 AWS의 마켓플레이스에서 다른 기업이 판매하고 있는 Web ACL을 구매하여 적용하는 것도 가능합니다.
Captcha 개선
AWS WAF Captcha adds support for audio Captcha in 8 additional languages, a new Captcha type that improves usability, and revocable API keys. - 공식 아나운스
기존의 Captcha에서 오디오 형식으로 제공되는 보안문자가 스페인어, 독일어, 프랑스어, 포르투갈어, 이탈리아어, 터키어, 네덜란드어, 아랍어 등 8개 언어를 추가로 지원하게 되었습니다.
또한 Grid captcha라는 퍼즐도 도입하였습니다.
그리고 지금까지는 API키가 발행되고 문제가 있어도 다른 API키를 사용하거나 만료를 기다려야 했지만 API 키가 만료되기 전에 즉시 비활성화하거나 순환시킬 수 있습니다.
이를 통해 키가 유출되어도 대응이 가능하기 때문에 보안을 강화할 수 있습니다.
Captcha의 설정은 내 소유의 룰이나 룰 그룹을 추가할 때 설정할 수 있습니다.
Captcha에 대한 모범 사례는 다음을 확인해주세요.
마무리
이외에 WAF를 처음 사용하신다면 아래 글들도 도움이 될 것이라 생각합니다.
- What are AWS WAF, AWS Shield, and AWS Firewall Manager?(AWS 공식문서)
- [발표자료]WAF란 뭔가요?
- WAF 기초 워크숍을 해보았습니다.(Introduction to WAF)
- AWS WAF 정리 그리고 페일 오픈에 대해
긴 글 읽어주셔서 감사합니다.
오탈자 및 내용 피드백은 must01940 지메일로 보내주시면 감사합니다.
4
