WAF AutomatorでAWS WAFのWeb ACLを新規作成してみた
はじめに
クラウド事業統括本部 プロフェッショナルサービス事業本部 コンサルティング2部の山﨑です。
今回、WAF Automatorの検証環境を利用する機会があったため、WAF Automatorのコンソール画面から、AWS WAFのWeb ACLを新規作成してみました。
WAF Automatorを初めて利用する際の操作イメージとして、参考になれば幸いです。
WAF Automatorとは
WAF Automatorは、AWS / Azure / Googleクラウドサービスが提供するWebアプリケーションファイアウォール（WAF）の導入や運用監視を、AI・クラウドテクノロジーを活用して効果的に実現するサービスです。
人間では難しい運用業務をAIで実現することで、24時間365日、サイバー攻撃を監視し、Webアプリケーション・システムをサイバー脅威から守ります。
WAFを導入した後は、単にルールを設定するだけではなく、ログの収集、攻撃イベントの確認、検知内容の分析、脅威IPへの対応、ルールの調整など、継続的な運用が必要になります。
WAF Automatorでは、こうしたWAF運用に関わる作業を支援するため、主に以下のような機能が提供されています。
| No. | 機能 | 概要 |
|---|---|---|
| 1 | WAF導入機能 | WAF運用に必要なログ出力設定やWAFルールの設定を行います。 |
| 2 | ダイナミックレスポンス機能 | AIで攻撃を検知し、リスクが高いと判定した送信元の通信をブロックします。 |
| 3 | 脅威インテリジェンス配信機能 | 攻撃の発生源となっているリスクの高い送信元を収集しブラックリストとして配信します。 |
| 4 | リスクアラート機能 | AIで攻撃を検知し、ダイナミックレスポンス機能が動作するとアラートを送信します。 |
| 5 | 攻撃イベント表示機能 | 攻撃検知したイベントをリアルタイムにポータルに出力します。 |
| 6 | 攻撃分析レポート | 検知した攻撃情報を日次・月次レポートとして表示します。 |
| 7 | マルチテナント機能 | 各テナントでWAFやユーザー管理を個別に可能、複数のテナントを一元管理できます。 |
| 8 | マルチユーザーアクセス機能 | 各テナントで複数のユーザーが登録でき、権限管理や監査ログ機能を提供します。 |
| 9 | ユーザー・ロール管理機能 | 管理者・読み取り専用権限をユーザー単位で付与することができます。 |
| 10 | セキュア認証 | コンソールへのアクセスでワンタイム・パスワードやIPによる制限認証をサポートします。 |
| 11 | 多言語対応 | 日本語・英語のポータル表示をサポートします。 |
| 12 | 監査ログ機能 | 各ユーザーが操作した内容と時間を監査ログとして出力します。 |
今回やりたいこと
今回は、WAF Automatorのコンソールから、AWS WAFのWeb ACLを新規作成します。
作成時には、以下の項目を設定します。
| 項目 | 内容 |
|---|---|
| 作成方法 | 新規WebACLを作成 |
| Web ACL名 | test-waf-automator-devio |
| STSロール（ARN） | CloudFormationで作成したIAMロールのARN |
| タイプ | Regional |
| リージョン | ap-northeast-1（Tokyo） |
やってみる
手順1：WAF Automatorにログイン
まず、WAF Automatorのポータルにログインします。
ダッシュボード画面が開き、テナント一覧が表示されるので、Web ACLを作成したいテナントを選択します。
手順2：Web ACLの登録画面を開く
選択したテナントにWebACLが登録されていない場合は、以下の画面が表示されるため、「WebACLを登録」をクリックします。
すでにWeb ACLが登録されている場合は、ダッシュボード画面が開きます。
左側のメニューから「WebACL」をクリックし、画面右上の「WebACLを登録」をクリックします。
手順3：IAMロールを作成
すでにWAF Automator用のIAMロールを作成している場合は、本手順をスキップし、手順4へ進んでください。
Web ACLの登録画面が表示されます。
AWS環境にWAF Automator用のIAMロールが未作成の場合は、「CloudFormationで作成する」をクリックします。
CloudFormationスタックを作成するため、操作するIAMユーザーまたはIAMロールには、CloudFormationおよびIAMリソースを作成できる権限が必要です。
AWSマネジメントコンソールのCloudFormation画面へ移動するので、
「AWS CloudFormation によって IAM リソースがカスタム名で作成される場合があることを承認します。」にチェックを入れて、「スタックの作成」をクリックします。
「CyberNEO-Access-Role」という名前のIAMロールが作成されるので、ロールのARNをコピーします。
手順4：WebACL情報の入力
WAF Automatorのポータルに戻り、手順3で作成したIAMロールのARNを、「STSロール（ARN）」に貼り付けます。
必要事項を入力し、「WebACLを登録」をクリックします。
手順5：作成したWeb ACLを確認する
Web ACL一覧に作成したWeb ACLが表示され、WAFステータスが「アクティブ」になっていることを確認します。
続いて、AWSマネジメントコンソールで「AWS WAF & Shield」を開きます。
Web ACL一覧に作成したWeb ACLが表示されていることを確認できれば、Web ACLの新規作成は完了です。
まとめ
今回は、WAF AutomatorのAWS向けコンソールから、AWS WAFのWeb ACLを新規作成してみました。
実施した内容は以下のとおりです。
- WAF Automatorにログイン
- Web ACLを作成するテナントを選択
- Web ACLの登録画面を開く
- CloudFormationを利用してWAF Automator用のIAMロールを作成
- IAMロールのARN、Web ACL名、タイプ、リージョンを設定
- Web ACLを新規作成
- WAF AutomatorのWeb ACL一覧で、作成済みかつステータスがアクティブであることを確認
- AWSマネジメントコンソールでも、Web ACLが作成されていることを確認
WAF Automatorを利用してAWS WAFのWeb ACLを作成する際の操作イメージとして、参考になれば幸いです。
