AWS WAF

AWS WAF は、Web アプリケーションに届く HTTP/HTTPS リクエストをルールに基づいて検査し、不正なトラフィックを許可・ブロック・カウントするマネージド型の Web アプリケーションファイアウォールです。アプリケーション層（レイヤー 7）での防御を担い、ネットワーク層やトランスポート層を主対象とする AWS Shield や Security Group とは保護のレイヤーが異なります。

解決する課題

公開された Web アプリケーションは、SQL インジェクションやクロスサイトスクリプティング（XSS）といった既知の攻撃手法、悪意あるボットによるスクレイピングや在庫買い占め、不正ログイン試行、急増する自動化リクエストなど、多様な脅威にさらされます。これらをアプリケーション側のコードだけで網羅的に防ぐのは負担が大きく、対応漏れも生じやすくなります。

AWS WAF は、こうした不正リクエストをアプリケーションの手前で検査・遮断する層を提供します。マネージドルールを使えば代表的な脆弱性パターンへ即座に備えられ、独自ルールやレート制限を加えることでアプリケーション固有の要件にも対応できます。結果として、アプリケーション本体の改修を最小限に抑えつつ、防御層を独立して運用・更新できます。

主要概念と用語

• Web ACL（Web Access Control List）: リクエストを評価するルールの集合体。CloudFront ディストリビューションや ALB などのリソースに関連付けて適用する。
• ルール: リクエストの検査条件と、一致したときの動作を定めた単位。複数のステートメントを AND や OR、NOT で組み合わせられる。
• ルールグループ: 複数のルールをまとめて再利用可能にした単位。AWS マネージドルールグループとユーザー定義のルールグループがある。
• アクション: ルールに一致したリクエストへの処理。Allow（許可）、Block（ブロック）、Count（カウントのみ）、CAPTCHA、Challenge などがある。
• マネージドルール: AWS や AWS Marketplace のセラーが提供・維持するルールグループ。一般的な脆弱性や既知の不正パターンに対応する。
• レートベースルール: 一定時間内に同一送信元から届くリクエスト数を数え、しきい値を超えた送信元を制限するルール。
• スコープダウンステートメント: マネージドルールなどの適用対象を、特定の条件に合致するリクエストへ絞り込むための条件。
• ロギングとサンプリング: Web ACL が処理したリクエストのログ出力と、コンソールで確認できるサンプルリクエストの仕組み。

仕様・制限・クォータ

WAF は Web ACL を 1 つ以上のリソースに関連付けて動作します。関連付け可能なリソースには CloudFront、Application Load Balancer、API Gateway（REST API）、AppSync GraphQL API、App Runner、Cognito ユーザープール、Verified Access などがあります。CloudFront に関連付ける Web ACL はグローバルスコープ（CLOUDFRONT）で作成し、それ以外のリージョナルリソースは各リソースと同じリージョンのリージョナルスコープで作成します。

ルールの評価には WCU（Web ACL Capacity Unit）という指標があり、ルールの複雑さに応じて消費量が決まります。1 つの Web ACL に組み込めるルールの総 WCU には上限があり、複雑なルールほど消費が大きくなります。検査できるリクエストボディのサイズや、1 アカウントあたりの Web ACL 数・ルール数などにも上限が設けられています。これらの具体的な数値は変動するため、最新値は AWS 公式ドキュメントのクォータ一覧で確認してください。多くのクォータは Service Quotas から引き上げ申請が可能です。

内部の仕組み

Web ACL がリソースに関連付けられると、そのリソースに届く各リクエストは Web ACL 内のルールによって順に評価されます。ルールには優先順位があり、番号の小さいものから順に処理されます。あるルールがリクエストに一致して終端アクション（Allow または Block）を返すと、その時点で評価が終了し、後続ルールは評価されません。Count アクションのルールは一致してもカウントするだけで評価を止めないため、本番適用前のルール検証に活用できます。

すべてのルールに一致しなかったリクエストには、Web ACL に設定したデフォルトアクション（Allow または Block）が適用されます。CAPTCHA や Challenge のアクションは、リクエスト送信元が人間あるいは正規のブラウザかどうかを確認する仕組みで、確認に成功すると後続の処理へ進み、失敗すると遮断されます。

リクエストの検査では、ヘッダー、クエリ文字列、URI パス、ボディ、Cookie、IP アドレスなどの要素を対象に、文字列一致、正規表現、IP セットとの照合、地理的位置、サイズ条件といった多様な検査が可能です。検査前にテキスト変換（小文字化や URL デコードなど）を適用し、回避を狙った難読化に対応できます。

設計パターン / ベストプラクティス

基盤として AWS マネージドルールのコアルールセットや既知の不正入力対策ルールを採用し、その上にアプリケーション固有の独自ルールを重ねる多層構成が定石です。新しいルールは最初に Count アクションで導入し、ログとメトリクスで誤検知（正規リクエストの遮断）が起きないことを確認してから Block へ切り替えると、安全に展開できます。

マネージドルールはスコープダウンステートメントで適用範囲を絞り込み、不要な検査を避けて WCU 消費とコストを抑えます。レートベースルールを併用すれば、短時間に大量のリクエストを送る送信元を自動的に制限できます。複数の Web ACL に共通するルール構成は、AWS Firewall Manager を使えば組織全体で一元的に展開・統制できます。設定はコンソールではなく IaC（CloudFormation や Terraform など）で管理し、変更履歴と再現性を確保することが望ましいです。

運用・監視

WAF は CloudWatch にルールごとの許可数・ブロック数・カウント数などのメトリクスを送信します。これらを監視し、急なブロック増加や想定外のパターンを CloudWatch アラームで検知できます。詳細なリクエストログは、Amazon CloudWatch Logs、Amazon S3、Amazon Data Firehose のいずれかへ出力でき、フィールドの編集や条件によるフィルタリングも設定できます。

出力したログは Amazon Athena でクエリして攻撃傾向を分析したり、SIEM へ連携して相関分析に用いたりできます。コンソールでは直近に評価されたサンプルリクエストを確認でき、どのルールがどのリクエストに一致したかを素早く把握できます。運用では、マネージドルールの更新内容を定期的に確認し、誤検知や新たな脅威への対応状況を継続的に見直すことが重要です。

コスト

AWS WAF の料金は主に、作成した Web ACL の数、設定したルールの数、そして処理したリクエスト数に基づく従量課金で構成されます。AWS マネージドルールグループの一部や、ボット対策・不正防止などの高度な機能には、追加の料金が発生する場合があります。

コストを抑えるには、不要なルールや使われていない Web ACL を整理し、スコープダウンステートメントで検査対象を必要な範囲に絞ることが有効です。料金体系や単価は変動するため、見積もりの際は AWS の料金ページと料金計算ツールで最新の情報を確認してください。

セキュリティ

WAF はアプリケーション層の防御を担いますが、単独で全脅威を防げるわけではありません。DDoS 対策の AWS Shield、ネットワーク層のフィルタリングを担う Security Group やネットワーク ACL、転送経路の暗号化を担う TLS 終端などと組み合わせ、多層防御を構成することが前提です。WAF 自体の設定変更は IAM で権限を最小化し、誰が何を変更したかを CloudTrail で追跡できるようにします。

ルールの構成情報や IP セットなどの管理操作は IAM ポリシーで細かく制御できます。ログには機微な情報が含まれる場合があるため、ログ出力時のフィールド編集機能で不要な項目を除外し、保存先の S3 バケットや CloudWatch Logs のアクセス権限を適切に保護してください。

Well-Architected の観点

試験で問われるポイント

関連サービス・比較

WAF はアプリケーション層の防御を担い、AWS Shield は DDoS 攻撃に対する防御を担います。両者は競合ではなく補完関係にあり、組み合わせて多層防御を構成するのが一般的です。

ハンズオン / CLI例

リージョナルスコープで Web ACL を作成し、ALB に関連付ける流れの例です。実際のリソース ARN やルール定義は環境に合わせて置き換えてください。

# リージョナルスコープで Web ACL を作成（ルール定義は rules.json から読み込む）
aws wafv2 create-web-acl \
  --name my-web-acl \
  --scope REGIONAL \
  --region ap-northeast-1 \
  --default-action Allow={} \
  --visibility-config SampledRequestsEnabled=true,CloudWatchMetricsEnabled=true,MetricName=myWebAclMetric \
  --rules file://rules.json

# 作成済み Web ACL を ALB に関連付け（リソース ARN は対象に合わせて指定）
aws wafv2 associate-web-acl \
  --web-acl-arn arn:aws:wafv2:ap-northeast-1:123456789012:regional/webacl/my-web-acl/EXAMPLE-ID \
  --resource-arn arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:loadbalancer/app/my-alb/EXAMPLE \
  --region ap-northeast-1