一、背景

CloudFront使用的一般场景是发布ALB上的应用，而ALB又是发布一组EC2应用。CloudFront也支持直接发布EC2不使用ALB。当然这是不推荐的，因为ALB会提供了更好的多机流量调度，通过目标组实现健康检查，确保要发布的应用正常对外提供服务，并具备水平扩展能力。

此前，如果希望对ALB和EC2做限制，使其只允许来自CloudFront回源流量，并且不再接受其他互联网访问，那么这个需求常见的解决方案是：

Continue reading “使用CloudFront发布EC2上的应用并使用Managed prefix功能限制EC2只接受CloudFront回源流量”

一、背景

在CloudFront的控制台上，提供了一个TOP Refer的报表，这个报表用于显示本站的用户来源是来自哪个原始网站。这个机制是如何工作的呢？

假设如下的场景：

• 主网站名为 https://www.abc.com/index.html
• 图片的域名为 https://image.abc.com/image01.png

当客户端浏览器打开主网站时候，浏览器会向图片域名image.abc.com服务器的发送一个图片访问请求，并包含一个特殊的HTTP Header名为Referer。Referer Header的内容就是之前所在页面的域名，即www.abc.com。因此，图片服务器只需要检查Referer域名，即可获知引用此图片的原始网址。Referer Header可以被WEB应用服务器获取，并在应用层代码做判断。更高效的办法，是从客户访问前端的CloudFront和WAF上进行干预，来判断是否是合法的引用。

需要注意的是：检查Referer并不能完全阻断所谓的“盗链”和非法链接，因为攻击者可以简单去构造Referer Header来模拟一个正常请求。所以实施Referer检查的意义是可以避免图片等素材被其他网址的浏览器简单引用，可减少由此产生的外部流量等问题。如果需要100%的阻止外部访问且必须所有资源都经过身份验证，请参考CloudFront Signature签名功能。

下边介绍如何通过WAF检查Referer Header。

Continue reading “使用WAF检查Referer Header对外部引用进行干预”

请参考AWS Managed Rules changelog 更新日志：

https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-changelog.html

Known bad inputs managed rule group 规则组说明：

https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-baseline.html#aws-managed-rule-groups-baseline-known-bad-inputs

一、背景

2021年的re-Invent大会发布了AWS WAF验证码功能即Captcha。Captcha是Completely Automated Public Turing test to tell Computers and Humans Apart（全自动区分计算机和人类的图灵测试）的首字母缩写，通常用于区分机器人和人类访客，以防止 Web 抓取、凭证填充和垃圾邮件等恶意活动。

Continue reading “使用AWS WAF进行Captcha人机验证”

一、背景

2021年12月爆出的高危漏洞 CVE-2021-44228 和CVE-2021-45045漏洞，彻底的防护措施是升级Log4J版本到官方指定版本，临时措施是通过WAF进行一定程度的防护。建议升级到Log4J 2.17版本才可以满足安全要求。

使用WAF防护的前提：

• 中国区域和海外区域，已经使用EC2、ECS容器服务、EKS容器服务，且使用ALB作为发布点，此场景可使用WAF防护
• 海外区域，没有使用ALB发布但是使用Cloudfront CDN加速，则可使用基于Cloudfront的WAF防护
• 中国区域和海外区域的WAF都不支持直接对一个EC2的80、443、8080端口进行防护
• 不支持NLB网络负载均衡器，NLB后可嵌套接入ALB（此为2021年新发布新特性）

如果您已经配置过WAF并启用了，请参考这里的changelog确认后续更新。如果还没有启用WAF，请参考如下Step-by-step配置说明如下。

Continue reading “在AWS中国区域启用WAF防护Log4J漏洞”