AWS WAF与CloudFront免费防护配置实战指南-开发者社区

1. AWS WAF与CloudFront基础防护配置概述

在云安全防护领域，AWS WAF（Web Application Firewall）与CloudFront的搭配使用已经成为保护Web应用的黄金组合。这套方案特别适合中小型项目在控制成本的同时实现基础安全防护。我最近为一个电商项目配置这套防护体系时发现，即使不花一分钱购买高级规则，也能通过合理配置获得不错的防护效果。

AWS WAF的核心价值在于它提供了细粒度的流量控制能力。与CloudFront集成后，可以在边缘节点直接拦截恶意请求，避免攻击流量到达源服务器。这种前置防护的模式不仅能减轻服务器负载，还能有效隐藏源站信息。实际测试中，合理配置的WAF规则可以阻挡90%以上的自动化扫描和常见攻击尝试。

2. 免费防护能力的深度挖掘

2.1 内置托管规则组的妙用

AWS WAF免费层提供了几个实用的托管规则组，这是很多用户容易忽视的宝藏。其中"Core rule set"和"Known bad inputs"两个规则组特别值得启用。前者能防御SQL注入、XSS等OWASP Top 10威胁，后者则专门针对常见的恶意输入模式。

配置时需要注意：

规则组中的个别规则可能会产生误报，建议先设置为"Count"模式运行24小时
通过CloudWatch指标分析哪些规则触发频繁
对业务关键但频繁误报的规则可以单独禁用

2.2 自定义规则的零成本防护

即使不购买高级规则，通过自定义规则也能构建有效的防护层：

IP速率限制规则：

{ "Name": "RateLimitRule", "Priority": 1, "Action": { "Block": {} }, "Statement": { "RateBasedStatement": { "Limit": 100, "AggregateKeyType": "IP" } }, "VisibilityConfig": { "SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "RateLimitRule" } }

常见攻击路径拦截：

禁止访问/wp-admin.php等常见CMS后台路径
拦截包含../的路径遍历尝试
屏蔽特定User-Agent的扫描器请求

3. 日志配置的实战决策

3.1 是否开启完整日志的权衡

CloudFront配合WAF的日志配置是个需要仔细权衡的选择。完整日志能提供丰富的分析数据，但成本可能快速攀升。我的经验法则是：

生产环境：开启采样日志（如1%请求）
调试阶段：短期开启完整日志
长期运行：结合CloudWatch Logs Insights设置智能过滤

3.2 低成本日志分析方案

对于预算有限的团队，可以采用这套方案：

设置S3生命周期策略，自动归档30天前的日志
使用Athena直接查询S3中的日志文件
关键指标通过CloudWatch Alarm监控

示例Athena查询语句：

SELECT httprequest.uri, COUNT(*) as request_count FROM waf_logs WHERE date >= current_date - interval '7' day AND action = 'BLOCK' GROUP BY httprequest.uri ORDER BY request_count DESC LIMIT 10;

4. 危险HTTP方法的精准管控

4.1 高风险方法识别与拦截

PUT、DELETE、TRACE等方法在RESTful API中可能有合理用途，但对多数Web应用来说确实构成风险。配置时建议：

基础防护：全局拦截OPTIONS、TRACE
条件拦截：对非API路径拦截PUT、DELETE
例外处理：为必要路径设置allowlist

4.2 基于路径的精细控制

以下规则示例展示了如何仅允许特定路径使用DELETE方法：

{ "Name": "RestrictDeleteMethods", "Priority": 10, "Action": { "Block": {} }, "Statement": { "AndStatement": { "Statements": [ { "ByteMatchStatement": { "FieldToMatch": { "Method": {} }, "PositionalConstraint": "EXACTLY", "SearchString": "DELETE", "TextTransformations": [ { "Type": "NONE", "Priority": 0 } ] } }, { "NotStatement": { "Statement": { "ByteMatchStatement": { "FieldToMatch": { "UriPath": {} }, "PositionalConstraint": "STARTS_WITH", "SearchString": "/api/v1/resources/", "TextTransformations": [ { "Type": "NONE", "Priority": 0 } ] } } } } ] } }, "VisibilityConfig": { "SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "RestrictDeleteMethods" } }

5. 实战中的性能优化技巧

5.1 规则优先级的最佳实践

WAF规则按优先级顺序执行，合理的排序能显著提升性能：

将高频触发的规则放在前面（如IP黑名单）
复杂规则放在后面
设置合理的规则上限（建议不超过50条）

5.2 规则组的优化组合

我的常用策略是：

第一层：速率限制+IP信誉
第二层：通用攻击特征检测
第三层：应用特定防护

这种分层设计平均可以降低15%的延迟开销。

6. 异常监控与响应机制

6.1 关键指标的监控配置

以下指标值得设置告警：

BlockedRequests突增
AllowedRequests异常下降
特定规则的匹配频率变化

示例CloudWatch Alarm配置：

aws cloudwatch put-metric-alarm \ --alarm-name "HighBlockRate" \ --metric-name "BlockedRequests" \ --namespace "AWS/WAF" \ --statistic "Sum" \ --period 300 \ --evaluation-periods 1 \ --threshold 100 \ --comparison-operator "GreaterThanThreshold" \ --alarm-actions "arn:aws:sns:us-east-1:123456789012:MyNotificationTopic"

6.2 应急响应流程

当发现攻击时，建议的响应步骤：

通过WAF日志快速定位攻击特征
临时添加紧急规则进行封堵
分析攻击源IP并更新长期黑名单
评估是否需要升级防护方案

这套基础配置方案在我负责的多个项目中表现稳定，成功抵御了包括DDoS、SQL注入、XSS等多种常见攻击。特别是在电商促销期间，合理的速率限制规则有效阻止了恶意抢单行为，而全年产生的WAF费用控制在50美元以内。对于刚接触AWS安全服务的新手，建议先从这套基础配置开始，随着业务增长再逐步引入更高级的防护功能。