AWS WAFでWebアプリケーションを守るセキュリティ設計入門｜マネージドルール・レート制限・地域制限の構成パターン

この記事のポイント

・AWS WAFはSGと異なりHTTPリクエストの中身（L7）を検査してブロック判定できる
・WebACLにマネージドルールを追加するだけでSQLi・XSS・Bot攻撃を即座にブロック可能
・レートベースルールで同一IPからの過剰アクセスを5分単位で自動遮断できる
・まずカウントモードで誤検知を確認し、段階的にBLOCKへ移行するのが安全な設計手順

# WAFv2 WebACLをALB向けに作成（DefaultAction=ALLOW）
aws wafv2 create-web-acl \
  --name "webapp-prod-waf" \
  --scope REGIONAL \
  --region ap-northeast-1 \
  --default-action Allow={} \
  --visibility-config \
    SampledRequestsEnabled=true,\
    CloudWatchMetricsEnabled=true,\
    MetricName=webapp-prod-waf \
  --rules '[]'

# 出力例（WebACL ID と ARN を控えておく）
# {
#   "Summary": {
#     "Name": "webapp-prod-waf",
#     "Id": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
#     "ARN": "arn:aws:wafv2:ap-northeast-1:123456789012:regional/webacl/webapp-prod-waf/a1b2c3d4-...",
#     "LockToken": "xxxx-lock-token-yyyy"
#   }
# }

# 最新のLockTokenを取得
WEBACL_ID="a1b2c3d4-e5f6-7890-abcd-ef1234567890"

LOCK_TOKEN=$(aws wafv2 get-web-acl \
  --name "webapp-prod-waf" \
  --scope REGIONAL \
  --region ap-northeast-1 \
  --id "${WEBACL_ID}" \
  --query 'LockToken' \
  --output text)

echo "LockToken: ${LOCK_TOKEN}"
# LockToken: 1234abcd-lock-token-xxxx

# AWSManagedRulesCommonRuleSetを追加（Priority 0）
aws wafv2 update-web-acl \
  --name "webapp-prod-waf" \
  --scope REGIONAL \
  --region ap-northeast-1 \
  --id "${WEBACL_ID}" \
  --default-action Allow={} \
  --lock-token "${LOCK_TOKEN}" \
  --visibility-config \
    SampledRequestsEnabled=true,\
    CloudWatchMetricsEnabled=true,\
    MetricName=webapp-prod-waf \
  --rules '[
    {
      "Name": "AWSManagedRulesCommonRuleSet",
      "Priority": 0,
      "OverrideAction": {"None": {}},
      "Statement": {
        "ManagedRuleGroupStatement": {
          "VendorName": "AWS",
          "Name": "AWSManagedRulesCommonRuleSet"
        }
      },
      "VisibilityConfig": {
        "SampledRequestsEnabled": true,
        "CloudWatchMetricsEnabled": true,
        "MetricName": "AWSManagedRulesCommonRuleSet"
      }
    }
  ]'

# AWS提供のマネージドルールグループ一覧を確認
aws wafv2 list-available-managed-rule-groups \
  --scope REGIONAL \
  --region ap-northeast-1 \
  --query 'ManagedRuleGroups[?VendorName==`AWS`].[Name,Description]' \
  --output table

# 出力例（主要なグループを抜粋）
# -----------------------------------------------------------------------
# | AWSManagedRulesCommonRuleSet        | Core rule set (CRS)          |
# | AWSManagedRulesSQLiRuleSet          | SQL injection attacks         |
# | AWSManagedRulesKnownBadInputsRuleSet| Known bad inputs             |
# | AWSManagedRulesBotControlRuleSet    | Bot traffic detection        |
# | AWSManagedRulesAmazonIpReputationList | IP reputation list         |
# -----------------------------------------------------------------------

# LockTokenを再取得してから update-web-acl でレートルールを追加
LOCK_TOKEN=$(aws wafv2 get-web-acl \
  --name "webapp-prod-waf" --scope REGIONAL \
  --region ap-northeast-1 --id "${WEBACL_ID}" \
  --query 'LockToken' --output text)

# 既存ルール（CommonRuleSet）に加えてレートベースルールを追加（Priority 2）
aws wafv2 update-web-acl \
  --name "webapp-prod-waf" \
  --scope REGIONAL \
  --region ap-northeast-1 \
  --id "${WEBACL_ID}" \
  --default-action Allow={} \
  --lock-token "${LOCK_TOKEN}" \
  --visibility-config SampledRequestsEnabled=true,CloudWatchMetricsEnabled=true,MetricName=webapp-prod-waf \
  --rules '[
    {
      "Name": "AWSManagedRulesCommonRuleSet",
      "Priority": 0,
      "OverrideAction": {"None": {}},
      "Statement": {"ManagedRuleGroupStatement": {"VendorName": "AWS", "Name": "AWSManagedRulesCommonRuleSet"}},
      "VisibilityConfig": {"SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "CommonRuleSet"}
    },
    {
      "Name": "RateLimitRule",
      "Priority": 2,
      "Action": {"Block": {}},
      "Statement": {
        "RateBasedStatement": {
          "Limit": 1000,
          "AggregateKeyType": "IP"
        }
      },
      "VisibilityConfig": {"SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "RateLimitRule"}
    }
  ]'

# カウントモードにする場合: OverrideAction を Count に変更
# "OverrideAction": {"Count": {}}

# CloudWatchでカウント数を確認（直近1時間分）
aws cloudwatch get-metric-statistics \
  --namespace AWS/WAFV2 \
  --metric-name CountedRequests \
  --dimensions Name=WebACL,Value=webapp-prod-waf \
               Name=Region,Value=ap-northeast-1 \
               Name=Rule,Value=AWSManagedRulesCommonRuleSet \
  --start-time $(date -u -d "1 hour ago" +%Y-%m-%dT%H:%M:%S) \
  --end-time $(date -u +%Y-%m-%dT%H:%M:%S) \
  --period 300 \
  --statistics Sum \
  --output table

# 出力例（5分ウィンドウ別のカウント数）
# -----------------------------------------------
# |  Timestamp              |  Sum              |
# +-------------------------+-------------------+
# |  2026-07-09T02:00:00Z  |  12.0             |
# |  2026-07-09T02:05:00Z  |   3.0             |
# |  2026-07-09T02:10:00Z  |   0.0             |
# -----------------------------------------------

# Geo-matchルール（JP以外をブロック）の定義例
# ルール配列に以下を追加（Priority 3）
{
  "Name": "GeoBlockNonJP",
  "Priority": 3,
  "Action": {"Block": {}},
  "Statement": {
    "NotStatement": {
      "Statement": {
        "GeoMatchStatement": {
          "CountryCodes": ["JP"]
        }
      }
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "GeoBlockNonJP"
  }
}

# 設定後、直近24時間でブロックされたリクエスト数を確認
aws cloudwatch get-metric-statistics \
  --namespace AWS/WAFV2 \
  --metric-name BlockedRequests \
  --dimensions Name=WebACL,Value=webapp-prod-waf \
               Name=Region,Value=ap-northeast-1 \
               Name=Rule,Value=GeoBlockNonJP \
  --start-time $(date -u -d "24 hours ago" +%Y-%m-%dT%H:%M:%S) \
  --end-time $(date -u +%Y-%m-%dT%H:%M:%S) \
  --period 3600 \
  --statistics Sum \
  --output table

# ALBのARNを取得
ALB_ARN=$(aws elbv2 describe-load-balancers \
  --names "webapp-prod-alb" \
  --query 'LoadBalancers[0].LoadBalancerArn' \
  --output text)

echo "ALB ARN: ${ALB_ARN}"
# ALB ARN: arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:loadbalancer/app/webapp-prod-alb/abcdef1234567890

# WebACLをALBに関連付け
WEBACL_ARN="arn:aws:wafv2:ap-northeast-1:123456789012:regional/webacl/webapp-prod-waf/a1b2c3d4-e5f6-7890-abcd-ef1234567890"

aws wafv2 associate-web-acl \
  --web-acl-arn "${WEBACL_ARN}" \
  --resource-arn "${ALB_ARN}" \
  --region ap-northeast-1

# 関連付けを確認
aws wafv2 get-web-acl-for-resource \
  --resource-arn "${ALB_ARN}" \
  --region ap-northeast-1 \
  --query 'WebACL.Name' \
  --output text

# 出力例（関連付け成功）
# webapp-prod-waf

# Kinesis Firehose 経由でS3ログ出力を有効化
# ※Firehoseの配信ストリーム名は必ず "aws-waf-logs-" プレフィックスで始める（WAFの要件）
FIREHOSE_ARN="arn:aws:firehose:ap-northeast-1:123456789012:deliverystream/aws-waf-logs-webapp-prod"

aws wafv2 put-logging-configuration \
  --logging-configuration \
    "ResourceArn=${WEBACL_ARN},LogDestinationConfigs=[${FIREHOSE_ARN}]" \
  --region ap-northeast-1

# ログ設定確認
aws wafv2 get-logging-configuration \
  --resource-arn "${WEBACL_ARN}" \
  --region ap-northeast-1 \
  --query 'LoggingConfiguration.{WebACL:ResourceArn,LogDest:LogDestinationConfigs}'

# 出力例
# {
#   "WebACL": "arn:aws:wafv2:ap-northeast-1:123456789012:regional/webacl/webapp-prod-waf/...",
#   "LogDest": ["arn:aws:firehose:ap-northeast-1:123456789012:deliverystream/aws-waf-logs-webapp-prod"]
# }

# ブロックされたリクエストのサンプルを確認（直近1時間分）
aws wafv2 get-sampled-requests \
  --web-acl-arn "${WEBACL_ARN}" \
  --rule-metric-name "AWSManagedRulesCommonRuleSet" \
  --scope REGIONAL \
  --region ap-northeast-1 \
  --time-window StartTime=$(date -u -d "1 hour ago" +%Y-%m-%dT%H:%M:%S),EndTime=$(date -u +%Y-%m-%dT%H:%M:%S) \
  --max-items 10 \
  --query 'SampledRequests[*].{URI:Request.URI,IP:Request.ClientIP,Rule:RuleNameWithinRuleGroup}' \
  --output table

# 出力例（実際のリクエストURIとクライアントIPが表示される）
# -------------------------------------------------------
# | IP            | Rule                   | URI        |
# +---------------+------------------------+------------+
# | 203.0.113.45  | SizeRestrictions_BODY  | /api/upload|
# | 198.51.100.12 | CrossSiteScripting_BODY| /comment   |
# -------------------------------------------------------