AWS WAFがあれば安心!? 甘い! 甘すぎる!!「第2回ごーとんカップ」開催 - 次のカミナシセキュリティチャンピオンは誰だ!? - カミナシ エンジニアブログ

2024/11/28 56 users カミナシ カップ エンジニ エンジニアブログ 安心

初めまして！10 月にカミナシへ入社した いちび(@itiB_S144) です。セキュリティエンジニアリングユニットに所属しつつ、8 月にリリースしたばかりの カミナシ従業員 の開発に携わっています。 先日社内エンジニア向けのセキュリティ競技会「第 2 回ごーとんカップ」を開催しました。ごーとんカップとは、社内のエンジニ... 続きを読む

AWS WAF を COUNT モードで動かしたはいいが、その後どうすればいいんだっけ？ - カミナシ エンジニアブログ

2024/10/01 86 users カミナシ WAF エンジニアブログ 西川 ポケモン

どうも Security Engineering の西川です。好きなポケモンはクワッスです。カミナシ社内に遂にポケモンカード部ができまして、部員同士切磋琢磨し始めています。いつか企業対抗ポケモンカード大会をするのが夢です。 さてさて、皆さんは AWS WAF（Web Application Firewall、以下 WAF）を使っていますか？サービスに WAF... 続きを読む

“脆弱性を突くような攻撃を防ぐ”だけではない「WAF」　「AWS WAF」の運用で現場が抱える課題

2024/04/19 14 users WAF 清野 AWS フォーカス トピック

WAFで困るのは「直して」と言えないこと 清野隼史氏（以下、清野）：ここからはもうちょっと現場レベルまで踏み込んでいきます。その中でも特にWAFのところにフォーカスをしてエピソードを聞きたいなと思います。このトピックでは、AWSの運用で現場が抱えている課題みたいなところを聞きたいなと思っています。こちらも... 続きを読む

CDN とセキュリティエクスペリエンスを統合した CloudFront セキュリティダッシュボードのご紹介 | Amazon Web Services

2023/12/12 7 users セキ CDN API 脅威 高度化

Amazon Web Services ブログ CDN とセキュリティエクスペリエンスを統合した CloudFront セキュリティダッシュボードのご紹介 セキュリティの脅威がより高度化し、その脅威が広がりやすくなるにつれ、お客様はより Amazon CloudFront と AWS WAF を使用して、Web アプリケーションと API のパフォーマンス、回復性、セキ... 続きを読む

AWS WAF について最初から知りたかったこと8選 - ISID テックブログ

2023/10/23 242 users ISID テックブログ 最初 セキュリティグループ WAF

こんにちは。X（クロス）イノベーション本部 ソフトウェアデザインセンター セキュリティグループの耿です。 AWS WAF は簡単に Web アプリに WAF を追加でき、かつ値段も他の WAF 製品より安いため、好きな AWS サービスの一つです。そんな AWS WAF ですがしばらく構築・運用し、これを最初から知っておけば・・・と思っ... 続きを読む

Lambda関数URLでAWS WAFは使えないの？と疑問に思ったので考えてみた

2023/03/29 10 users リスク 疑問 便利機能 使い方

Lambda関数URLでAWS WAFは使えないの？と疑問に思ったので考えてみた Lambda関数URLという便利機能が公開されましたが、 Lamdba関数URLって使う上でのリスクないの？ Lambda関数URLを安全に使うには？ など、リスクや安全な使い方に関する疑問が浮かんできましたが、関連する記事を見つけられなかったので、考えてみるこ... 続きを読む

[アップデート] AWS App Runner でついに AWS WAF がサポートされました | DevelopersIO

2023/02/24 8 users dev DevelopersIO App Runner 通常

いわさです。 Route 53 エイリアスレコードや HTTPS リダイレクトなど、Web アプリケーションとして通常は利用したいが App Runner では対応していなかった機能が多かったのですが最近のアップデートでどんどんこれらがサポートされています。 AWS App Runner で Route 53 エイリアスレコードがサポートされました | Dev... 続きを読む

Log4j 脆弱性を緩和するAWS WAFの「Log4JRCE」DevelopersIOサイトの3日間の検出結果を紹介します | DevelopersIO

2021/12/14 61 users DevelopersIO Log4JRCE Log4j

IPアドレスは、ELB (国内向)、Global Accelerator(海外向) のIPアドレスで利用中のものでした。 $ host 75.2.71.201 201.71.2.75.in-addr.arpa domain name pointer a5b041b48e73d3807.awsglobalaccelerator.com. $ host 52.194.15.214 214.15.194.52.in-addr.arpa domain name pointer ec2-52-194-15-214.ap-northeast-... 続きを読む

Log4j2 脆弱性問題における SpringBoot アプリケーションの検証 | DevelopersIO

2021/12/11 46 users DevelopersIO Rule update AWS 検証

先日騒ぎになっていた CVE-2021-44228 についてのアプリケーション側の対応について記載いたします。 緩和策としてすでに AWS WAF での Rule の Update 等が行われているため、AWS サービスの詳細については別途記事を御覧ください。 Log4jの脆弱性対策としてAWS WAFのマネージドルールに「Log4JRCE」が追加されました ... 続きを読む

Log4jの脆弱性対策としてAWS WAFのマネージドルールに「Log4JRCE」が追加されました | DevelopersIO

2021/12/10 276 users DevelopersIO log すずき AWS 緩和

AWS WAFのマネージドルールとして新たに追加された「Log4JRCE」、Log4j の脆弱性(CVE-2021-44228)の緩和に有効であるか試してみました。 AWSチームのすずきです。 2021年12月11日、 AWS の Managed Ruleとして提供されている AWSManagedRulesKnownBadInputsRuleSetに新しい保護ルール「Log4JRCE」が追加されました。 Log... 続きを読む

Lambda サブスクリプションフィルター + AWS WAF で実現する「フルリモートワーク時代のお手軽社内サイト」 - Qiita

2021/12/04 23 users Qiita

本記事は AWS LambdaとServerless Advent Calendar 2021 の4日目です。 たまたま空きがあることに気付いたため、せっかくでしたらと急遽参加させていただきます！ よろしくお願いいたします 🙇 こんにちは。Togetter を運営しているトゥギャッター株式会社でエンジニアをしている @MintoAoyama です。 Togetter はツイー... 続きを読む

[アップデート] AWS WAFのログを直接CloudWatch LogsおよびS3に出力可能になりました | DevelopersIO

2021/11/16 18 users DevelopersIO CloudWatch Logs

またまたドキュメントをながめていたところ、待望のアップデートを見つけたのでシェアします。 AWS WAFのWebACLトラフィックログをCloudwatch LogsまたはS3に直接出力することが可能になりました！ AWS WAFのWebACLトラフィックログ 従来は以下記事のようにKinesis Data Firehoseを介してCloudWatch LogsまたはS3に出力... 続きを読む

「わたしはロボットではありません」的なパズル（CAPTCHA）をAWS WAFで設定できるようになりました | DevelopersIO

2021/11/09 18 users CAPTCHA DevelopersIO パズル ロボット

ドキュメントをながめていたところ、AWS WAFでCAPTCHAが利用可能になったようです！ CAPTCHAって何？ CAPTCHAはCompletely Automated Public Turing test to tell Computers and Humans Apartの略で、簡単に言ってしまうとWebサイトへのリクエストがコンピュータによるものか人がアクセスしているのかを区別するためのテ... 続きを読む

AWS WAF でアクセス数が一定回数を超えた IP アドレスを自動的にブラックリストに追加させる方法 | DevelopersIO

2021/07/09 36 users 手順 特定 レートベース ルール 不正アクセス

お問い合わせを頂くことの多い、AWS WAF のレートベースのルールの設定方法を手順を追って紹介します。 困っていた内容 自社サービスの特定の URL に対して、数日間で数百の IP アドレスから大量の不正アクセスを受けています。 攻撃元 IP アドレスを自動的にブラックリストに追加させる方法がありましたら教えてくださ... 続きを読む

Amazon API Gateway で API キーを使わずに認証とアクセス制御を行う | Amazon Web Services ブログ

2020/12/11 7 users gateway API 制約 要件 認証

Amazon Web Services ブログ Amazon API Gateway で API キーを使わずに認証とアクセス制御を行う はじめに Amazon API Gateway の API キーの利用を検討したものの、API キーの制約によってプロダクトの要件を満たせないことがあります。その際、それぞれ Amazon Cognito を利用した認証と AWS WAF を用いた IP ベース... 続きを読む

AWS WAF v2でWafCharmを導入設定する際に知っておきたいこと | Developers.IO

2020/06/29 7 users Developers.IO パターン 運用 攻撃パターン 環境

WafCharmは世界中のWebに対する攻撃パターンをAIによって学習し、環境に応じたアクセスのパターン等を判別し、AWS WAFのルールを最適化してくれるサービスです。これにより、ルール設定や運用に関する工数削減を実現することができます。 今回は、そんなWafCharmを導入する際の設定で、知っておいた方がよさそうな点につ... 続きを読む

AWS WAFを完全に理解する ~WAFの基礎からv2の変更点まで~ ｜ Developers.IO

2020/03/04 218 users WAF 臼田 Developers.IO 挨拶 基礎

こんにちは、臼田です。 皆さん、WAFWAFしてますか？(挨拶 今回はタイトル通りAWS WAFを完全に理解するための情報を全部詰め込んだブログです。長いです。 そもそもWAFってなんだっけ？という話から初めて「全部理解した」と言えるようになるまでをまとめています。直近AWS WAF v2がリリースされたため、この変更点を中... 続きを読む

EC2のみの環境にAWS WAFを導入する時に確認しておきたいこと ｜ Developers.IO

2020/01/30 6 users Developers.IO WAF EC2 環境 ユーザ

EC2のみでWebサーバーをたて本番稼働している環境について、AWS WAFを導入したい旨のご相談をいただくことがあります。AWS WAFを導入する前に知っておきたいこと、確認していただきたいことをご紹介します。 WAFで悪意のないユーザーの通信を遮断してしまうリスクを認識しておく AWS WAFに限らず、WAFは悪意のないユーザ... 続きを読む

[BODYも分かる！] AWS WAFでXSS/SQLiのログに詳細が記録されるようになりました[アップデート] #reinvent ｜ Developers.IO

2020/01/04 6 users 臼田 コンテキスト reinvent SQLi Body

こんにちは、臼田です。 みなさん、WAFWAFしてますか？(久しぶりの挨拶 今回はAWS WAF利用者にとって地味に嬉しいアップデートがありました。 AWS WAF で、一致したルールに関するコンテキストのリクエストログ […] 続きを読む

AWS再入門2019 AWS WAF編 ｜ Developers.IO

2019/11/19 80 users Developers.IO WAF 知見 悪意 トピック

AWS再入門2019AWS WAF編ということで、AWS WAFの知見を共有したいと思います。主なトピックは以下の通りです。 WAF全般のこと AWS WAFの基本 AWS WAFマネージドルール WafCharm WAF全般のこと WAFに期待される主な働きは、悪意のある通信をブロックし、悪意のない通信を許可することです。実際に可能な動作は、通信がWAF... 続きを読む

【新機能】API Gateway のステージに AWS WAF を直接関連づけられるようになりました ｜ DevelopersIO

2018/11/07 39 users DevelopersIO クロスサイトスクリプティング

2018年11月5日です。�さらりと便利なリリースが飛び込んできましたね。 Amazon API Gateway Adds Support for AWS WAF AWS WAF を Amazon API Gateway に使用して、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃から保護することができます。さらに、ルールを使用して、IPアドレス、地域、要求サ... 続きを読む

AWS WAFとLambda@edgeで理想のフルログはできるのか - SSTエンジニアブログ

2018/09/19 30 users 宇田川 Body Lambda@Edge POSTリクエスト

はじめに はじめまして、事業開発部と研究開発部に属している宇田川です。 AWS関連の新機能や新サービスに都度都度熱狂しておりますが、最近もっとも熱狂したニュースはこちら。 AWS WAF の包括的なログ記録機能が新たに利用可能に 早速、調査！ だが、しかし、POSTリクエストのBodyは記録されず… 私が欲しい理想のフル... 続きを読む

ほんとうに大事なサービスを守れるのか！？ 実運用に向けてAWS WAFを検討してみた - Speaker Deck

2018/08/07 59 users Speaker Deck 実運用 サービス

2018/08/03 Security JAWS 【第10回】勉強会での、安東・徳田の講演資料になります 続きを読む

OpsSecJAWS #01で「AWS WAFの初心者向け最初の一歩」というタイトルで登壇しました #opssecjaws01 #opsjaws #secjaws #jawsug ｜ Developers.IO

2018/07/05 10 users jawsug connpass 臼田 コラボイベント 資料

こんにちは、臼田です。 今回はOps-JAWSとSecurity-JAWSのコラボイベントであるOpsSecJAWS #01で発表させていただきました。 OpsSecJAWS #01 - connpass 資料 さいごに […] 続きを読む

スポンサー活動を本気でやってみた1年でした - Speee DEVELOPER BLOG

2017/12/19 35 users Speee DEVELOPER BLOG スポンサー活動

2017 - 12 - 19 スポンサー活動を本気でやってみた1年でした Tweet こんにちは。エンジニア組織推進室の中野です。 Speee Advent Calendar 2017 の19日目の記事です。もう終盤ですね！ 昨日は @mnc の AWS WAFで環境毎にCDN(CloudFront+S3)を立てた でした！ 今年を振り返ると、スポンサー活動を頑張った一年だったなあと思います。 や... 続きを読む