AWS WAF y AWS Shield

AWS ofrece múltiples servicios para proteger tus aplicaciones web:

• AWS Shield: Protección contra DDoS
• AWS WAF: Firewall de aplicaciones web
• AWS Firewall Manager: Gestión centralizada

Estos servicios trabajan juntos para proporcionar protección en profundidad contra diferentes tipos de ataques.

¿Qué es?

Servicio de protección contra ataques DDoS (Distributed Denial of Service).

Dos niveles:

Shield Standard

• Incluido gratis con todos los servicios AWS
• Protección automática contra ataques comunes de capa 3 y 4
• Protege contra: SYN floods, UDP floods, reflection attacks
• Sin configuración necesaria

Shield Advanced

• Servicio de pago ($3,000/mes + fees por datos transferidos)
• Protección mejorada contra ataques más sofisticados
• Protección para: EC2, ELB, CloudFront, Global Accelerator, Route 53

Beneficios de Shield Advanced:

¿Qué es?

Firewall de capa 7 (aplicación) que protege aplicaciones web filtrando el tráfico HTTP/HTTPS.

¿Dónde se despliega?

WAF se asocia a:

• Amazon CloudFront (CDN)
• Application Load Balancer (ALB)
• Amazon API Gateway
• AWS AppSync (GraphQL)
• Amazon Cognito User Pools

Componentes:

Web ACL (Access Control List): La colección de reglas que define qué tráfico permitir/bloquear.

Rules: Condiciones que inspeccionan las solicitudes web.

Rule Groups: Conjuntos reutilizables de reglas.

Reglas que puedes crear:

AWS Managed Rules

AWS proporciona conjuntos de reglas pre-configuradas:

Reglas de Marketplace

Puedes comprar reglas de terceros como:

• F5
• Fortinet
• Imperva
• Trend Micro

Cuando una regla hace match, WAF puede:

Allow: Permite la solicitud.

Block: Bloquea y retorna código de error (403 por defecto).

Count: Solo cuenta la solicitud (útil para testing).

CAPTCHA: Presenta un desafío CAPTCHA al usuario.

Challenge: Presenta desafío silencioso (JavaScript challenge).

Rate-based Rules

Limitan solicitudes por IP en un período:

Regla: Máximo 2000 requests por IP en 5 minutos
Si excede: Block por período configurable

Útil para:

• Prevenir web scraping
• Mitigar ataques de fuerza bruta
• Proteger APIs de abuso

¿Qué es?

Servicio para gestionar reglas de firewall de forma centralizada en múltiples cuentas y recursos.

Gestiona:

• AWS WAF rules
• AWS Shield Advanced
• Security Groups de VPC
• Network Firewall
• Route 53 Resolver DNS Firewall

Requisitos:

• AWS Organizations habilitado
• Una cuenta designada como administrador de Firewall Manager

Beneficios:

Casos de uso:

• Empresa con múltiples cuentas AWS
• Requisitos de compliance uniformes
• Equipos de seguridad centralizados

Escenario: Aplicación Web Pública

          Usuarios
              │
              ▼
        [CloudFront] ◄── WAF Web ACL
              │           ├── AWS Managed Rules (OWASP)
              │           ├── Rate Limiting (1000 req/5min)
              │           └── Geo Block (países no deseados)
              │
      [Shield Standard/Advanced]
              │
              ▼
        [Application LB] ◄── Security Group
              │
              ▼
        [EC2 / ECS / Lambda]

Protecciones aplicadas:

1. Shield: Mitiga DDoS en capas 3/4
2. WAF en CloudFront:
   • Bloquea SQL injection y XSS
   • Rate limiting por IP
   • Bloquea países no deseados
3. Security Group: Solo permite tráfico desde CloudFront

Puntos clave:

1. Shield Standard: Gratis, automático, protección DDoS básica
2. Shield Advanced: Pago, protección mejorada, DRT 24/7
3. WAF: Capa 7, filtra HTTP/HTTPS, reglas personalizables
4. WAF se asocia a: CloudFront, ALB, API Gateway, AppSync
5. Managed Rules: Reglas pre-configuradas por AWS
6. Firewall Manager: Gestión centralizada multi-cuenta

Preguntas típicas:

"¿Qué servicio protege contra ataques DDoS de forma gratuita?" → AWS Shield Standard (incluido automáticamente)

"¿Cómo bloquear solicitudes con inyección SQL?" → AWS WAF con reglas de SQL Injection

"¿Cómo limitar el número de solicitudes por IP?" → AWS WAF con Rate-based rules

"¿Qué servicio proporciona acceso al DDoS Response Team?" → AWS Shield Advanced

"¿Cómo gestionar WAF en múltiples cuentas de forma centralizada?" → AWS Firewall Manager