Mise en route avec les services de périphérie AWS

AWS WAF est un pare-feu d'applications Web qui peut être utilisé pour protéger les applications Web contre les menaces au niveau des applications. Les menaces au niveau des applications sont notamment les suivantes :

• Les attaques DDoS (par exemple les inondations HTTP) qui visent à consommer les ressources de votre application afin de la rendre inaccessible aux utilisateurs légitimes. 
• Les attaques qui tentent d'exploiter les vulnérabilités au niveau des applications, puis mènent des activités malveillantes, telles que le vol de données ou l'utilisation non autorisée de vos ressources, comme le minage de bitcoin. 
• Les attaques menées par des robots automatisés qui peuvent nuire à votre entreprise de différentes manières, comme la prise de contrôle de compte et le scraping de contenu. 

Pour utiliser AWS WAF, créez des règles dans une WebACL, puis associez-la aux ressources qui ont besoin d'être protégées. Les WebACL globales peuvent être associées aux distributions CloudFront, et les WebACL régionales peuvent être associées à des ressources de la même région, comme des ALB et des passerelles API. Lorsqu'une WebACL WAF est associée à une ressource, le service sous-jacent de la ressource (par exemple CloudFront ou ALB) transmet une copie de la demande HTTP au service AWS WAF afin d'évaluer les règles configurées en l'espace d'une milliseconde. Sur la base de l'évaluation des règles, le service AWS WAF indique au service sous-jacent comment traiter la demande (par exemple, bloquer, transférer, contester, etc.). Notez que la logique AWS WAF est uniquement basée sur les attributs de demande HTTP (par rapport aux attributs de réponse).

Une WebACL WAF récemment créée contient uniquement une règle par défaut autorisant toutes les demandes, à laquelle vous pouvez ajouter plusieurs règles de différents types. Tout d'abord, vous pouvez créer des règles personnalisées en fonction des attributs (par exemple, IP, en-têtes, cookies, URL, etc.) de la demande HTTP inspectée. Les règles peuvent également être regroupées en groupes de règles pour faciliter leur gestion. Ensuite, vous pouvez ajouter des règles gérées provenant d'AWS ou de fournisseurs sur AWS Marketplace, qui sont ajoutées sous forme de groupes de règles configurables à votre WebACL. Par exemple, vous pouvez ajouter des groupes gérés par AWS tels que l'ensemble de règles de base et la liste d'adresses IP anonymes. Des règles gérées plus avancées, telles que le contrôle des bots et la prévention de la prise de contrôle de compte, nécessitent l'intégration du SDK côté client. Les règles peuvent être configurées avec les actions suivantes en cas de correspondance : Autoriser et Compter (avec la possibilité d'envoyer des en-têtes en amont), Bloquer (avec la possibilité de répondre par une réponse personnalisée), Limiter le débit et enfin Contester à l'aide du CAPTCHA ou des contestations silencieuses. Les règles, telles que les règles gérées AWS, émettent des étiquettes qui peuvent être utilisées dans la logique des règles suivantes si elles sont atteintes par l'évaluation WAF. Vous pouvez configurer vos propres règles pour émettre des étiquettes, qui seront disponibles dans les enregistrements du journal WAF.

AWS Global Accelerator est un service réseau qui améliore les performances, la fiabilité et la sécurité de vos applications en ligne grâce à l'infrastructure mondiale AWS. Comme AWS Global Accelerator fonctionne au niveau de la couche 4 du modèle OSI, il peut être utilisé avec n'importe quelle application TCP/UDP. Voici quelques exemples de cas d'utilisation : Jeux multijoueurs basés sur UDP/TCP, voix et vidéo sur IP, IoT, ingestion vidéo et téléchargements FTP, et d'autres cas d'utilisation tels que les enchères VPN, Git, et AdTech. 

AWS Global Accelerator peut être déployé devant vos Network Load Balancers, Application Load Balancers, instances AWS EC2 et adresses IP élastiques, qui peuvent tous servir de points de terminaison régionaux pour votre application. Pour utiliser ce service, créez un accélérateur qui fournit deux adresses IPv4 anycast statiques globales qui font office de point d'entrée fixe pour votre application. Avec Global Accelerator, plusieurs points de terminaison d'applications peuvent être présents dans une ou plusieurs régions AWS, mais ils sont tous accessibles par la même adresse IP anycast. Vous configurez ensuite votre serveur DNS de référence pour qu'il pointe le nom de domaine de votre application Web vers les adresses IP statiques dédiées de l'accélérateur. Ces adresses IP anycast sont annoncées sur tous les PoP Global Accelerator afin d'acheminer le trafic des utilisateurs vers le PoP le plus proche, puis de le rediriger vers le point de terminaison régional via le réseau mondial AWS.