AWS 엣지 서비스 시작하기
AWS 엣지 서비스
짧은 지연 시간과 빠른 전송 속도로 안전하게 콘텐츠를 전송합니다.
일반적인 익스플로잇 공격으로부터 웹 애플리케이션을 보호합니다.
DDoS 보호 기능을 통해 애플리케이션 가용성과 응답성을 최대화합니다.
계정 전체의 방화벽 규칙을 중앙에서 구성하고 관리합니다.
AWS 글로벌 네트워크를 사용하여 애플리케이션의 가용성, 성능, 보안을 개선합니다.
Amazon CloudFront, AWS의 CDN
계층 7에서 웹 애플리케이션을 보호하는 AWS WAF
AWS WAF는 애플리케이션 수준의 위협으로부터 웹 애플리케이션을 보호하는 데 사용할 수 있는 웹 애플리케이션 방화벽입니다. 애플리케이션 수준 위협에는 다음이 포함됩니다.
- 애플리케이션 리소스를 소비하여 합법적인 사용자가 사용할 수 없도록 하는 것을 목표로 하는 DDoS 공격(예: HTTP Floods)
- 애플리케이션 수준의 취약점을 악용하여 데이터를 훔치거나 비트코인 채굴과 같은 승인되지 않은 방식으로 리소스를 사용하는 등 악의적인 활동을 시도하는 공격
- 계정 탈취 및 콘텐츠 스크래핑과 같은 다양한 방식으로 비즈니스에 해를 끼칠 수 있는 자동화된 봇에 의해 수행되는 공격
AWS WAF를 사용하려면 WebACL에서 규칙을 생성한 다음 이를 보호가 필요한 리소스에 연결해야 합니다. 글로벌 WebACL은 CloudFront 배포에 연결할 수 있고, 지역별 WebACL은 ALB 및 API Gateway와 같은 동일한 리전 내의 리소스에 연결할 수 있습니다. WAF WebACL이 리소스에 연결되면 리소스의 기본 서비스(예: CloudFront 또는 ALB)는 HTTP 요청의 사본을 AWS WAF 서비스에 전달하여 구성된 규칙을 한 자릿수 밀리초 내에 평가합니다. 규칙 평가에 따라 AWS WAF 서비스는 기본 서비스에 요청 처리 방법(예: 차단, 전달, 챌린지 등)을 지시합니다. 참고로 AWS WAF 로직은 전적으로 HTTP 요청 속성을 기반으로 합니다(응답 속성 대비).
새로 생성된 WAF WebACL에는 모든 요청을 허용하는 기본 규칙만 포함되어 있으며, 여기에 다양한 유형의 여러 규칙을 추가할 수 있습니다. 첫째, 검사된 HTTP 요청의 속성(예: IP, 헤더, 쿠키, URL 등)을 기반으로 사용자 지정 규칙을 만들 수 있습니다. 규칙을 규칙 그룹으로 그룹화하여 관리를 용이하게 할 수도 있습니다. 둘째, AWS 또는 AWS Marketplace의 공급업체에서 제공하는 관리형 규칙을 추가할 수 있습니다. 이러한 관리형 규칙은 WebACL에 구성 가능한 규칙 그룹으로 추가됩니다. 예를 들어 핵심 규칙 세트 및 익명 IP 목록과 같은 AWS 관리형 그룹을 추가할 수 있습니다. Bot Control 및 계정 탈취 방지와 같은 고급 관리 규칙에는 클라이언트 측 SDK 통합이 필요합니다. 일치 시 허용 및 카운트(헤더 업스트림으로 전송 가능), 차단(사용자 지정 응답으로 응답 가능), 속도 제한, CAPTCHA를 사용한 최종 챌린지 또는 사일런트 챌린지 등의 액션으로 규칙을 구성할 수 있습니다. AWS 관리형 규칙과 같은 규칙은 WAF 평가에서 도달할 경우 후속 규칙의 로직에 사용될 수 있는 레이블을 생성합니다. WAF 로그 레코드에서 사용할 수 있는 레이블을 내보내도록 자체 규칙을 구성할 수 있습니다.
AWS Global Accelerator, 네트워크 수준에서의 가속화
AWS Global Accelerator는 AWS 글로벌 인프라를 사용하여 온라인 애플리케이션의 성능, 신뢰성 및 보안을 향상시키는 네트워킹 서비스입니다. AWS Global Accelerator는 OSI 모델의 계층 4에서 작동하므로 모든 TCP/UDP 애플리케이션과 함께 사용할 수 있습니다. 사용 사례의 예로는 UDP/TCP 기반 멀티플레이어 게임, IP 기반 음성 및 비디오 전송, IoT, 비디오 수집 및 FTP 업로드, VPN, Git, AdTech 입찰과 같은 기타 사용 사례가 있습니다.
AWS Global Accelerator는애플리케이션의 리전 엔드포인트 역할을 수행할 수 있는 Network Load Balancer, Application Load Balancer, AWS EC2 인스턴스, 탄력적 IP 앞에 배포할 수 있습니다. 이 서비스를 사용하려면 애플리케이션의 고정 진입점 역할을 하는 두 개의 글로벌 정적 애니캐스트 IPv4 주소를 제공하는 액셀러레이터를 생성해야 합니다. Global Accelerator를 사용하면 단일 또는 여러 AWS 리전에 여러 애플리케이션 엔드포인트를 둘 수 있지만 모두 동일한 애니캐스트 IP 주소로 액세스할 수 있습니다. 그런 다음 웹 애플리케이션의 도메인 이름이 액셀러레이터의 전용 고정 IP를 가리키도록 권한 있는 DNS 서버를 구성합니다. 이러한 애니캐스트 IP는 모든 Global Accelerator PoP에서 발표되어 사용자 트래픽을 가장 가까운 PoP로 라우팅한 다음 AWS 글로벌 네트워크를 통해 지역 엔드포인트로 전달합니다.