Comment configurer AWS WAF avec Application Load Balancer
Apprenez à protéger vos applications AWS en attachant AWS WAF à un Application Load Balancer avec des groupes de règles gérées.
AWS WAF s'intègre nativement avec Application Load Balancer (ALB) pour protéger vos applications web contre les exploits et attaques courants.
Ce guide couvre la création d'une Web ACL, son attachement à votre ALB, et la configuration des groupes de règles gérées pour une protection complète.
Prérequis
- Un compte AWS avec les permissions IAM appropriées
- Un Application Load Balancer existant
- Familiarité de base avec la console AWS
Guide étape par étape
Accéder à la console AWS WAF
Ouvrez la console AWS et naviguez vers WAF & Shield :
- Connectez-vous à la console AWS
- Recherchez "WAF" dans la barre de recherche des services
- Sélectionnez "AWS WAF" dans les résultats
Créer une Web ACL
Créez une nouvelle Web ACL pour contenir vos règles de pare-feu :
- Cliquez sur "Créer une web ACL"
- Entrez un nom (ex. "production-web-acl")
- Sélectionnez "Ressources régionales (ALB, API Gateway)" pour le type de ressource
- Sélectionnez votre région
- Cliquez sur "Suivant"
Ajouter des règles gérées AWS
Ajoutez des groupes de règles gérées pour une protection immédiate :
- Cliquez sur "Ajouter des règles" > "Ajouter des groupes de règles gérées"
- Développez "Groupes de règles gérées AWS"
- Activez "Core rule set" (protège contre le Top 10 OWASP)
- Activez "Known bad inputs" (bloque les requêtes avec des patterns malveillants connus)
- Activez "SQL database" si votre application utilise SQL
- Cliquez sur "Ajouter des règles"
Configurer l'action par défaut
Définissez ce qui se passe pour les requêtes qui ne correspondent à aucune règle :
- Pour "Action par défaut de la web ACL pour les requêtes qui ne correspondent à aucune règle", sélectionnez "Autoriser"
- Cela signifie que seul le trafic explicitement bloqué est refusé
- Cliquez sur "Suivant"
Définir la priorité des règles
Les règles sont évaluées dans l'ordre. AWS les traite de haut en bas :
- Faites glisser les règles pour définir la priorité (priorité la plus haute en haut)
- Généralement, placez les règles de blocage avant les règles d'autorisation
- Cliquez sur "Suivant"
Associer les ressources ALB
Attachez la Web ACL à votre Application Load Balancer :
- Cliquez sur "Ajouter des ressources AWS"
- Sélectionnez "Application Load Balancer"
- Cochez la case à côté de votre ALB
- Cliquez sur "Ajouter"
- Cliquez sur "Suivant" puis "Créer la web ACL"
Activer la journalisation (Recommandé)
Activez la journalisation pour surveiller les requêtes bloquées :
- Sélectionnez votre Web ACL
- Allez dans l'onglet "Journalisation et métriques"
- Cliquez sur "Activer la journalisation"
- Choisissez une destination (CloudWatch Logs, S3, ou Kinesis)
- Cliquez sur "Enregistrer"
# Exemple de nom de groupe de logs CloudWatch
aws-waf-logs-production-web-acl
Conclusion et étapes suivantes
Votre ALB est maintenant protégé par AWS WAF avec des groupes de règles gérées. Le WAF inspectera tout le trafic HTTP/HTTPS entrant et bloquera les patterns d'attaque connus.
Prochaines étapes :
- Surveillez le tableau de bord WAF pour les requêtes bloquées
- Configurez des alarmes CloudWatch pour les taux de blocage élevés
- Envisagez d'ajouter des règles de limitation de débit pour prévenir les DDoS
- Révisez et ajustez les règles selon les besoins de votre application
Dépannage
Trafic légitime bloqué
Vérifiez les logs CloudWatch ou S3 pour identifier la règle causant les blocages. Vous pouvez mettre des règles spécifiques en mode "Comptage" au lieu de "Blocage" pendant que vous enquêtez.
Impossible de trouver mon ALB lors de l'association
Assurez-vous d'être dans la même région AWS que votre ALB. Les Web ACL sont des ressources régionales.
Coûts élevés après activation du WAF
Vérifiez le nombre de règles et le volume de requêtes. Envisagez de consolider les règles ou d'utiliser les unités de capacité plus efficacement.
Questions fréquentes
Quelle est la différence entre Web ACL et groupes de règles ?
Une Web ACL est un conteneur qui contient des règles et des groupes de règles. Les groupes de règles sont des collections réutilisables de règles que vous pouvez ajouter à plusieurs Web ACL. Les groupes de règles gérées AWS sont préconfigurés par AWS et mis à jour automatiquement.
Combien coûte AWS WAF ?
AWS WAF facture selon les Web ACL (5$/mois chacune), les règles (1$/mois chacune), et les requêtes (0,60$ par million). Les groupes de règles gérées peuvent avoir des coûts supplémentaires. Surveillez votre usage avec AWS Cost Explorer.