Comment configurer AWS WAF avec Application Load Balancer
Apprenez à protéger vos applications AWS en attachant AWS WAF à un Application Load Balancer avec des groupes de règles gérées.
AWS WAF s'intègre nativement avec Application Load Balancer (ALB) pour protéger vos applications web contre les exploits et attaques courants.
Ce guide couvre la création d'une Web ACL, son attachement à votre ALB, et la configuration des groupes de règles gérées pour une protection complète.
Prérequis
- Un compte AWS avec les permissions IAM appropriées
- Un Application Load Balancer existant
- Familiarité de base avec la console AWS
Guide étape par étape
Accéder à la console AWS WAF
Ouvrez la console AWS et accédez à AWS WAF :
- Connectez-vous à la console AWS
- Recherchez "WAF" dans la barre de recherche des services
- Sélectionnez "AWS WAF" dans les résultats
La console standard s'ouvre à l'adresse https://console.aws.amazon.com/wafv2/homev2 et utilise la terminologie "web ACL" suivie par ce guide. AWS déploie également une nouvelle expérience de console à l'adresse https://console.aws.amazon.com/wafv2-pro, qui renomme cet objet "protection pack (web ACL)" et restructure l'assistant de création autour de App category, Traffic source, et des niveaux de protection (Recommended, Essentials, You build it). Si vous arrivez sur cette nouvelle expérience, les concepts restent identiques, mais certains libellés et le déroulé de l'assistant diffèrent des étapes ci-dessous.
Créer une Web ACL
Créez une nouvelle Web ACL pour contenir vos règles de pare-feu :
- Cliquez sur "Créer une web ACL"
- Entrez un nom (ex. "production-web-acl")
- Sous "Type de ressource", sélectionnez "Ressources régionales" (cette catégorie couvre l'ALB, l'API Gateway et d'autres ressources régionales ; l'alternative est "Amazon CloudFront distributions")
- Sélectionnez votre région
- Cliquez sur "Suivant"
Ajouter des règles gérées AWS
Ajoutez des groupes de règles gérées pour une protection immédiate :
- Cliquez sur "Ajouter des règles" > "Ajouter des groupes de règles gérées"
- Développez "Groupes de règles gérées AWS"
- Activez "Core rule set" (protège contre le Top 10 OWASP)
- Activez "Known bad inputs" (bloque les requêtes avec des patterns malveillants connus)
- Activez "SQL database" si votre application utilise SQL
- Cliquez sur "Ajouter des règles"
Configurer l'action par défaut
Définissez ce qui se passe pour les requêtes qui ne correspondent à aucune règle :
- Pour "Action par défaut de la web ACL pour les requêtes qui ne correspondent à aucune règle", sélectionnez "Autoriser"
- Cela signifie que seul le trafic explicitement bloqué est refusé
- Cliquez sur "Suivant"
Définir la priorité des règles
Les règles sont évaluées dans l'ordre. AWS les traite de haut en bas :
- Faites glisser les règles pour définir la priorité (priorité la plus haute en haut)
- Généralement, placez les règles de blocage avant les règles d'autorisation
- Cliquez sur "Suivant"
Associer les ressources ALB
Attachez la Web ACL à votre Application Load Balancer :
- Cliquez sur "Ajouter des ressources AWS"
- Sélectionnez "Application Load Balancer"
- Cochez la case à côté de votre ALB
- Cliquez sur "Ajouter"
- Cliquez sur "Suivant" puis "Créer la web ACL"
Remarque : lorsque vous associez un Application Load Balancer à une web ACL, AWS WAF active automatiquement la protection DDoS au niveau de la ressource pour cet ALB.
Activer la journalisation (Recommandé)
Activez la journalisation pour surveiller les requêtes bloquées :
- Sélectionnez votre Web ACL
- Allez dans l'onglet "Journalisation et métriques"
- Cliquez sur "Activer la journalisation"
- Choisissez une destination (CloudWatch Logs, Amazon S3, ou Amazon Data Firehose)
- Cliquez sur "Enregistrer"
Remarque : Amazon Kinesis Data Firehose a été renommé Amazon Data Firehose en février 2024 ; la console et la documentation AWS WAF indiquent désormais cette destination sous le nom "Firehose" / "Amazon Data Firehose delivery stream".
# Exemple de nom de groupe de logs CloudWatch
aws-waf-logs-production-web-acl
Conclusion et étapes suivantes
Votre ALB est désormais protégé par AWS WAF avec des groupes de règles gérées. Le WAF inspectera tout le trafic HTTP/HTTPS entrant et bloquera les patterns d'attaque connus.
Prochaines étapes :
- Surveillez le tableau de bord WAF pour les requêtes bloquées et comptabilisées, et faites passer les groupes de règles du mode Count au mode Block une fois que vous avez confirmé qu'ils n'affectent pas le trafic légitime
- Configurez des alarmes CloudWatch pour les taux de blocage élevés
- Envisagez d'ajouter des règles basées sur un taux ("rate-based rules") pour la limitation de débit au niveau applicatif ; notez que l'association de l'ALB a déjà activé automatiquement la protection DDoS au niveau de la ressource
- Révisez et ajustez les règles selon les besoins de votre application
Dépannage
Trafic légitime bloqué
Vérifiez les logs CloudWatch ou S3 pour identifier la règle causant les blocages. Vous pouvez mettre des règles spécifiques en mode "Count" (comptage) au lieu de "Block" (blocage) pendant votre investigation.
Impossible de trouver mon ALB lors de l'association
Assurez-vous d'être dans la même région AWS que votre ALB. Les Web ACL sont des ressources régionales.
Coûts élevés après activation du WAF
Vérifiez le nombre de règles et le volume de requêtes. Envisagez de consolider les règles ou d'utiliser les unités de capacité plus efficacement.
Questions fréquentes
Quelle est la différence entre Web ACL et groupes de règles ?
Une Web ACL est un conteneur qui contient des règles et des groupes de règles. Les groupes de règles sont des collections réutilisables de règles que vous pouvez ajouter à plusieurs Web ACL. Les groupes de règles gérées AWS sont préconfigurés par AWS et mis à jour automatiquement.
Combien coûte AWS WAF ?
AWS WAF facture selon les Web ACL (5$/mois chacune), les règles (1$/mois chacune), et les requêtes (0,60$ par million). Les groupes de règles gérées peuvent avoir des coûts supplémentaires. Surveillez votre usage avec AWS Cost Explorer.