Proteger el perímetro: Shield, WAF y Firewall Manager

Una aplicación pública recibe de todo: clientes, buscadores, bots que prueban contraseñas, escáneres que buscan fallas conocidas y, a veces, avalanchas de tráfico hechas para tumbarla. Las defensas del perímetro filtran ese tráfico antes de que llegue a tus servidores.

Un ataque de denegación de servicio distribuida (DDoS) usa miles de máquinas a la vez para saturar tu aplicación o la red que la alcanza. Unos atacan las capas de red y transporte (capas 3 y 4: inundaciones de paquetes UDP o SYN). Otros atacan la capa de aplicación (capa 7: millones de solicitudes HTTP que parecen legítimas).

AWS Shield: Standard y Advanced

Criterio	Shield Standard	Shield Advanced
Activación	Automática para todos los clientes de AWS	Te suscribes y eliges qué recursos proteger
Protege contra	Los ataques DDoS más comunes de capas 3 y 4	Ataques más grandes y sofisticados, incluida la capa 7 con AWS WAF
Recursos	Todos los servicios de AWS, con más efecto en CloudFront y Route 53	EC2 (IP elásticas), Elastic Load Balancing, CloudFront, Global Accelerator y Route 53
Ayuda humana	No incluida	Acceso 24/7 al Shield Response Team (SRT) durante un ataque
Extras	—	Métricas y reportes detallados, y protección de costos ante el escalado causado por un ataque

AWS WAF: reglas para el tráfico web

AWS WAF es un firewall de aplicaciones web: inspecciona solicitudes HTTP y HTTPS (capa 7). Se configura con una web ACL, una lista ordenada de reglas, y se asocia a CloudFront, a un Application Load Balancer, a una API de API Gateway, a AppSync o a un Cognito user pool, entre otros.

1. 1

   Elige qué mirar

   La IP o el país de origen, encabezados, la URL, los parámetros o el cuerpo de la solicitud.
2. 2

   Define la condición

   Contiene una cadena, coincide con un patrón, parece inyección SQL o cross-site scripting, supera un tamaño.
3. 3

   Elige la acción

   Permitir, bloquear, solo contar (para probar una regla sin romper nada), o pedir un CAPTCHA o un desafío.
4. 4

   Ordena las reglas

   WAF las evalúa en orden de prioridad. Una acción de permitir o bloquear detiene la evaluación.

• Reglas administradas: grupos de reglas que mantiene AWS (por ejemplo, contra las vulnerabilidades más comunes, IPs con mala reputación o bots) o vendedores de AWS Marketplace. Se activan sin escribir reglas a mano.
• Reglas basadas en tasa: cuentan las solicitudes por IP (u otra clave) en una ventana de tiempo y bloquean a quien pase del límite que defines. Frenan ataques de fuerza bruta e inundaciones HTTP.
• Conjuntos de IP y geocoincidencia: listas de direcciones a permitir o bloquear, o reglas por país.

Firewall Manager y Network Firewall

Con 30 cuentas, configurar WAF cuenta por cuenta no escala. AWS Firewall Manager aplica políticas de seguridad de forma central en toda una organización: web ACL de WAF, protecciones de Shield Advanced, Security Groups, AWS Network Firewall y DNS Firewall. Cuando se crea una cuenta nueva, recibe las reglas sola. Requiere AWS Organizations y AWS Config.

AWS Network Firewall es un firewall administrado para el tráfico de tus VPC, no solo web: filtra por IP, puerto, protocolo y dominio, y detecta intrusiones con reglas con estado.