Question

HTTP/S 콘텐츠에 대한 액세스를 제어하거나 웹 애플리케이션을 운영할 때 추천해 주실 만한 보안 구성이 있나요?

Answer

1. LB 앞단에 Amazon CloudFront 사용하기

Amazon CloudFront, AWS Shield, AWS Web Application Firewall (WAF), Amazon Route53의 서비스 들은 

네트워크 및 애플리케이션 계층 DDoS 공격을 비롯한 여러 유형의 공격에 대해 유연한 계층형 보안 방어를 구축하기 위해 원활하게 협력합니다.

CloudFront를 애플리케이션과 인프라에 대한 "관문"으로 사용함으로써 

중요한 콘텐츠, 데이터, 코드 및 인프라에서 주요 공격 지점을 차단할 수 있습니다.

자세한 내용은 아래 AWS 문서 참고 부탁드립니다.

# Application Load Balancer에 대한 액세스 제한 -

https://docs.aws.amazon.com/ko_kr/AmazonCloudFront/latest/DeveloperGuide/restrict-access-to-load-balancer.html

2. Amazon CloudFront와 WAF 활용

AWS WAF는 Amazon CloudFront 배포, Amazon API Gateway REST API, Application Load Balaner 또는

AWS AppSync GraphQL API에 전달되는 HTTP(S) 요청을 모니터링할 수 있게 해주는 웹 애플리케이션 방화벽입니다.

또한 AWS WAF를 사용하여 콘텐츠에 대한 액세스를 제어할 수 있습니다.

요청이 시작되는 IP 주소나 쿼리 문자열의 값 등 지정하는 조건에 따라 보호된 리소스와 연결된 서비스는 요청된 콘텐츠나 HTTP 403 상태 코드(금지됨)로 요청에 응답합니다.

또한 요청이 차단될 때 사용자 지정 오류 페이지를 반환하도록 CloudFront를 구성할 수 있습니다.

자세한 내용은 아래 AWS 문서 참고 부탁드립니다.

# AWS WAF -

https://docs.aws.amazon.com/ko_kr/waf/latest/developerguide/waf-chapter.html

# AWS WAF를 사용하여 콘텐츠에 대한 액세스 제어 -

https://docs.aws.amazon.com/ko_kr/AmazonCloudFront/latest/DeveloperGuide/distribution-web-awswaf.html

3. 보안 솔루션과 Gateway Load Balancer 활용

AWS Gateway Load Balancer는 방화벽, 침입 탐지 및 방지 시스템, 심층 패킷 검사 시스템 같은

가상 어플라이언스를 배포, 확장 및 관리할 수 있게 해주는 AWS 서비스입니다.

투명한 네트워크 게이트웨이 (즉, 모든 트래픽에 대한 단일 진입점과 종료점)를 결합하고 트래픽을 분산하는 동시에 가상 어플라이언스를 수요에 따라 조정합니다.

즉, 가상 어플라이언스 (3rd party 보안 솔루션 등)에 대한 배포 및 확장을 관리할 수 있게 해주는 서비스입니다.

자세한 내용은 아래 AWS 문서 참고 부탁드립니다.

# AWS Gateway Load Balancer -

https://aws.amazon.com/ko/blogs/korea/introducing-aws-gateway-load-balancer-easy-deployment-scalability-and-high-availability-for-partner-appliances/

위 내용 관련하여 궁금증이 해결되지 않으셨거나,

추가 문의 사항이 있으시면 저희 고객 지원 포털에 문의 남겨주시기 바랍니다.