Ich habe derzeit eine Elastic Beanstalk Web App innerhalb einer VPC, die ich hinter eine WAF setzen möchte. Um dies zu tun, habe ich CloudFront mit der WAF hinzugefügt, um das zu betrachten. Aus Sicherheitsgründen habe ich den Zugriff auf die Elastic Beanstalk App nur über die AWS CloudFront IP-Adressen aktiviert, die ich mit Sicherheitsgruppen durchgeführt habe (automatische Aktualisierung, wenn sich diese IP-Adressen ändern).Wie AWS WAF durch Zugriff auf Elastic Beanstalk-Instanz direkt umgangen werden kann
Aber was soll jemand anderes meine EB-App-Webadresse zu ihrer eigenen CloudFront-Instanz hinzufügen, würde dies meine IP-Adressbeschränkungen für die VPC-Sicherheitsgruppe umgehen und ihnen Zugriff gewähren, ohne meine WAF zu durchlaufen?
Können die Leute nicht einfach den benutzerdefinierten Header manuell injizieren, wenn sie gefälscht werden sollten, um direkt an den Webserver gesendet zu werden? –
Diese Lösung geht davon aus, dass der Header nicht bekannt ist (was für externe Angreifer der Fall ist). Um zu wissen, dass der Header-Angreifer entweder auf die Verteilungskonfiguration von CloudFront oder auf die EB-Konfiguration zugreifen muss, –
Natürlich ist SSL auch erforderlich. –