Protegendo origens personalizadas com AWS WAF

Os usuários fazem uma solicitação ao aplicativo da web. Os registros DNS direcionam o usuário para o ponto de CloudFront presença mais próximo.

AWS O WAF inspeciona o tráfego usando regras personalizadas e gerenciadas. Ele verifica ataques comuns de exploração da web. AWS O WAF registra o tráfego para análise futura e pode bloquear tráfego malicioso.

CloudFront injeta um cabeçalho personalizado secreto na solicitação e o redireciona para o aplicativo web local.

O aplicativo web descarta ou bloqueia qualquer solicitação sem o cabeçalho personalizado secreto. Isso garante que o AWS WAF inspecione todo o tráfego.

Os usuários recebem a resposta à solicitação do CloudFront. Caches de dados no ponto de presença para a próxima solicitação.

Um fluxo de trabalho do Step Functions orquestra o processo de rotação e implantação do cabeçalho secreto em um cronograma configurável.

O fluxo de trabalho Step Functions gera um novo segredo para o valor do cabeçalho personalizado. Ele armazena o valor no AWS Systems Manager Parameter Store.

O novo valor do cabeçalho é distribuído para um ou mais servidores de aplicativos web por meio do SSM Agent e dos Automation Runbooks. Após a finalização, o fluxo de trabalho implanta o novo cabeçalho em. CloudFront

O firewall local é atualizado para permitir somente endereços CloudFront IP para o aplicativo web como uma camada de proteção adicional.