🛡️ धडा 24 — WAF & Shield: gate वरचा bouncer

📍 तुम्ही इथे आहात: 25 पैकी धडा 24 · मागील: lesson-23-route53-routing · पुढील: lesson-25-api-gateway

📦 या ब्रँचमध्ये काय आहे

धडे 01–24. Reception (धडा 15) ठोठावणाऱ्या प्रत्येकाला आत घेते. आता reception पर्यंत पोहोचण्याआधी पत्र वाचणाऱ्या कोणाला तरी कामावर ठेवण्याची वेळ. खरी file:

waf/waf.tf — managed rules + rate limit असलेले web ACL, ALB ला जोडलेले

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

Security groups (धडा 10) पाहुणा कुठून येतो आणि कोणत्या दारावर ठोठावतो ते तपासतात — पाहुणा काय घेऊन आला आहे ते ते कधीच वाचत नाहीत. Web Application Firewall (WAF) 🛡️ म्हणजे reception समोर उभा असलेला bouncer, जो प्रत्येक पाकीट उघडतो:

Managed rule groups 📋 — AWS (आणि vendors) नियमपुस्तके प्रकाशित करतात: Common Rule Set (पारंपरिक web हल्ले: injection, वाईट headers, प्रमाणाबाहेर मोठे bodies), Known Bad Inputs, SQL database, bot control. तुम्ही पुस्तक जोडता; ते स्वतःच update होते.
Rate-based rules ⏱️ — "5 मिनिटांत 2,000 पेक्षा जास्त requests करणारा कोणताही एकटा IP काही वेळासाठी block होतो." सेकंदाला 500 वेळा refresh करणाऱ्या पोराला थांबवणारा एकमेव नियम.
तुमचे स्वतःचे नियम ✍️ — IP sets (office ला allow, एखादी range block), geo-match (तुम्ही सेवा देत नाही अशा देशांतून traffic नाही), paths किंवा headers वर string/regex matches.
आधी Count mode 🧪 — प्रत्येक नियम block ऐवजी count करू शकतो. नेहमी count ने सुरुवात करा, एक दिवस logs वाचा, आणि मगच block कडे वळा. पहिल्याच दिवशी block करणारे bouncers मुख्याध्यापिकेलाच बाहेर काढतात.

Bouncer ला ALB, API Gateway (धडा 25), किंवा CloudFront ला जोडा — पाहुणे येतात त्या तीन जागा. आणि या सगळ्याखाली, Shield Standard (मोफत, आपोआप) ढकलाढकली करणाऱ्या मोठ्या गर्दी (network-layer DDoS) पचवते; Shield Advanced (सशुल्क) response team आणि cost protection जोडते, त्या दिवसांसाठी जेव्हा सगळे गाव रागाने लोटते.

🗺️ आकृती

flowchart LR
    net["🌍 internet"]
    waf["🛡️ WAF web ACL<br/>📋 managed rules · ⏱️ rate 2k/5min<br/>🗺️ geo · 📇 IP sets"]
    alb["🛎️ ALB"]
    desks["🖥️ desks"]
    logs["🧾 WAF logs → S3 / CloudWatch"]
    net -->|"1 request"| waf
    waf -->|"2 clean → forward"| alb --> desks
    waf -->|"✗ SQLi / flood → 403"| net
    waf -->|"3 every decision"| logs

❓ काय

Web ACL = क्रमाने लावलेले नियम + एक default action; एक किंवा अधिक resources ना जोडलेले. नियमांचा खर्च प्रति ACL, प्रति नियम, प्रति दहा लाख requests.
Scope: ALB/API Gateway साठी REGIONAL, edge साठी CLOUDFRONT.
Rate limit ची सूक्ष्मता: मुळात प्रति IP; नवे पर्याय headers/paths वर key करतात (प्रति-user, प्रति-endpoint).
Logging: ते चालू करा; false positives (SQLi नियमाला न आवडणारी एखादी खरी form post) कमी करण्याचा तोच मार्ग आहे.
WAF कुठे मदत करू शकत नाही: auth bugs, business-logic चा गैरवापर, समोर काहीही नसलेल्या service पर्यंत TLS च्या आत असलेले काहीही. Defense in depth: SG (दार) + WAF (पाकीट) + app validation (आतला मजकूर).

🤔 का

चांगल्या दिवशीसुद्धा internet 40% bots असते. Bouncer शिवाय, reception चा दिवस /wp-admin साठीच्या probes ना उत्तरे देण्यात जातो आणि तुमचे logs म्हणजे नुसता गोंगाट. WAF स्वस्त, managed आहे, आणि "काल रात्री आपल्यावर हल्ला झाला" याला एका नजरेत पाहायच्या graph मध्ये बदलते. आधी-count-मग-block ची सवय हेच खरे कौशल्य आहे.

🔧 कसे

# what the bouncer has been doing (top blocked rules, last hour):
aws wafv2 get-sampled-requests --web-acl-arn $ACL --rule-metric-name RateLimit \
  --scope REGIONAL --time-window StartTime=$(date -u -v-1H +%s),EndTime=$(date -u +%s) --max-items 20

🧪 करून पाहा (~15 मिनिटे, ~5¢ — धडा 15 च्या ALB ला जोडते, दोन्ही destroy करा)

cd waf && terraform apply -var alb_arn=$ALB_ARN   # common rules (count) + rate limit (block)
for i in $(seq 1 3000); do curl -s -o /dev/null $ALB_URL/ & done; wait   # the refresh kid
curl -i $ALB_URL/                                  # → 403 from the bouncer, for a while
terraform destroy

✅ तपासा — तुम्हाला काय दिसायला हवे

curl -i ALB_URL 200 देतो; flood loop नंतर काही वेळ तो 403 देतो; WAF sampled requests rate नियम लागू होताना दाखवतात.

🧹 साफसफाई — चालू ठेवू नका

इथे terraform destroy करा आणि धडा 15 चा ALB सुद्धा — दोन्ही तासाप्रमाणे bill करतात

⚠️ नेहमीच्या चुका

पहिल्याच दिवशी block mode मध्ये managed rules — खऱ्या form post ला 403 मिळतो
WAF ला फक्त ALB/API Gateway/CloudFront पर्यंत पोहोचणारेच दिसते हे विसरणे
Logging चालू नाही, त्यामुळे false positives कमी करण्याचा कोणताही मार्ग नाही

⏭️ पुढे

Websites ना reception आहे. APIs ना त्यांचे स्वतःचे front desk हवे — जे तिकिटे मोजते, ओळखपत्रे तपासते, आणि कामे थेट Lambda कडे सोपवते. धडा 25: API Gateway.

🛡️ Lesson 24 — WAF & Shield: the bouncer at the gate

📍 You are here: Lesson 24 of 25 · Previous: lesson-23-route53-routing · Next: lesson-25-api-gateway

📦 What's in this branch

Lessons 01–24. Reception (lesson 15) lets everyone in who knocks. Time to hire someone who reads the letter before it reaches reception. Real file:

waf/waf.tf — a web ACL with managed rules + a rate limit, attached to the ALB

🧒 Explain like I'm 5

Security groups (lesson 10) check where a visitor comes from and which door they knock on — they never read what the visitor is carrying. The Web Application Firewall (WAF) 🛡️ is the bouncer standing in front of reception who opens every envelope:

Managed rule groups 📋 — AWS (and vendors) publish rule books: the Common Rule Set (the classic web attacks: injection, bad headers, oversized bodies), Known Bad Inputs, SQL database, bot control. You attach a book; it updates itself.
Rate-based rules ⏱️ — "any single IP over 2,000 requests in 5 minutes gets blocked for a while." The one rule that stops the kid who refreshes 500 times a second.
Your own rules ✍️ — IP sets (allow the office, block a range), geo-match (no traffic from countries you don't serve), string/regex matches on paths or headers.
Count mode first 🧪 — every rule can count instead of block. You always start in count, read the logs for a day, and only then flip to block. Bouncers who block on day one throw out the principal.

Attach the bouncer to the ALB, API Gateway (lesson 25), or CloudFront — the three places visitors arrive. And under it all, Shield Standard (free, automatic) absorbs the big shoving crowds (network-layer DDoS); Shield Advanced (paid) adds a response team and cost protection for the days the whole town shows up angry.

🗺️ Diagram

flowchart LR
    net["🌍 internet"]
    waf["🛡️ WAF web ACL<br/>📋 managed rules · ⏱️ rate 2k/5min<br/>🗺️ geo · 📇 IP sets"]
    alb["🛎️ ALB"]
    desks["🖥️ desks"]
    logs["🧾 WAF logs → S3 / CloudWatch"]
    net -->|"1 request"| waf
    waf -->|"2 clean → forward"| alb --> desks
    waf -->|"✗ SQLi / flood → 403"| net
    waf -->|"3 every decision"| logs

❓ What

Web ACL = ordered rules + a default action; attached to one or more resources. Rules cost per ACL, per rule, per million requests.
Scope: REGIONAL for ALB/API Gateway, CLOUDFRONT for the edge.
Rate limit granularity: per IP by default; newer options key on headers/paths (per-user, per-endpoint).
Logging: enable it; it is how you tune false positives (a legit form post that the SQLi rule dislikes).
Where WAF can't help: auth bugs, business-logic abuse, anything inside TLS to a non-fronted service. Defense in depth: SG (door) + WAF (envelope) + app validation (contents).

🤔 Why

The internet is 40% bots on a good day. Without a bouncer, reception spends its day answering probes for /wp-admin and your logs are noise. WAF is cheap, managed, and turns "we got hammered last night" into a graph you glance at. The count-then-block habit is the real skill.

🔧 How

# what the bouncer has been doing (top blocked rules, last hour):
aws wafv2 get-sampled-requests --web-acl-arn $ACL --rule-metric-name RateLimit \
  --scope REGIONAL --time-window StartTime=$(date -u -v-1H +%s),EndTime=$(date -u +%s) --max-items 20

🧪 Try it (~15 min, ~5¢ — attaches to lesson 15's ALB, destroy both)

cd waf && terraform apply -var alb_arn=$ALB_ARN   # common rules (count) + rate limit (block)
for i in $(seq 1 3000); do curl -s -o /dev/null $ALB_URL/ & done; wait   # the refresh kid
curl -i $ALB_URL/                                  # → 403 from the bouncer, for a while
terraform destroy

✅ Verify — what you should see

curl -i ALB_URL returns 200; after the flood loop it returns 403 for a while; the WAF sampled requests show the rate rule firing.

🧹 Clean up — do not leave running

terraform destroy here AND lesson 15's ALB — both bill hourly

⚠️ Common mistakes

managed rules in block mode on day one — a legit form post gets 403
forgetting WAF only sees what reaches the ALB/API Gateway/CloudFront
no logging enabled, so no way to tune false positives

⏭️ Next

Websites have reception. APIs deserve their own front desk — one that counts tickets, checks IDs, and hands errands straight to Lambda. Lesson 25: API Gateway.

← Previousroute53 routing Next →api gateway

This page is the lesson's README from the lesson-24-waf-shield branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.