AWS WAFの防御性能を検証する

記事概要

Amazon Web Serviceで提供されるWeb Application Firewall(AWS WAF)、その実際の性能とは？
マネージドルールとカスタムルールでは防御力にどれほど差が出るのか？
3万以上に及ぶパターンの通信を送り、XSSに絞って検証したところ、AWS WAFの傾向が見えてきました。

---

資料

検証の方法や結果などをまとめた資料はこちら。

---

検証結果

具体的な手順や数値などは資料を参照いただくとして、結果のみ簡単に書き出します。

・ペイロードによって検知率は36%～94%と大きなぶれがあります。
・攻撃者のスキルによってはバイパスが充分可能です。
・防御性能(検知率の高さと誤検知率の低さ)だけでいえばカスタムルールよりマネージドルールの方が優秀です。
・False Positiveは少ないが、特定の文字列を含むパラメータを多用している場合は誤検知率が跳ね上がる可能性があります。
・チューニングほぼ不可、単体でのログ監視に難ありなど、運用面に課題があります。

※検証自体は2018年11月に実施したものです。どこかでLTでもしようと思っていたまま埋もれていました。