HTTP 요청을 규칙 순서대로 검사하고 판정합니다

Rules · labels

규칙은 JSON 문장, 판단은 레이블로 이어 갑니다

아래는 로그인 경로에 대해 IP별 요청 수를 제한하되, 사내 IP 레이블이 붙은 요청은 빼는 rate-based rule입니다. 앞선 규칙이 붙인 레이블을 뒤 규칙의 조건으로 쓰면 규칙을 잘게 나눠 조합할 수 있습니다.

{
  "Name": "rate-limit-login",
  "Priority": 4,
  "Statement": {
    "RateBasedStatement": {
      "Limit": 100,
      "EvaluationWindowSec": 300,
      "AggregateKeyType": "IP",
      "ScopeDownStatement": { "AndStatement": { "Statements": [
        { "ByteMatchStatement": { "SearchString": "/api/login",
            "FieldToMatch": { "UriPath": {} }, "PositionalConstraint": "STARTS_WITH",
            "TextTransformations": [{ "Priority": 0, "Type": "LOWERCASE" }] } },
        { "NotStatement": { "Statement": { "LabelMatchStatement": {
            "Scope": "LABEL", "Key": "corp:trusted-ip" } } } }
      ] } }
    }
  },
  "Action": { "Block": {} },  // Allow는 쓸 수 없음
  "VisibilityConfig": { "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true, "MetricName": "rate-limit-login" }
}

Features

주요 기능

맞춤 응답: Block 액션에 상태 코드, 헤더, 본문을 지정해 사용자 정의 응답을 돌려주고, Allow · Count에서는 오리진으로 가는 요청에 맞춤 헤더를 넣을 수 있습니다.

Protected resources

web ACL을 연결하는 리소스

web ACL 하나를 같은 범위의 여러 리소스에 연결할 수 있지만, 리소스 하나에는 web ACL 하나만 연결됩니다. CloudFront용은 글로벌 범위로 만들고, 나머지는 리소스와 같은 리전에 만듭니다.

NLB, API Gateway HTTP API, EC2 Elastic IP에는 web ACL을 직접 연결할 수 없습니다. 이런 진입점은 CloudFront를 앞에 두거나 Shield Advanced와 Network Firewall로 보호합니다.

Where it fits

AWS WAF와 이웃 보안 서비스

계층과 보는 대상이 다르므로 대체 관계가 아니라 함께 쓰는 관계입니다.

Reference architecture

엣지에서 먼저 거르고, 조직 전체에 같은 기준을 겁니다

웹 트래픽은 글로벌 web ACL이 연결된 CloudFront에서 먼저 검사합니다. 리전의 API Gateway에는 리전 web ACL을 둡니다. Firewall Manager는 조직의 모든 계정에 공통 규칙 그룹을 강제하고, 각 web ACL의 로그는 한 곳으로 모읍니다.

Getting started

첫 web ACL을 적용하는 순서

1. STEP 1

   web ACL 생성

   보호할 리소스의 범위(CloudFront 또는 리전)를 고르고 기본 액션을 정합니다. 새 콘솔에서는 protection pack으로 표시됩니다.

2. STEP 2

   관리형 규칙 추가

   Core rule set, IP reputation 등 AWS Managed Rules를 넣고 WCU 사용량을 확인합니다.

3. STEP 3

   Count로 관찰

   규칙을 Count로 두고 로깅과 CloudWatch 지표를 켜서 오탐을 찾고 예외를 만듭니다.

4. STEP 4

   Block 전환

   검증된 규칙부터 Block으로 바꾸고, rate-based rule과 Bot Control을 더합니다.

5. STEP 5

   조직 확장

   Firewall Manager 정책으로 모든 계정과 새 리소스에 공통 규칙 그룹을 자동 적용합니다.

Pricing

비용 항목

사용한 만큼 냅니다. web ACL과 규칙 개수에 붙는 월 요금, 처리한 요청 수가 기본이고, 지능형 위협 완화 기능과 확장 옵션을 켜면 요금이 더해집니다.

Shield Advanced로 보호하는 리소스는 표준 AWS WAF 요금이 구독에 포함됩니다(Bot Control, Fraud Control, CAPTCHA 등은 제외). CloudFront 배포에는 AWS WAF와 DDoS 보호가 월 정액에 포함된 flat-rate 요금제(2025년 11월 출시)를 고를 수도 있습니다. 단가는 바뀔 수 있으니 AWS WAF 요금 페이지에서 확인하세요.