Introducción a los servicios de periferia de AWS

AWS WAF es un firewall de aplicaciones web que se puede utilizar para proteger las aplicaciones web contra las amenazas de nivel de aplicación. Entre las amenazas de nivel de aplicación se incluyen las siguientes:

• Ataques DDoS (por ejemplo, inundaciones HTTP) que tienen como objetivo consumir los recursos de la aplicación para que no estén disponibles para los usuarios legítimos. 
• Ataques que intentan aprovechar las vulnerabilidades de nivel de aplicación y luego llevar a cabo actividades malintencionadas, como robar datos o usar sus recursos de manera no autorizada (como la minería de bitcoins). 
• Ataques que llevan a cabo bots automatizados y que pueden perjudicar a su empresa de diferentes formas, como la apropiación de cuentas y la extracción de contenido. 

Para usar AWS WAF, cree reglas en una ACL web y adjúntelas a los recursos que necesiten protección. La ACL web global se puede adjuntar a las distribuciones de CloudFront y las ACL web regionales se pueden adjuntar a los recursos de la misma región, como los ALB y las puertas de enlace de API. Cuando se adjunta una ACL web de WAF a un recurso, el servicio subyacente del recurso (por ejemplo, CloudFront o ALB) entrega una copia de la solicitud HTTP al servicio AWS WAF para evaluar las reglas configuradas en un milisegundo de un solo dígito. Según la evaluación de las reglas, el servicio AWS WAF indica al servicio subyacente cómo procesar la solicitud (por ejemplo, bloquearla, reenviarla, retarla, etc.). Tenga en cuenta que la lógica de AWS WAF se basa únicamente en los atributos de las solicitudes HTTP (en comparación con los atributos de respuesta).

Una ACL web de WAF recién creada solo contiene una regla predeterminada que permite todas las solicitudes, a la que puede agregar varias reglas de diferentes tipos. En primer lugar, puede crear reglas personalizadas basadas en los atributos (p. ej., IP, encabezados, cookies, URL, etc.) de la solicitud HTTP inspeccionada. Las reglas también se pueden agrupar en grupos de reglas para facilitar su administración. En segundo lugar, puede agregar reglas administradas de AWS o de proveedores en AWS Marketplace, que se agregan como grupos de reglas configurables a su ACL web. Por ejemplo, puede agregar grupos administrados por AWS, como el conjunto de reglas principales y la lista de IP anónimas. Las reglas administradas más avanzadas, como el Control de bots y la Prevención de la apropiación de cuentas, requieren la integración del SDK del cliente. Las reglas se pueden configurar con las siguientes acciones al establecer coincidencias: permitir y contar (con la posibilidad de enviar encabezados en sentido ascendente), bloquear (con la posibilidad de responder con una respuesta personalizada), limitar la velocidad y, por último, retar mediante CAPTCHA o desafíos silenciosos. Las reglas, como las reglas administradas de AWS, emiten etiquetas que pueden usarse en la lógica de las reglas posteriores si la evaluación de WAF las alcanza. Puede configurar sus propias reglas para emitir etiquetas, que estarán disponibles en los registros de WAF.

AWS Global Accelerator es un servicio de redes que mejora el rendimiento, la fiabilidad y la seguridad de sus aplicaciones en línea mediante la infraestructura global de AWS. Como AWS Global Accelerator opera en la capa 4 del modelo OSI, se puede usar con cualquier aplicación TCP o UDP. Algunos ejemplos de casos de uso son los siguientes: juegos multijugador basados en UDP o TCP; voz y video sobre IP; IoT; ingesta de video y cargas FTP; y otros casos de uso, como VPN, Git y las pujas de tecnología de la publicidad. 

AWS Global Accelerator se puede implementar delante de sus equilibradores de carga de red, equilibradores de carga de aplicación, instancias de AWS EC2 e IP elásticas, y cualquiera de estas opciones podría servir como punto de conexión regional para su aplicación. Para usar este servicio, cree un acelerador que proporcione dos direcciones IPv4 globales estáticas de anycast que actúen como un punto de entrada fijo a su aplicación. Con Global Accelerator, puede tener varios puntos de conexión de aplicaciones presentes en una o varias regiones de AWS, pero se puede acceder a todos ellos mediante la misma dirección IP de anycast. A continuación, configure el servidor de DNS autorizado para que dirija el nombre del dominio de la aplicación web a las IP estáticas dedicadas del acelerador. Estas IP de anycast se anuncian en todos los POP de Global Accelerator para dirigir el tráfico de los usuarios al POP más cercano y, a continuación, reenviarlos al punto de conexión regional a través de la red global de AWS.