投稿日: Jun 5, 2023
AWS WAF が、Header Order の一致ステートメントをサポートするようになりました。これによりユーザーは、HTTP ヘッダーをリクエストに表示する順序を指定できるようになります。この機能を使えば、リクエストのメタデータに関する追加のディメンションを検証することで、アクセスコントロールの対策をさらに強化することができます。
ユーザーはすでに、WAF の一致ステートメントを使ってリクエストヘッダーの中身を検査し、その発生元を、指定された基準と比較することができます。これまでユーザーは、受信リクエストのヘッダーの順序を検査するために、カスタムスクリプトやインフラストラクチャの追加レイヤーなど、さまざまな回避策を使って行ってきました。今後は、Header Order の一致ステートメントを使って、WAF ルール内にある受信リクエストのヘッダーの順序をシームレスにコントロールできます。例えば、同じ HTTP プロトコルバージョンのブラウザは、通常、特定の順序で HTTP ヘッダーを送信します。「user-agent」ヘッダーで示されるブラウザタイプがリクエストヘッダーの順序と一致しない場合、そのリクエストは、登録済みのソースから送信されたものではない可能性があります。Header Order の一致ステートメントを使用すれば、特定のヘッダーをチェックし、「Content-Type」の後に「Authorization」が来る、といった特定の順序を適用するルールを作成できます。
この機能の使用には追加料金はかかりませんが、標準の AWS WAF 料金は適用されます。料金の詳細については、AWS WAF の料金ページを参照してください。AWS WAF が利用可能なすべての AWS リージョン、および Amazon CloudFront、Application Load Balancer、Amazon API Gateway、AWS AppSync、Amazon Cognito を始めとするサポート対象の各サービスで利用できます。詳細については、AWS WAF デベロッパーガイドをご覧ください。