Comece a usar serviços de borda da AWS

Tutoriais práticos e conteúdo que abordam os conceitos básicos.

Serviços de borda da AWS

Uma região da AWS é um local físico em que a AWS agrupa datacenters e opera serviços regionais, como o EC2 e o S3. No caso específico de aplicações online, o tráfego de usuários pode atravessar várias redes públicas para alcançar uma infraestrutura regional. Se você deseja resolver as desvantagens de atravessar redes não controladas em termos de performance, confiabilidade e segurança, considere adicionar serviços de borda da AWS à sua arquitetura. Os serviços de borda do AWS, como o Amazon CloudFront e o AWS Global Accelerator, operam em centenas de pontos de presença (POPs) distribuídos em todo o mundo fora das regiões da AWS. Os usuários são atendidos a partir desses POPs em uma média de 20 a 30 milissegundos e, quando necessário, o tráfego é transportado de volta para sua infraestrutura regional pela rede global da AWS, em vez de passar pela Internet pública. A infraestrutura global da AWS é uma infraestrutura privada específica, altamente disponível e de baixa latência, construída em uma rede global de fibra metropolitana totalmente redundante, conectada por meio de cabos terrestres e transoceânicos em todo o mundo.

Amazon CloudFront

Entregue conteúdo de forma segura, com baixa latência e altas velocidades de transferência.

AWS WAF

Proteja suas aplicações Web contra explorações comuns.

AWS Shield

Maximize a disponibilidade e a capacidade de resposta das aplicações com a proteção contra DDoS.

AWS Firewall Manager

Configure e gerencie de forma centralizada regras de firewall em todas as suas contas.

AWS Global Accelerator

Melhore a disponibilidade, a performance e a segurança de aplicações usando a rede global da AWS.

Amazon CloudFront, a CDN da AWS

O CloudFront é a rede de entrega de conteúdo (CDN) da Amazon. O CloudFront é usado para acelerar aplicações Web baseadas em HTTP(S) e aprimorar sua disponibilidade e segurança. O CloudFront pode ser empregado em casos de uso, como entrega completa de sites, proteção e aceleração de API, streaming de vídeo adaptável e download de software. Para usar esse serviço, crie uma distribuição do CloudFront, configure sua origem (qualquer origem que tenha um nome de domínio acessível ao público), emita e anexe um certificado TLS válido usando o Amazon Certificate Manager e configure seu servidor DNS autoritário para apontar o nome de domínio da sua aplicação Web para o nome de domínio gerado pela distribuição (xyz.cloudfront.net). Durante a fase de resolução do DNS, quando os usuários navegam até sua aplicação Web, uma solicitação HTTP(S) é roteada dinamicamente para o melhor PoP do CloudFront em termos de latência e disponibilidade. Depois que o PoP é selecionado, o usuário encerra a conexão TCP, incluindo o handshake TLS, em um dos servidores do PoP e, em seguida, envia a solicitação HTTP. Se o conteúdo for armazenado em cache em uma das camadas de cache do CloudFront, a solicitação será atendida localmente pelo CloudFront. Caso contrário, ela será encaminhada para a origem. O CloudFront tem duas camadas em sua infraestrutura. A primeira camada é baseada em locais de borda, onde as conexões dos usuários são encerradas e os ataques de DDoS de camada 3/4 são mitigados. Eles fornecem recursos de cache e, se configurados, executam o CloudFront Functions e aplicam regras do WAF. A segunda camada é baseada em caches regionais de borda, hospedados nas regiões da AWS. Ela fornece tempos de retenção de cache mais longos, melhora as taxas de acerto do cache e executa funções do Lambda@Edge quando configurado. O CloudFront otimiza dinamicamente o uso dessas camadas para cada HTTP, dependendo de sua natureza. Por exemplo, solicitações HTTP marcadas como dinâmicas (por exemplo, armazenamento em cache desabilitado, solicitações POST/PUT/DELETE, solicitações de objetos marcados como não armazenáveis em cache usando o cabeçalho de resposta Cache-Control etc.) ignoram as camadas de cache e, como resultado, são enviadas dos locais de borda diretamente para sua origem.

Por fim, o CloudFront executa a lógica em uma ordem específica. Primeiro, o CloudFront executa seus controles de segurança nativos (por exemplo, política de TLS, redirecionamento de HTTP para HTTPS, bloqueio geográfico, URLs assinados), depois executa as regras de uma WebACL do AWS WAF se configuradas, depois executa o código de uma função de borda, se configurada, no evento de solicitação do visualizador, depois verifica seu cache se a solicitação pode ser armazenada em cache e, em seguida, executa o código do Lambda@Edge, se configurado, no evento de solicitação de origem e, finalmente, encaminha a solicitação para a origem, se necessário. Para saber mais sobre o ciclo de vida de uma solicitação HTTP nas camadas do CloudFront, assista à seguinte palestra do re:Invent. Observe que o atributo CloudFront Functions não foi lançado no momento da recodificação dessa palestra.

AWS WAF para proteger aplicações Web na camada 7

O AWS WAF é um firewall de aplicações Web que pode ser usado para proteger aplicações Web contra ameaças em nível de aplicação. As ameaças em nível de aplicação incluem:

Ataques de DDoS (por exemplo, HTTP Floods) que visam consumir os recursos da sua aplicação para torná-la indisponível para usuários legítimos.
Ataques que tentam explorar vulnerabilidades no nível da aplicação e, em seguida, realizar atividades mal-intencionadas, como roubar dados ou usar seus recursos de forma não autorizada, como a mineração de bitcoins.
Ataques conduzidos por bots automatizados que podem prejudicar sua empresa de diferentes maneiras, como invasão de contas e coleta de conteúdo.

Para usar o AWS WAF, crie regras em uma WebACL e anexe-as aos recursos que precisam de proteção. WebACL globais podem ser anexadas às distribuições do CloudFront, e WebACLs regionais podem ser anexadas a recursos na mesma região, como ALBs e API Gateways. Quando uma WebACL do WAF é anexada a um recurso, o serviço subjacente do recurso (por exemplo, CloudFront ou ALB) entrega uma cópia da solicitação HTTP ao serviço AWS WAF para avaliar as regras configuradas em um milissegundo de um único dígito. Com base na avaliação da regra, o serviço AWS WAF instrui o serviço subjacente sobre como processar a solicitação (por exemplo, bloquear, encaminhar, desafiar etc.). Observe que a lógica do AWS WAF é baseada somente em atributos de solicitação HTTP (versus atributos de resposta).

Uma WebACL WAF recém-criada contém somente uma regra padrão que permite todas as solicitações, às quais você pode adicionar várias regras de diferentes tipos. Primeiro, você pode criar regras personalizadas com base nos atributos (por exemplo, IP, cabeçalhos, cookies, URL etc.) da solicitação HTTP inspecionada. Regras também podem ser agrupadas em grupos de regras para facilitar seu gerenciamento. Segundo, você pode adicionar regras gerenciadas da AWS ou de fornecedores no AWS Marketplace, que são adicionadas como grupos de regras configuráveis à sua WebACL. Por exemplo, você pode adicionar grupos gerenciados da AWS, como o conjunto de regras principais e a lista de IPs anônimos. Regras gerenciadas mais avançadas, como controle de bots e prevenção de invasão de contas, exigem a integração do SDK no lado do cliente. As regras podem ser configuradas com as seguintes ações ao combinar: Permitir e contar (com a possibilidade de enviar cabeçalhos para cima), Bloquear (com a possibilidade de responder com uma resposta personalizada), Limite de taxa e, finalmente, desafio usando CAPTCHA ou desafios silenciosos. Regras, como as regras gerenciadas pela AWS, emitem rótulos que podem ser usados na lógica das regras subsequentes se atingidos pela avaliação do WAF. Você pode configurar suas próprias regras para emitir rótulos, que estarão disponíveis nos registros de log do WAF.

AWS Global Accelerator, uma aceleração em nível de rede

O AWS Global Accelerator é um serviço de rede que melhora a performance, a confiabilidade e a segurança das suas aplicações online usando a infraestrutura global da AWS. Como o AWS Global Accelerator opera na camada 4 do modelo OSI, ele pode ser usado com qualquer aplicação TCP/UDP. Exemplos de casos de uso incluem: jogos multijogador baseados em UDP/TCP, voz e vídeo sobre IP, IoT, ingestão de vídeo e uploads de FTP e outros casos de uso, como licitação de VPN, Git e AdTech.

O AWS Global Accelerator pode ser implantado na frente de seus Network Load Balancers, Application Load Balancers, instâncias do AWS EC2 e Elastic IPs, qualquer um dos quais pode servir como endpoints regionais para sua aplicação. Para usar esse serviço, crie um acelerador, que fornece dois endereços IPv4 anycast estáticos globais que atuam como um ponto de entrada fixo para a sua aplicação. Com o Global Accelerator, você pode ter vários endpoints de aplicações presentes em uma ou várias regiões da AWS, mas todos eles podem ser acessados pelo mesmo endereço IP anycast. Em seguida, você configura seu servidor DNS autoritário para apontar o nome de domínio da sua aplicação Web para os IPs estáticos dedicados do acelerador. Esses IPs anycast são anunciados em todos os POPs do Global Accelerator para direcionar o tráfego do usuário para o PoP mais próximo e, em seguida, encaminhá-los ao endpoint regional pela rede global da AWS.

Recursos de aprendizado para desenvolvedores

Limpar todos os filtros

Back to Basics: Accelerate and protect your websites using Amazon CloudFront and AWS WAF

Internet users increasingly expect responsive web applications and APIs with lower latency and higher availability. Additionally, publicly accessible web applications and APIs are exposed to threats such as commonly occurring vulnerabilities described in the OWASP Top 10, SQL injection, automated requests, and HTTP floods (Denial of Service (DoS)) that can affect availability, compromise security, or consume excessive resources. Developers looking to keep their web application performant, resilient, and secure, introduce Amazon CloudFront‘s global edge network with AWS WAF to their hosting infrastructure. Both services protect web applications from being exposed to potential attacks and being vulnerable to unpredictable traffic spikes that impact performance and availability. In this post, you learn the basic concepts of configuring CloudFront and AWS WAF to add them to your web application technology stack.

Blog

2023-09-12
How to boost the performance and security of your dynamic websites with AWS edge services in a few steps

Customers use AWS edge services to improve the performance and the security of their websites. In certain cases, they appreciate being able to quickly set up a Content Delivery Network (CDN) and a Web Application Firewall (WAF) to stop a DDoS attack targeting their website, or to decrease page load times. And they prefer doing this without investing time beforehand to read the service documentation and configure everything from scratch. If this resonates with you, then you should benefit from reading this post. In this post, you deploy just a few clicks, using an AWS CloudFormation template, an Amazon CloudFront distribution as a reverse proxy to your origin servers, protected by an AWS WAF WebACL. CloudFormation is a service that takes care of provisioning and configuring resources described in a YAML configuration template. CloudFront helps you accelerate your website thanks to caching when it applies, advanced internet protocols (e.g., HTTP3, TL1.3), and the AWS Global network. CloudFront natively protects your application against infrastructure DDoS attacks, and it integrates with AWS WAF to allow you to write rules for managing threats at application layer.

Blog

2023-09-27
CloudFront Hosting Toolkit

Now with CloudFront Hosting Toolkit, you can quickly deploy well-architected front-ends on AWS while retaining full control of the underlying cloud infrastructure. CloudFront Hosting Toolkit automatically creates the required infrastructure resources in your AWS account and configures Git-based deployments to deploy applications within minutes—without the need for you to have prior AWS experience. You can take full control over the underlying AWS resources to tailor your application to your exact needs by modifying elements of the existing infrastructure rather than starting from scratch.

Blog

2024-06-04
Getting started with AWS WAF- Service Overview

AWS WAF is a web application firewall that helps protect your applications or APIs against common web exploits and bots that may affect availability, compromise security, or consume excessive resources. You can control how traffic reaches your applications based on security rules to manage bot traffic and block common attack patterns. You can deploy AWS WAF on Amazon CloudFront as part of your CDN solution, the Application Load Balancer that fronts your web servers or origin servers running on EC2, Amazon API Gateway for your REST APIs, or AWS AppSync for your GraphQL APIs. With AWS WAF, you pay only for what you use and the pricing is based on how many rules you deploy and how many web requests your application receives.

Short Video

2022-09-29
Getting started with AWS Shield Advanced

Learn how to get started with AWS Shield, a managed Distributed Denial of Service (DDoS) protection service that safeguards applications running on AWS. Shield provides dynamic detections and automatic inline mitigations that minimize application downtime and latency. Learn more about AWS Shield - https://go.aws/3kGpNgN In this video, you’ll learn how to enable AWS Shield Advanced to get additional tailored detection and mitigation against large and sophisticated DDoS attacks, near real-time visibility into attacks, and AWS Firewall Manager and AWS WAF at no additional cost for usage on resources protected by AWS Shield Advanced as described on the Shield pricing page. Shield Advanced provides a higher level of protection against attacks targeting your applications running on Amazon EC2 with associated Elastic IP addresses, Elastic Load Balancing (ELB), Amazon CloudFront, AWS Global Accelerator, and Amazon Route 53 resources. Shield Advanced also gives you 24x7 access to the AWS Shield Response Team (SRT) and cost protection against DDoS related spikes in your Amazon Elastic Compute Cloud (EC2), Elastic Load Balancing (ELB), Amazon CloudFront, AWS Global Accelerator, and Amazon Route 53 charges.

Short Video

2021-11-15
Getting started with AWS WAF- Common Configuration Patterns

AWS WAF is a web application firewall that helps protect your applications or APIs against common web exploits and bots that may affect availability, compromise security, or consume excessive resources. You can control how traffic reaches your applications based on security rules to manage bot traffic and block common attack patterns. You can deploy AWS WAF on Amazon CloudFront as part of your CDN solution, the Application Load Balancer that fronts your web servers or origin servers running on EC2, Amazon API Gateway for your REST APIs, or AWS AppSync for your GraphQL APIs. With AWS WAF, you pay only for what you use and the pricing is based on how many rules you deploy and how many web requests your application receives.

Short Video

2023-02-03
CloudFront Foundation I

In this workshop you will learn how to set up CloudFront, and optimize the performance of your application.

Workshop

2023-07-13
CloudFront Foundation II

In this workshop you will learn how to improve improve the security and resilience of your application.

Workshop

2023-07-13
AWS Shield Advanced

This workshop is part of an Immersion day about "AWS Shield Advanced" please refer to your AWS contacts to know more about this Immersion Day. AWS Shield is a managed Distributed Denial of Service (DDoS) protection service that safeguards applications running on AWS. AWS Shield provides always-on detection and automatic inline mitigations that minimize application downtime and latency. Since the DDoS protection is automatic, you can expect minimum engagement with AWS Support. There are two tiers of AWS Shield - Standard and Advanced. All AWS customers benefit from the automatic protections of AWS Shield Standard, at no additional charge. AWS Shield Standard defends against most common, frequently occurring network and transport layer DDoS attacks that target your web site or applications. When you use AWS Shield Standard with Amazon CloudFront and Amazon Route 53, you receive comprehensive availability protection against all known infrastructure (Layer 3 and 4) attacks. For higher levels of protection against attacks targeting your applications running on Amazon Elastic Compute Cloud (EC2), Elastic Load Balancing (ELB), Amazon CloudFront, AWS Global Accelerator and Amazon Route 53 resources, you can subscribe to AWS Shield Advanced. In addition to the network and transport layer protections that come with Standard, AWS Shield Advanced provides additional detection and mitigation against large and sophisticated DDoS attacks, near real-time visibility into attacks, and integration with AWS WAF, a web application firewall. AWS Shield Advanced also gives you 24x7 access to the AWS Shield Response Team (SRT) and protection against DDoS related spikes in your Amazon Elastic Compute Cloud (EC2), Elastic Load Balancing (ELB), Amazon CloudFront, AWS Global Accelerator and Amazon Route 53 charges.

Workshop

2023-12-01