실습 개요
AWS 웹 애플리케이션 방화벽 챌린지 실습에 오신 것을 환영합니다! AWS WAF는 가용성에 영향을 주거나, 보안을 위협하거나, 리소스를 과도하게 사용하는 일반적인 웹 공격 및 봇으로부터 웹 애플리케이션이나 API를 보호하는 데 도움이 되는 웹 애플리케이션 방화벽입니다. AWS WAF에서는 봇 트래픽을 제어하고 SQL 명령어 삽입(SQLi) 및 크로스 사이트 스크립팅(XSS)과 같은 일반적인 공격 패턴을 차단하는 보안 규칙을 작성하도록 지원하여 애플리케이션에 트래픽이 도달하는 방법을 제어할 수 있습니다. 특정 트래픽 패턴을 필터링하는 규칙을 사용자 정의할 수도 있습니다.
이 실습에서 여러분은 온라인 주스 상점을 막 시작한 회사에서 근무하는 보안 엔지니어입니다. 회사의 웹 애플리케이션에서 SQLi 및 XSS 취약점을 찾아 완화해야 합니다.
자세한 단계별 지침이 포함된 기존 실습과 달리 이 챌린지 실습에서는 목표와 최소한의 지침만 제공합니다. 보안 및 일반적인 웹 공격에 대한 지식을 적용하여 과제를 완료해야 합니다.
첫 번째 과제 세트에서는 안전하지 않은 웹 애플리케이션 제시되고 SQL 명령어 삽입 및 크로스 사이트 스크립팅 공격을 사용하여 이를 악용하라는 메시지가 표시됩니다. 중간에 문제가 발생하면 Hint 및 Solution 메뉴를 확장하여 공격에 도움을 받으십시오.
두 번째 과제 세트에서는 앞서 실행한 공격을 완화하도록 설계된 일련의 관리형 및 사용자 지정 규칙을 사용하여 AWS WAF를 배포하고 구성합니다.
목표
본 실습을 마치면 다음을 할 수 있습니다.
- 웹 애플리케이션을 손상시키기 위해 간단한 SQLi 및 XSS 공격을 배포
- AWS WAF에서 웹 액세스 제어 목록(웹 ACL)을 생성하고 Application Load Balancer와 연결
- AWS 관리형 규칙 그룹을 웹 ACL에 적용
- 사용자 지정 규칙을 웹 ACL에 적용
필수 기술 지식
이 실습에는 SQL에 대한 고급 지식은 물론 네트워크 보안, 일반적인 웹 프로토콜 및 RESTful 프레임워크에 대한 확실한 이해가 필요합니다. 원격 데스크톱을 통해 Windows Server 환경을 사용하는 데에도 익숙해야 합니다.
시스템 요구 사항
이 실습에는 다음 사항이 필요합니다.
- Google Chrome
소요 시간
이 실습을 완료하려면 약 60분이 소요됩니다.
아이콘 설명
이 실습에서는 다양한 유형의 지침 및 참고 사항에 대한 주의를 환기하기 위해 다양한 아이콘이 사용됩니다. 다음은 각 아이콘의 용도에 대한 설명입니다.
- 명령: 실행해야 하는 명령입니다.
- 예상 출력: 명령 또는 편집된 파일의 출력을 확인하는 데 사용할 수 있는 샘플 출력입니다.
- 참고: 힌트, 팁 또는 중요한 지침입니다.
- 자세히 알아보기: 자세한 정보를 찾을 수 있는 위치를 나타냅니다.
- 주의: 특별한 관심이 필요한 중요한 정보입니다(놓쳤다고 해도 장비 또는 데이터에 문제가 발생할 정도로 중요하지는 않지만 특정 단계를 반복해야 할 수 있음).
- 경고: 되돌릴 수 없으며 명령 또는 프로세스의 실패에 영향을 줄 수 있는 작업입니다(설정한 후 변경할 수 없는 구성에 대한 경고 포함).
- 고려 사항: 자신의 환경에 개념을 적용하는 방법을 고려하거나 당면한 주제에 대한 대화를 시작하기 위해 일시 중지할 시점입니다.
- 보안: 보안 모범 사례를 적용할 기회입니다.
- 힌트: 질문 또는 도전 과제에 대한 힌트입니다.
- 정답: 문제 또는 챌린지의 해답입니다.
실습 환경
아래 다이어그램에 실습 환경의 기본 아키텍처가 나와 있습니다.
이미지 설명: 위 다이어그램은 데이터 흐름을 보여줍니다. 트래픽은 Pen Testing Host라고 하는 EC2 인스턴스에서 AWS WAF를 거쳐 Application Load Balancer 앞에 있는 Cloudfront 배포로 이동합니다. 그러면 ALB가 요청을 Auto Scaling 그룹에 전달합니다.
다음 목록에는 다이어그램에서 가장 중요한 리소스에 대한 세부 정보가 나와 있습니다.
- 2개의 프라이빗 서브넷과 1개의 퍼블릭 서브넷이 2개의 가용 영역에 분산되어 있는 VPC.
- Auto Scaling 그룹 앞에 배치된 내부용 Application Load Balancer 및 2개의 노드.
- Application Load Balancer를 향하는 Cloudfront 배포.
- 트래픽은 Cloudfront 배포에 도달하기 전에 AWS WAF를 통과합니다.
- 퍼블릭 서브넷에 위치한 PenTestingHost라는 EC2 인스턴스.
