AWS 怖い話 WAF編 @fillz_noh #AWSStartup #AWSStartup_Kansai

2025-07-14  AWS Startup Meetup 大阪 Vol.6  AWS 怖い話 WAF編 

• 株式会社スマートラウンド  • 2人目SRE  • 大阪在住、フルリモート  ◦ 月1東京  • 好きなAWSサービス 
◦ AWS WAF  • 最近のお気に入り  ◦ ClaudeCodeで調査  ◦ Cursorでプロマネ  自己紹介和田友助（WADA Yusuke） 

smartroundとは • ミッション   ◦ スタートアップが可能性を最大限に発揮できる世界をつくる    • プロダクト
  ◦ スタートアップ・投資家間のデータ作成・共有プラットフォーム 

5  AWS 本当にあった怖い話   ~現職ではない数年前の話~ 

6  それは突然やってくる  DoS攻撃 

7  瞬間最大  3億リクエスト /分 

大量の連続アクセスがくるので、まずはレートベースルールでブロック  

9  単一IPアドレスを防いだら、  法則性の無い分散したIPアドレスからやってくる  DDoS攻撃 

URIパスやUser-Agent文字列も法則がなく、海外のIPアドレスからだったのでやむなく海外からのアクセスをブロック  追加料金が掛かりますが、誤ブロックを減らせ CAPTCHA、Challengeもおすすめ 

11  今度は日本国内の IPアドレスで  分散攻撃 

マネージドルールIP評価グループの AWSManagedIPDDoSListをブロックに変更する  DDoS アクティビティにアクティブに関与していると識別された IP アドレスを検査します。  

13  軒並みブロックして  かつ正常なアクセスは許可に 

14  気持ちいい〜😇 

15  翌日 

16  APN1-LCUUsage  約10万円😱 

17  WAFの料金が跳ねるのは納得いくけど、LCU の料金が跳ねるのは  何か腑に落ちない笑 

18  追加情報  AWS Summitでエキスパートの方に教えてもらった話 

CloudFrontへのWAF ACLであれば、課金対象外に！ 

AWS Shield Advanced🛡  • レイヤー7攻撃の自動緩和  ◦ WAFに自動的にルール作成  • AWS Shield
レスポンスチームの支援  • DDoS コスト保護  ◦ AWS Shield レスポンスチームの判断により、DDoS攻撃トラフィックによるコスト増をクレジット発行 

AWS WAF DDoS protection ルールグループ  • 月20ドルのマネージドルール  ◦ Advancedよりは始めやすい  •
DDoS 攻撃の対処時間の短縮  ◦ 曰く、早ければ数秒から開始  • Challengeを活用して偽陰性を増やさずに、偽陽性を最小限に抑える  

AWS 怖い話 WAF編 @fillz_noh #AWSStartup #AWSStartu...

AWS 怖い話 WAF編 @fillz_noh #AWSStartup #AWSStartup_Kansai

Yusuke WADA

More Decks by Yusuke WADA

Other Decks in Technology

Featured

Transcript